Wer muss die NIS2 einhalten? Anwendungsbereich, Sektoren und Größenschwellenwerte

Zuletzt geprüft: Oktober 2026. Maßgeblich für Deutschland ist das BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG (BGBl. 2025 I Nr. 301), insbesondere § 28 BSIG mit den Anlagen 1 und 2. Die Richtlinie (EU) 2022/2555 (NIS2) mit ihren Anhängen I und II bildet den europäischen Rahmen; andere Mitgliedstaaten können Sektoren und Schwellenwerte abweichend umsetzen – prüfen Sie stets das jeweils anwendbare nationale Recht.

Die häufigste Frage, die Organisationen stellen, wenn NIS2 erstmals in ihren Blickfeld rückt, ist täuschend einfach: Gilt dies für uns? Die Antwort hängt im Kern von zwei Faktoren ab — in welchem Sektor eine Organisation tätig ist und wie groß sie ist. Wer beide Faktoren korrekt einschätzt, weiß nicht nur, ob NIS2 gilt, sondern auch, welcher Einrichtungskategorie die Organisation zuzuordnen ist und welche Pflichten und Aufsichtsbefugnisse daraus folgen.

Dieser Leitfaden gibt einen Überblick über die erfassten Sektoren nach Richtlinie und BSIG, die Größenschwellenwerte nach § 28 BSIG, die größenunabhängigen Sonderfälle sowie Hinweise für eine strukturierte Selbstprüfung (einschließlich Konzernzurechnung und Nebentätigkeiten).

1. NIS2-Anwendungsbereich im Überblick

NIS2 (Richtlinie (EU) 2022/2555) ist der zentrale EU-Rechtsakt zur Cybersicherheit von Unternehmen und Verwaltungen. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und ab dem 18. Oktober 2024 anwenden. In Deutschland gelten die Pflichten seit dem 6. Dezember 2025: An diesem Tag ist das NIS2UmsuCG in Kraft getreten, mit dem das BSIG neu gefasst wurde. Nach § 28 BSIG ist eine Organisation in der Regel erfasst, wenn sie zwei kumulative Kriterien erfüllt:

1. Sektorkriterium: Die Organisation ist einer der Einrichtungsarten in Anlage 1 oder Anlage 2 BSIG zuzuordnen (die Richtlinie verteilt die entsprechenden Bereiche – mit einigen Abweichungen – auf 18 Sektoren in Anhang I und Anhang II) und bietet anderen entgeltlich Waren oder Dienstleistungen an.
2. Größenkriterium: Die Organisation erreicht mindestens die Schwelle eines mittleren Unternehmens: mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR.

Beide Kriterien müssen erfüllt sein — mit wichtigen Ausnahmen: Bestimmte Einrichtungsarten fallen unabhängig von ihrer Größe unter das BSIG (siehe Abschnitt 5), und für Einrichtungen der Bundesverwaltung gilt die Sonderregelung des § 29 BSIG.

Dimension	Besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG; Richtlinie: „wesentliche Einrichtungen“)	Wichtige Einrichtungen (§ 28 Abs. 2 BSIG)
Sektoren	Nur Anlage 1 BSIG (7 Sektoren; entspricht Anhang I der Richtlinie mit 11 Sektoren, jedoch ohne öffentliche Verwaltung)	Anlage 1 und Anlage 2 BSIG (Anlage 2: 7 Sektoren, entspricht Anhang II)
Typische Größe	Groß (mindestens 250 Beschäftigte oder über 50 Mio. EUR Umsatz und zugleich über 43 Mio. EUR Bilanzsumme) in Anlage-1-Sektoren; außerdem größenunabhängige Kategorien wie Betreiber kritischer Anlagen (siehe Abschnitt 5)	Mittel (ab 50 Beschäftigten oder jeweils über 10 Mio. EUR Umsatz und Bilanzsumme) in Anlage-1-Sektoren; mittlere und große Unternehmen in Anlage-2-Sektoren
Aufsichtsansatz	Proaktiv: Das BSI kann auch ohne konkreten Anlass Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§ 61 BSIG)	Reaktiv: Prüfung und Maßnahmen, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht oder nicht richtig umgesetzt werden (§ 62 BSIG)
Höchstbußgeld	Bis zu 10 Mio. EUR; bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. EUR bis zu 2 % des Gesamtumsatzes (§ 65 Abs. 5 und 6 BSIG)	Bis zu 7 Mio. EUR; bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. EUR bis zu 1,4 % des Gesamtumsatzes (§ 65 Abs. 5 und 7 BSIG)

Ausmaß der Auswirkungen: Die Bundesregierung ging im Gesetzentwurf davon aus, dass in Deutschland rund 8.250 Unternehmen als besonders wichtige und rund 21.600 Unternehmen als wichtige Einrichtungen einzustufen sind (BT-Drs. 21/1501). Bis zum 30. September 2026 hatten sich nach Angaben des BSI 20.141 Einrichtungen im BSI-Portal registriert. Organisationen, die in einem der genannten Sektoren tätig sind und 50 oder mehr Mitarbeiter beschäftigen, sollten ihre Betroffenheit daher sorgfältig prüfen.

Wie sich die Betroffenheit konkret prüfen lässt, erläutert die NIS2-Betroffenheitsprüfung: Schwellenwerte (≥250 MA oder >50 Mio. € Umsatz und >43 Mio. € Bilanzsumme), Sektoren und das offizielle BSI-Tool Schritt für Schritt.

2. Sektoren mit hoher Kritikalität — Anhang I der Richtlinie / Anlage 1 BSIG

Anhang I der Richtlinie umfasst 11 Sektoren mit hoher Kritikalität; das BSIG fasst sie in Anlage 1 zu 7 Sektoren zusammen (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum). Organisationen einer Anlage-1-Einrichtungsart mit mindestens 250 Beschäftigten oder mehr als 50 Mio. EUR Jahresumsatz und zugleich mehr als 43 Mio. EUR Jahresbilanzsumme gelten als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 4 BSIG). Mittlere Unternehmen (ab 50 Beschäftigten oder jeweils über 10 Mio. EUR Umsatz und Bilanzsumme) derselben Einrichtungsarten gelten als wichtige Einrichtungen (§ 28 Abs. 2 Nr. 3 BSIG). Die folgende Gliederung folgt den 11 Sektoren der Richtlinie und nennt jeweils die Fundstelle in Anlage 1 BSIG.

1. Energie

Der Energiesektor (Anlage 1 Nr. 1 BSIG) umfasst die gesamte Wertschöpfungskette der Strom-, Wärme-, Kraftstoff- und Gasversorgung:

• Elektrizität: Stromlieferanten, Betreiber von Elektrizitätsverteilernetzen und Übertragungsnetzen, Betreiber von Erzeugungsanlagen, nominierte Strommarktbetreiber, Aggregatoren, Betreiber von Energiespeicheranlagen, Anbieter von Ausgleichsleistungen sowie Ladepunktbetreiber (Nr. 1.1).
• Fernwärme und Fernkälte: Betreiber von Fernwärme- oder Fernkälteversorgung (Nr. 1.2).
• Öl: Betreiber von Erdöl-Fernleitungen, von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl und von Erdöllagern sowie zentrale Bevorratungsstellen (Nr. 1.3 „Kraftstoff- und Heizölversorgung“).
• Gas: Betreiber von Gasverteilernetzen, Fernleitungsnetzen, Gasspeicheranlagen und LNG-Anlagen, Gaslieferanten sowie Betreiber von Anlagen zur Gewinnung, Raffination und Aufbereitung von Erdgas (Nr. 1.4).
• Wasserstoff: Betreiber im Bereich Wasserstofferzeugung, -speicherung und -fernleitung — in der Richtlinie ein eigener Teilsektor, der in NIS1 noch nicht enthalten war; das BSIG führt ihn unter der Gasversorgung (Nr. 1.4.8).

2. Verkehr

Der Verkehrssektor (Anlage 1 Nr. 2 „Transport und Verkehr“) umfasst alle wichtigen Verkehrsträger:

• Luftfahrt: gewerblich genutzte Luftfahrtunternehmen, Flughafenleitungsorgane und Flughäfen einschließlich Einrichtungen, die zugehörige Anlagen innerhalb von Flughäfen betreiben, sowie Anbieter von Flugverkehrsmanagement- und Flugsicherungsdiensten (ATM/ANS).
• Eisenbahn: Betreiber von Eisenbahninfrastruktur und Eisenbahnverkehrsunternehmen (einschließlich Betreiber von Serviceeinrichtungen).
• Schifffahrt: Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, Leitungsorgane von Häfen einschließlich ihrer Hafenanlagen sowie Betreiber von Anlagen oder Systemen zum sicheren Betrieb einer Wasserstraße (die Richtlinie nennt an dieser Stelle Betreiber von Schiffsverkehrsdiensten).
• Straßenverkehr: Betreiber von Anlagen oder Systemen zur Verkehrsbeeinflussung im Straßenverkehr (z. B. Verkehrs-, Betriebs- und Tunnelleitzentralen) sowie Betreiber Intelligenter Verkehrssysteme (IVS). Die Richtlinie nimmt öffentliche Stellen aus, für die das Verkehrsmanagement oder der Betrieb intelligenter Verkehrssysteme nur ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist.

3. Bankwesen

Kreditinstitute (Anlage 1 Nr. 3.1 BSIG; Richtlinie: Artikel 4 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 575/2013) — in der Praxis Banken, die Einlagen oder andere rückzahlbare Gelder des Publikums entgegennehmen und Kredite für eigene Rechnung gewähren. Wichtig: Für Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554 gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG); Risikomanagement- und Meldepflichten ergeben sich für sie aus DORA.

4. Finanzmarktinfrastrukturen

Handelsplätze im Sinne von § 2 Abs. 22 WpHG (Richtlinie: Richtlinie 2014/65/EU, MiFID II) sowie zentrale Gegenparteien (CCPs, Richtlinie: Verordnung (EU) Nr. 648/2012, EMIR), Anlage 1 Nr. 3.2 BSIG. Dies sind Börsen und andere Handelsplätze sowie zentrale Clearingstellen, die die Stabilität der Finanzmärkte stützen. Auch hier greift für DORA-Finanzunternehmen die Ausnahme nach § 28 Abs. 6 BSIG.

5. Gesundheit

Der Gesundheitssektor (Anlage 1 Nr. 4 BSIG) wurde gegenüber NIS1, die nur Gesundheitsdienstleister erfasste, deutlich erweitert:

• Gesundheitsdienstleister: Krankenhäuser, Kliniken und andere Einrichtungen, die Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU erbringen.
• EU-Referenzlaboratorien: Laboratorien, die nach Artikel 15 der Verordnung (EU) 2022/2371 zu schwerwiegenden grenzüberschreitenden Gesundheitsgefahren als EU-Referenzlaboratorien benannt wurden.
• Forschung und Entwicklung: Unternehmen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel ausüben (BSIG: Arzneimittel nach § 2 AMG; Richtlinie: Richtlinie 2001/83/EG).
• Pharmahersteller: Unternehmen, die pharmazeutische Erzeugnisse herstellen (NACE-Abteilung C21).
• Hersteller von Medizinprodukten: Hersteller von Medizinprodukten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch eingestuft werden („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“ nach Artikel 22 der Verordnung (EU) 2022/123).

6. Trinkwasser

Betreiber von Wasserversorgungsanlagen im Sinne von § 2 Nr. 3 TrinkwV (Anlage 1 Nr. 5.1 BSIG; Richtlinie: Richtlinie (EU) 2020/2184), ausgenommen Lieferanten, für die die Lieferung von Wasser für den menschlichen Gebrauch nur ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit der Lieferung anderer Rohstoffe und Güter ist.

7. Abwasser

Unternehmen, die Abwasser nach § 54 Abs. 1 WHG sammeln, entsorgen oder behandeln (Anlage 1 Nr. 5.2 BSIG; Richtlinie: kommunales, häusliches und industrielles Abwasser im Sinne der Richtlinie 91/271/EWG) — ausgenommen Unternehmen, für die das Sammeln, die Entsorgung oder die Behandlung von Abwasser nur ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist.

8. Digitale Infrastruktur

Dies ist einer der umfangreichsten Sektoren (Anlage 1 Nr. 6 BSIG) und deckt die Grundlagenschicht der digitalen Wirtschaft ab:

• Internet-Austauschknoten (IXPs): Betreiber von Infrastrukturen, die die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen ermöglichen (§ 2 Nr. 20 BSIG).
• DNS-Dienstanbieter: Anbieter öffentlich verfügbarer rekursiver Namensauflösungsdienste für Internet-Endnutzer oder autoritativer Namensauflösungsdienste zur Nutzung durch Dritte; ausgenommen sind Betreiber von Root-Nameservern (§ 2 Nr. 8 BSIG). Sie sind unabhängig von ihrer Größe erfasst (siehe Abschnitt 5).
• TLD-Namenregister: Top Level Domain Name Registries, die die Registrierung von Domain-Namen innerhalb einer Top-Level-Domain verwalten und betreiben (z. B. Ländercode-TLDs oder generische TLDs) — ebenfalls unabhängig von ihrer Größe erfasst.
• Cloud-Computing-Dienstanbieter: Anbieter von Cloud-Computing-Diensten.
• Rechenzentrumdienstanbieter: Anbieter von Rechenzentrumsdiensten.
• Anbieter von Inhaltszustellnetzen (CDNs): Betreiber von Content Delivery Networks.
• Vertrauensdienstanbieter: Vertrauensdiensteanbieter im Sinne der Verordnung (EU) Nr. 910/2014 (eIDAS) — unabhängig von ihrer Größe erfasst, und zwar qualifizierte Anbieter als besonders wichtige, nicht qualifizierte als wichtige Einrichtungen (siehe Abschnitt 5).
• Anbieter öffentlicher elektronischer Kommunikationsnetze: Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste — ebenfalls in jeder Größe erfasst: ab 50 Beschäftigten oder jeweils über 10 Mio. EUR Umsatz und Bilanzsumme als besonders wichtige, darunter als wichtige Einrichtungen. Zentrale Pflichten des BSIG (u. a. §§ 30, 32 und 38) gelten für sie nach § 28 Abs. 5 BSIG nicht; insoweit greifen sektorspezifische Regelungen.
• Managed Service Provider und Managed Security Service Provider: im BSIG ebenfalls Teil dieses Sektors (Nr. 6.1.10 und 6.1.11), in der Richtlinie ein eigener Sektor (siehe Nr. 9).

9. IKT-Dienstleistungsmanagement (Business-to-Business)

Eine mit NIS2 neu eingeführte Kategorie (Richtlinie: Anhang I Nr. 9; BSIG: Anlage 1 Nr. 6.1.10 und 6.1.11), die Einrichtungen umfasst, die IKT-Dienste für andere Unternehmen erbringen:

• Managed Service Provider (MSPs): Anbieter, die IKT-Produkte, -Netze, -Infrastruktur oder -Anwendungen ihrer Kunden installieren, verwalten, betreiben oder warten (§ 2 Nr. 26 BSIG) — etwa Infrastruktur- und Anwendungsmanagement auf Auslagerungsbasis.
• Managed Security Service Provider (MSSPs): MSPs, die Unterstützung bei Tätigkeiten im Risikomanagement der Cybersicherheit erbringen (§ 2 Nr. 25 BSIG), etwa Bedrohungserkennung, Security Operations Centre (SOC)-Funktionen oder Incident Response.

MSPs und MSSPs wurden von NIS1 nicht erfasst. Ihre Aufnahme in NIS2 spiegelt Lieferkettenrisiken wider: Wer privilegierten Zugriff auf die Systeme vieler Kunden hat, kann bei einer eigenen Kompromittierung zum Einfallstor für zahlreiche nachgelagerte Organisationen werden.

10. Öffentliche Verwaltung

Die Richtlinie erfasst Einrichtungen der öffentlichen Verwaltung der Zentralregierung und — nach einer risikobasierten Bewertung — der regionalen Ebene; die lokale Ebene können die Mitgliedstaaten einbeziehen (Art. 2 Abs. 2 Buchst. f und Abs. 5 NIS2). Das BSIG führt die öffentliche Verwaltung nicht in Anlage 1, sondern regelt die Einrichtungen der Bundesverwaltung gesondert in § 29 BSIG: Bundesbehörden, öffentlich-rechtlich organisierte IT-Dienstleister der Bundesverwaltung sowie weitere Körperschaften, Anstalten und Stiftungen auf Bundesebene, soweit das BSI dies im Einvernehmen mit dem zuständigen Ressort anordnet (ausgenommen Institutionen der Sozialen Sicherung und die Deutsche Bundesbank). Für sie gelten die Regelungen für besonders wichtige Einrichtungen, nicht jedoch die §§ 38, 40 Abs. 3, 61 und 65 BSIG (§ 29 Abs. 2 BSIG). Landes- und Kommunalverwaltungen als solche regelt das BSIG nicht; ob und wie sie erfasst werden, richtet sich nach Landesrecht. Kommunale Eigenbetriebe und Unternehmen, die entgeltlich Leistungen einer Anlage-Einrichtungsart anbieten (etwa Stadtwerke), können dagegen nach § 28 BSIG erfasst sein.

11. Weltraum

Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden, von diesen verwaltet und betrieben werden und die Erbringung weltraumgestützter Dienste unterstützen — ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze (Anlage 1 Nr. 7 BSIG). Dazu können etwa Bodenstationen und Kontrollzentren für Satellitendienste gehören.

3. Wichtige Einrichtungen — Sektoren gemäß Anhang II / Anlage 2 BSIG

Anhang II der Richtlinie und Anlage 2 BSIG umfassen 7 weitere Sektoren, die wirtschaftlich bedeutsam sind, aber im Allgemeinen als weniger systemkritisch gelten als die Sektoren in Anhang I. Organisationen dieser Einrichtungsarten mit mindestens 50 Beschäftigten oder jeweils über 10 Mio. EUR Umsatz und Bilanzsumme gelten als wichtige Einrichtungen — nach dem BSIG auch dann, wenn sie groß sind (§ 28 Abs. 2 Nr. 3 BSIG). Eine Einstufung als besonders wichtig kommt für sie vor allem in Betracht, wenn sie zugleich eine kritische Anlage betreiben oder mit weiteren Tätigkeiten einer Anlage-1-Einrichtungsart zuzuordnen sind.

1. Post- und Kurierdienste

Anbieter von Postdienstleistungen nach § 3 Nr. 15 PostG, einschließlich Anbieter von Kurierdiensten (Anlage 2 Nr. 1.1 BSIG; Richtlinie: Richtlinie 97/67/EG). Erfasst sind damit auch Paket- und Expressdienstleister, die die Zustellung von Paketen, Sendungen und Expresssendungen im In- und Ausland abwickeln, sofern sie die Größenschwellen erreichen.

2. Abfallbewirtschaftung

Unternehmen der Abfallbewirtschaftung nach § 3 Abs. 14 KrWG (Anlage 2 Nr. 2 BSIG; Richtlinie: Richtlinie 2008/98/EG) — dies umfasst insbesondere Sammlung, Beförderung, Verwertung und Beseitigung von Abfällen. Ausgenommen sind Unternehmen, für die die Abfallbewirtschaftung nicht ihre Hauptwirtschaftstätigkeit ist. Entsorgungsbetriebe, Abfallverbrennungsanlagen und Deponiebetreiber sind typische Beispiele.

3. Herstellung, Produktion und Verteilung von Chemikalien

Anlage 2 Nr. 3 BSIG erfasst Hersteller und Importeure chemischer Stoffe und Gemische im Sinne der Verordnung (EG) Nr. 1907/2006 (REACH), sofern sie unter NACE-Abteilung 20 fallen und der Registrierungspflicht nach Artikel 6 REACH unterliegen. Die Richtlinie ist weiter gefasst: Sie nennt auch Unternehmen, die mit Stoffen oder Gemischen handeln, sowie Unternehmen, die Erzeugnisse aus Stoffen oder Gemischen produzieren. Reine Chemikalienhändler sind in der deutschen Anlage nicht ausdrücklich genannt.

4. Produktion, Verarbeitung und Vertrieb von Lebensmitteln

Lebensmittelunternehmen im Sinne von Artikel 3 Nummer 2 der Verordnung (EG) Nr. 178/2002, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind (Anlage 2 Nr. 4 BSIG), jeweils ab der Größe eines mittleren Unternehmens. Primäre Zielgruppen sind damit Lebensmittelhersteller, industrielle Verarbeiter und Großhändler — der Lebensmitteleinzelhandel (etwa Supermärkte) und die Gastronomie werden in der Anlage nicht genannt.

5. Verarbeitendes Gewerbe

NIS2 und Anlage 2 Nr. 5 BSIG umfassen sechs spezifische Fertigungsuntersektoren:

• Medizinprodukte und In-vitro-Diagnostika (ausgenommen die in Anhang I bzw. Anlage 1 erfassten Hersteller kritischer Medizinprodukte): Hersteller von Produkten im Sinne der Verordnung (EU) 2017/745 oder 2017/746.
• Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse (NACE-Abteilung C26): Halbleiterhersteller, Computer-OEMs, Hersteller elektronischer Komponenten und Unterhaltungselektronik.
• Elektrische Ausrüstungen (NACE-Abteilung C27): Hersteller von Elektromotoren, Generatoren, Transformatoren, Schaltanlagen, Kabeln, Leuchten und elektrischen Haushaltsgeräten.
• Maschinenbau (NACE-Abteilung C28): Hersteller von Industriemaschinen, landwirtschaftlichen Maschinen und Werkzeugmaschinen.
• Kraftwagen und Kraftwagenteile (NACE-Abteilung C29): Automobilhersteller und Hersteller von Kraftwagenteilen, also auch Automobilzulieferer.
• Sonstiger Fahrzeugbau (NACE-Abteilung C30): Luft- und Raumfahrzeughersteller, Schiffbauer, Hersteller von Schienenfahrzeugen und Hersteller militärischer Kampffahrzeuge.

6. Digitale Anbieter

Drei Kategorien digitaler Dienstanbieter (Anlage 2 Nr. 6 BSIG „Anbieter digitaler Dienste“):

• Online-Marktplätze: Plattformen, die es Verbrauchern ermöglichen, Verträge mit Unternehmern oder anderen Verbrauchern im Fernabsatz abzuschließen (§ 2 Nr. 28 BSIG i. V. m. § 312l Abs. 3 BGB), einschließlich großer E-Commerce-Plattformen.
• Online-Suchmaschinen: digitale Dienste, mit denen Nutzer Suchanfragen über im Prinzip alle Websites oder alle Websites in einer bestimmten Sprache durchführen können (§ 2 Nr. 29 BSIG i. V. m. Artikel 2 Nummer 5 der Verordnung (EU) 2019/1150). Auch hier gelten die allgemeinen Größenschwellen.
• Plattformen sozialer Netzwerkdienste: Plattformen, auf denen Endnutzer insbesondere durch Chats, Posts, Videos und Empfehlungen miteinander in Kontakt treten, kommunizieren und Inhalte teilen und entdecken können (§ 2 Nr. 30 BSIG).

Hinweis: Unter NIS1 waren Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste als „Anbieter digitaler Dienste“ erfasst. Unter NIS2 ist Cloud-Computing in Anhang I (BSIG: Anlage 1 Nr. 6.1.4) aufgegangen, während Online-Marktplätze und Suchmaschinen — ergänzt um soziale Netzwerke — in Anhang II (BSIG: Anlage 2 Nr. 6) eingeordnet sind.

7. Forschungsorganisationen

Forschungseinrichtungen (Anlage 2 Nr. 7 BSIG): Einrichtungen, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse für kommerzielle Zwecke durchzuführen (§ 2 Nr. 12 BSIG) — etwa private Forschungs- und Entwicklungsorganisationen oder, je nach Ausrichtung, Forschungsinstitute und Ausgründungen mit kommerzieller Verwertungsausrichtung. Bildungseinrichtungen gelten nach § 2 Nr. 12 BSIG ausdrücklich nicht als Forschungseinrichtungen. Die Richtlinie erlaubt den Mitgliedstaaten, Bildungseinrichtungen einzubeziehen, insbesondere wenn sie kritische Forschungstätigkeiten durchführen (Art. 2 Abs. 5 Buchst. b NIS2).

4. Größenschwellenwerte: Mittlere und große Unternehmen

Die Größenschwellenwerte in § 28 BSIG folgen den EU-Definitionen für Unternehmensgrößen gemäß der Empfehlung der Kommission 2003/361/EG; § 28 Abs. 4 BSIG erklärt diese Empfehlung (mit Ausnahme von Artikel 3 Absatz 4 ihres Anhangs) für anwendbar. Der Schwellenwert bestimmt, ob eine Organisation überhaupt in den Anwendungsbereich fällt, und zusammen mit dem Sektor, ob sie als besonders wichtig oder wichtig eingestuft wird.

Kategorie	Beschäftigtenzahl	Jahresumsatz	Jahresbilanzsumme	NIS2-Rolle
Kleinstunternehmen	Weniger als 10	≤2 Mio. EUR	≤2 Mio. EUR	In der Regel nicht im Anwendungsbereich (Ausnahmen: Abschnitt 5)
Kleinunternehmen	10–49	≤10 Mio. EUR	≤10 Mio. EUR	In der Regel nicht im Anwendungsbereich (Ausnahmen: Abschnitt 5)
Mittleres Unternehmen	50–249	≤50 Mio. EUR	≤43 Mio. EUR	Wichtige Einrichtung (Einrichtungsart nach Anlage 1 oder 2 erforderlich)
Großes Unternehmen	250+	>50 Mio. EUR	>43 Mio. EUR	Besonders wichtig bei Anlage 1, wichtig bei Anlage 2

Anwendung der Schwellenwerte: Die Beschäftigtenzahl genügt für sich allein; die beiden Finanzkennzahlen müssen dagegen gemeinsam überschritten sein — ein hoher Umsatz allein reicht nicht. Konkret gilt nach § 28 Abs. 1 und 2 BSIG:

• Die Schwelle für mittlere Unternehmen ist erreicht bei: mindestens 50 Beschäftigten ODER (Jahresumsatz über 10 Mio. EUR UND Jahresbilanzsumme über 10 Mio. EUR).
• Die Schwelle für große Unternehmen ist erreicht bei: mindestens 250 Beschäftigten ODER (Jahresumsatz über 50 Mio. EUR UND Jahresbilanzsumme über 43 Mio. EUR).

Beispiel: Ein Unternehmen mit 40 Beschäftigten, 60 Mio. EUR Umsatz, aber nur 8 Mio. EUR Bilanzsumme erreicht die Schwelle nach dem Wortlaut nicht — vorbehaltlich der Hinzurechnung von Konzerndaten (siehe unten).

Vernachlässigbare Nebentätigkeiten: Bei der Zuordnung zu einer Einrichtungsart nach den Anlagen 1 und 2 können Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind (§ 28 Abs. 3 BSIG). Maßgeblich ist also die Gesamtbetrachtung, nicht jede einzelne Nebenleistung.

Konzernstrukturen: Nach § 28 Abs. 4 BSIG in Verbindung mit der Empfehlung 2003/361/EG werden die Daten verbundener Unternehmen vollständig und die Daten von Partnerunternehmen anteilig (entsprechend dem Anteil am Kapital oder an den Stimmrechten) hinzugerechnet. Eine Tochtergesellschaft mit 30 Beschäftigten kann deshalb im Anwendungsbereich liegen, wenn sie einem großen Konzern angehört. Das BSIG enthält jedoch eine wichtige Einschränkung: Die Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig von diesen Unternehmen ist. Prüfen Sie daher, ob IT-Betrieb, Netze und Dienstleister tatsächlich eigenständig sind oder konzernweit geteilt werden. Dies ist ein häufig übersehener Aspekt der NIS2-Anwendbarkeit.

Nationale Erweiterungen: Die Richtlinie erlaubt den Mitgliedstaaten, unter bestimmten Voraussetzungen auch kleinere Einrichtungen einzubeziehen, etwa wenn eine Einrichtung einziger Anbieter eines unerlässlichen Dienstes ist (Art. 2 Abs. 2 NIS2). Das BSIG erfasst unabhängig von der Größe insbesondere Betreiber kritischer Anlagen (§ 28 Abs. 1 Nr. 1 BSIG). Bis zum Inkrafttreten der Rechtsverordnung nach dem KRITIS-Dachgesetz gelten für die Bestimmung kritischer Anlagen übergangsweise die bisherigen Regelungen fort (§ 66 BSIG), also die Schwellenwerte der BSI-Kritisverordnung.

5. Stets im Anwendungsbereich unabhängig von der Größe

Für einige Einrichtungsarten kommt es auf die Unternehmensgröße nicht an. Diese Organisationen fallen auch dann unter das BSIG, wenn sie weniger als 50 Beschäftigte haben und die Finanzschwellen nicht erreichen. Nach §§ 28 und 29 BSIG betrifft das die folgenden Kategorien:

Einrichtungstyp	Warum größenunabhängig?	Einstufung
Betreiber kritischer Anlagen	Betreiben Anlagen von besonderer Bedeutung für die Versorgung der Bevölkerung; maßgeblich sind bis zur neuen KRITIS-Verordnung die Schwellenwerte der BSI-Kritisverordnung	Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG)
TLD-Namenregister	Verwalten gesamte Ländercode- oder generische Top-Level-Domains; eine Unterbrechung betrifft alle nachgelagerten Nutzer	Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 2 BSIG)
DNS-Dienstanbieter	Zentrale Internetinfrastruktur; Single-Point-of-Failure-Risiko selbst bei kleinen Betreibern	Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 2 BSIG)
Qualifizierte Vertrauensdienstanbieter	Erbringen qualifizierte Vertrauensdienste (z. B. qualifizierte Zertifikate für elektronische Signaturen), die rechtsverbindliche und finanzielle Prozesse stützen	Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 2 BSIG)
Nicht qualifizierte Vertrauensdienstanbieter	Erbringen Vertrauensdienste nach der eIDAS-Verordnung ohne qualifizierten Status	Wichtige Einrichtung (§ 28 Abs. 2 Nr. 1 BSIG)
Betreiber öffentlicher Telekommunikationsnetze / Anbieter öffentlich zugänglicher Telekommunikationsdienste	Grundlage jeder elektronischen Kommunikation; in jeder Größe erfasst	Besonders wichtig ab 50 Beschäftigten oder jeweils über 10 Mio. EUR Umsatz und Bilanzsumme (§ 28 Abs. 1 Nr. 3 BSIG); darunter wichtig (§ 28 Abs. 2 Nr. 2 BSIG)
Einrichtungen der Bundesverwaltung	Gesonderte Regelung, nicht an Unternehmensgrößen geknüpft	Regeln für besonders wichtige Einrichtungen, ohne §§ 38, 40 Abs. 3, 61 und 65 (§ 29 Abs. 2 BSIG)

Hinweis: Cloud-Computing-Dienste, Rechenzentrumsdienste, Content Delivery Networks, Managed (Security) Service Provider sowie Online-Marktplätze, Online-Suchmaschinen und Plattformen sozialer Netzwerke sind nicht größenunabhängig erfasst. Für sie gelten die allgemeinen Schwellenwerte aus Abschnitt 4 (Einordnung siehe Abschnitte 2 und 3).

Für den Mittelstand: Wer als KMU zum ersten Mal die Schwelle von 50 Beschäftigten bzw. jeweils 10 Millionen Euro Umsatz und Bilanzsumme erreicht, findet im Leitfaden NIS2 für den Mittelstand: Was KMU jetzt konkret tun müssen eine pragmatische Priorisierung inklusive Gap-Analyse und Quick Wins für die ersten sechs Monate.

Quellen

1. BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, BGBl. 2025 I Nr. 301: § 28, § 29, Anlage 1, Anlage 2, § 65 – gesetze-im-internet.de
2. Richtlinie (EU) 2022/2555 (NIS2), Art. 2, Art. 41, Anhänge I und II – EUR-Lex
3. Empfehlung der Kommission 2003/361/EG betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen – EUR-Lex
4. Gesetzentwurf der Bundesregierung zum NIS2UmsuCG, BT-Drs. 21/1501 – Deutscher Bundestag
5. NIS-2 in Zahlen – Bundesamt für Sicherheit in der Informationstechnik
6. NIS-2-Betroffenheitsprüfung – Bundesamt für Sicherheit in der Informationstechnik