Wer muss die NIS2 einhalten? Anwendungsbereich, Sektoren und Größenschwellenwerte

Zuletzt geprüft: März 2026. Bezieht sich auf die Richtlinie (EU) 2022/2555 (NIS2), Anhänge I und II. Nationale Umsetzungen der Mitgliedstaaten können zusätzliche Sektoren einschließen oder Schwellenwerte anpassen – prüfen Sie stets Ihr nationales Recht.

Die häufigste Frage, die Organisationen stellen, wenn NIS2 erstmals in ihren Blickfeld rückt, ist täuschend einfach: Gilt dies für uns? Die Antwort hängt von zwei Faktoren ab — in welchem Sektor Sie tätig sind und wie groß Ihre Organisation ist. Wenn Sie beide Faktoren korrekt einschätzen, wissen Sie nicht nur, ob NIS2 gilt, sondern auch, welchem Compliance-Regime Sie unterliegen und welche Konsequenzen drohen, wenn Sie nicht handeln.

Dieser Leitfaden vermittelt Ihnen ein vollständiges Bild: jeden von NIS2 erfassten Sektor, jeden Größenschwellenwert, die größenunabhängigen Ausnahmen sowie eine strukturierte Selbstbewertung, um eine eindeutige Antwort für Ihre Organisation zu ermitteln.

1. NIS2-Anwendungsbereich im Überblick

NIS2 (Richtlinie (EU) 2022/2555) ist das wichtigste Cybersicherheitsgesetz der EU und seit dem 18. Oktober 2024 vollstreckbar. Sie gilt für Organisationen, die zwei kumulative Kriterien erfüllen:

1. Sektorkriterium: Die Organisation ist in einem der 18 Sektoren tätig, die in Anhang I (Wesentliche Einrichtungen) oder Anhang II (Wichtige Einrichtungen) aufgeführt sind.
2. Größenkriterium: Die Organisation qualifiziert sich mindestens als mittleres Unternehmen (50+ Beschäftigte oder 10 Mio. EUR+ Jahresumsatz und Bilanzsumme).

Beide Kriterien müssen erfüllt sein — mit einer wesentlichen Ausnahme: Bestimmte Einrichtungstypen fallen unabhängig von ihrer Größe unter NIS2 (siehe Abschnitt 5).

Ausmaß der Auswirkungen: Schätzungen zufolge werden durch NIS2 rund 160.000 Einrichtungen in der EU erfasst — ungefähr zehnmal mehr als durch die Vorgängerrichtlinie NIS1. Wenn Ihre Organisation in einem der 18 Sektoren tätig ist und 50 oder mehr Mitarbeiter beschäftigt, besteht eine hohe Wahrscheinlichkeit, dass Sie betroffen sind.

2. Wesentliche Einrichtungen — Sektoren gemäß Anhang I

Anhang I umfasst 11 Sektoren, die als kritisch für die EU-Gesellschaft und -Wirtschaft gelten. Organisationen, die in diesen Sektoren tätig sind und 250+ Beschäftigte (oder 50 Mio. EUR+ Umsatz) aufweisen, werden automatisch als wesentliche Einrichtungen eingestuft. Mittlere Unternehmen (50–249 Beschäftigte oder 10–50 Mio. EUR Umsatz) in Anhang-I-Sektoren werden als wichtige Einrichtungen eingestuft, sofern sie nicht von einem Mitgliedstaat als wesentlich eingestuft werden.

1. Energie

Der Energiesektor umfasst die gesamte Wertschöpfungskette der Strom- und Kraftstoffversorgung:

• Elektrizität: Betreiber von Stromerzeugungsanlagen (oberhalb der Schwellenwerte), Übertragungsnetzbetreiber (ÜNB), Verteilernetzbetreiber (VNB), Stromversorgungsunternehmen sowie Aggregatoren, Anbieter von Laststeuerungsdiensten und Betreiber von Energiespeicheranlagen mit einer Schwellenkapazität.
• Fernwärme und Fernkälte: Betreiber von Fernwärme- oder Fernkältenetzen.
• Öl: Betreiber von Öl-Fernleitungen, Anlagen zur Ölförderung, -raffination und -verarbeitung, zur Lagerung und zum Transport sowie zentrale Bevorratungsstellen für Öl.
• Gas: Versorgungsunternehmen, Verteilernetzbetreiber, Fernleitungsnetzbetreiber, Speichersystemnetzbetreiber, LNG-Systemnetzbetreiber und Erdgasunternehmen.
• Wasserstoff: Erzeuger, Verteiler und Lieferanten von Wasserstoff — ein Sektor, der mit NIS2 neu hinzugekommen ist und in NIS1 nicht existierte.

2. Verkehr

Der Verkehrssektor umfasst alle wichtigen Verkehrsträger:

• Luftfahrt: zu gewerblichen Zwecken eingesetzte Luftfahrtunternehmen, Flughafenleitungsorgane sowie Betreiber von Flugverkehrsmanagementsystemen und -diensten (einschließlich Anbieter von Diensten in Funktionalen Luftraumblöcken).
• Eisenbahn: Infrastrukturbetreiber und Eisenbahnunternehmen (einschließlich Betreiber von Serviceeinrichtungen).
• Schifffahrt: Unternehmen der Binnenschifffahrt sowie der See- und Küstenschifffahrt für den Personen- und Güterverkehr, Hafenbehörden und Betreiber von Schiffsverkehrsdiensten.
• Straßenverkehr: für das Verkehrsmanagement zuständige Straßenbehörden (mit Ausnahme öffentlicher Einrichtungen, bei denen die Sicherheit von Netz- und Informationssystemen nicht die primäre Tätigkeit ist) sowie Betreiber von Intelligenten Verkehrssystemen (IVS).

3. Bankwesen

Kreditinstitute im Sinne des Artikels 4(1)(1) der Verordnung (EU) Nr. 575/2013 — in der Praxis Banken und andere zugelassene einlagennehmende Institute, die in der EU tätig sind.

4. Finanzmarktinfrastrukturen

Betreiber von Handelsplätzen im Sinne der Richtlinie 2014/65/EU (MiFID II) sowie zentrale Gegenparteien (CCPs) im Sinne der Verordnung (EU) Nr. 648/2012 (EMIR). Dies sind Börsen, Clearinghäuser und Nachhandelinfrastruktureinrichtungen, die die Stabilität der Finanzmärkte stützen.

5. Gesundheit

Das Gesundheitswesen ist einer der unter NIS2 am stärksten erweiterten Sektoren:

• Gesundheitsdienstleister: Krankenhäuser, Kliniken und andere Einrichtungen, die Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU erbringen.
• EU-Referenzlaboratorien: Laboratorien, die gemäß der Verordnung (EU) 2022/2371 über schwerwiegende grenzüberschreitende Gesundheitsbedrohungen als EU-Referenzlaboratorien benannt wurden.
• Forschung und Entwicklung: Einrichtungen, die Forschung und Entwicklung von Arzneimitteln im Sinne der Richtlinie 2001/83/EG betreiben.
• Pharmahersteller: Einrichtungen, die pharmazeutische Grundstoffe und Zubereitungen herstellen (NACE-Sektor C21).
• Hersteller von Medizinprodukten: Hersteller von Medizinprodukten, die während eines öffentlichen Gesundheitsnotfalls als kritisch eingestuft werden (Produkte auf der Unionsliste gemäß der Durchführungsverordnung (EU) 2022/1107 der Kommission).

6. Trinkwasser

Lieferanten und Verteiler von Wasser für den menschlichen Gebrauch im Sinne der Richtlinie (EU) 2020/2184, ausgenommen Verteiler, bei denen die Verteilung von Wasser nur einen untergeordneten Teil ihrer allgemeinen Tätigkeit darstellt.

7. Abwasser

Unternehmen, die kommunales Abwasser, häusliches Abwasser oder industrielles Abwasser im Sinne der Richtlinie 91/271/EWG sammeln, entsorgen oder behandeln — ausgenommen Unternehmen, bei denen das Sammeln, die Entsorgung oder die Behandlung von Abwasser nur einen untergeordneten Teil ihrer Tätigkeit darstellt.

8. Digitale Infrastruktur

Dies ist einer der umfangreichsten Sektoren und deckt die Grundlagenschicht der digitalen Wirtschaft ab:

• Internet-Austauschknoten (IXPs): Einrichtungen, die die physische Netzwerkinterkonnektion zwischen autonomen Systemen bereitstellen.
• DNS-Dienstanbieter: Anbieter von DNS-Auflösungsdiensten (nicht Betreiber von Root-Servern, sondern Resolver und autoritative DNS-Anbieter, deren Dienste von Dritten genutzt werden).
• TLD-Namenregister: Verwalter von Top-Level-Domain-Registries (z. B. Ländercode-TLDs oder generische TLDs).
• Cloud-Computing-Dienstanbieter: Anbieter von Cloud-Computing-Diensten.
• Rechenzentrumdienstanbieter: Anbieter von Rechenzentrumsdienstleistungen.
• Anbieter von Inhaltszustellnetzen (CDNs): Anbieter von Inhaltszustellnetz-Diensten.
• Vertrauensdienstanbieter: Qualifizierte und nicht qualifizierte Vertrauensdienstanbieter im Sinne der Verordnung (EU) Nr. 910/2014 (eIDAS) — diese sind stets im Anwendungsbereich, unabhängig von ihrer Größe (siehe Abschnitt 5).
• Anbieter öffentlicher elektronischer Kommunikationsnetze: Anbieter öffentlicher Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste im Sinne der Richtlinie (EU) 2018/1972 (Europäischer Kodex für die elektronische Kommunikation) — für bestimmte Kategorien ebenfalls größenunabhängigen Regeln unterworfen.

9. IKT-Dienstleistungsmanagement (Business-to-Business)

Eine für NIS2 einzigartige Kategorie, die Einrichtungen umfasst, die IKT-Dienste für andere Unternehmen erbringen:

• Managed Service Provider (MSPs): Einrichtungen, die IT-Dienste (Infrastrukturmanagement, Anwendungsmanagement, Sicherheitsüberwachung usw.) auf Auslagerungsbasis für Geschäftskunden erbringen.
• Managed Security Service Provider (MSSPs): Einrichtungen, die verwaltete Cybersicherheitsdienste erbringen, einschließlich Bedrohungserkennung, Security Operations Centre (SOC)-Funktionen und Incident Response.

MSPs und MSSPs wurden von NIS1 nicht erfasst. Ihre Aufnahme in NIS2 spiegelt die Lieferkettenrisiken wider, die nach Vorfällen wie SolarWinds (2020) deutlich zutage traten, bei denen Angreifer einen vertrauenswürdigen MSP nutzten, um Tausende nachgelagerte Organisationen zu kompromittieren.

10. Öffentliche Verwaltung

Einrichtungen der Zentralverwaltung und der regionalen Verwaltung, die die Größenkriterien erfüllen. Mitgliedstaaten können bestimmte Einrichtungen der öffentlichen Verwaltung aus dem NIS2-Anwendungsbereich aus Gründen der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung ausschließen — die grundlegenden Verpflichtungen gelten jedoch für die meisten Behörden oberhalb des Größenschwellenwerts. Kommunale Verwaltungseinrichtungen fallen nicht automatisch unter NIS2, obwohl Mitgliedstaaten den Anwendungsbereich ausweiten können.

11. Weltraum

Betreiber bodengestützter Infrastrukturen, die weltraumgestützte Dienste unterstützen, sofern die Unterbrechung dieser Dienste erhebliche Auswirkungen auf andere von NIS2 erfasste Sektoren hätte. Dies umfasst Satellitenbodenstationen, Missionskontrollzentren sowie Betreiber von Diensten für Erdbeobachtungs-, Navigations- und Kommunikationssatelliten.

3. Wichtige Einrichtungen — Sektoren gemäß Anhang II

Anhang II umfasst 7 Sektoren, die wirtschaftlich bedeutsam sind, aber im Allgemeinen als mit einem etwas geringeren systemischen Risiko behaftet gelten als Einrichtungen gemäß Anhang I. Organisationen in diesen Sektoren mit 50+ Beschäftigten oder 10 Mio. EUR+ Umsatz werden als wichtige Einrichtungen eingestuft. Große Organisationen (250+ Beschäftigte oder 50 Mio. EUR+ Umsatz) in Anhang-II-Sektoren können in einigen Fällen von Mitgliedstaaten als wesentlich eingestuft werden.

1. Post- und Kurierdienste

Postdienstleister im Sinne der Richtlinie 97/67/EG, einschließlich Universaldienstanbieter und Kurierdienstleister, die die inländische und grenzüberschreitende Zustellung von Paketen, Sendungen und Expresssendungen abwickeln. Große Kurierunternehmen (DHL, FedEx, UPS, DPD und vergleichbare Anbieter), die in der EU tätig sind, fallen in diese Kategorie.

2. Abfallbewirtschaftung

Unternehmen, die Abfallbewirtschaftung im Sinne der Richtlinie 2008/98/EG betreiben — dies umfasst Sammlung, Transport, Behandlung und Entsorgung von Abfällen (ausgenommen Unternehmen, bei denen die Abfallbewirtschaftung nur einen untergeordneten Teil ihrer Tätigkeit darstellt). Deponien, Abfallverbrennungsanlagen und Betreiber gefährlicher Abfälle sind typische Beispiele.

3. Herstellung, Produktion und Verteilung von Chemikalien

Unternehmen, die chemische Herstellung, Produktion und Verteilung im Sinne der Verordnung (EG) Nr. 1907/2006 (REACH) durchführen. Dies umfasst Massenchemikal ien, Spezialchemikalien, Agrochemikalien und Chemikal ienhändler oberhalb des Größenschwellenwerts.

4. Produktion, Verarbeitung und Vertrieb von Lebensmitteln

Lebensmittelunternehmen im Sinne der Verordnung (EG) Nr. 178/2002, beschränkt auf große und mittlere Unternehmen, die in der Lebensmittelproduktion, -verarbeitung und -verteilung tätig sind. Große Supermarktketten, Lebensmittelhersteller und bedeutende Distributoren sind die primären Zielgruppen — nicht einzelne Restaurants oder kleine Lebensmitteleinzelhändler.

5. Verarbeitendes Gewerbe

NIS2 umfasst fünf spezifische Fertigungsuntersektoren:

• Medizinprodukte und In-vitro-Diagnostika (ausgenommen die in der Anhang-I-Liste kritischer Produkte aufgeführten): Hersteller, die der Verordnung (EU) 2017/745 oder 2017/746 unterliegen.
• Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse (NACE-Sektor C26): Halbleiterhersteller, Computer-OEMs und Hersteller elektronischer Komponenten.
• Elektrische Ausrüstungen (NACE-Sektor C27): Hersteller von Motoren, Generatoren, Transformatoren, Schaltanlagen und Unterhaltungselektronik.
• Maschinenbau (NACE-Sektor C28): Hersteller von Industriemaschinen, landwirtschaftlichen Geräten und Werkzeugen.
• Kraftwagen und Kraftwagenteile (NACE-Sektor C29): Automobilhersteller und bedeutende Tier-1-Automobilzulieferer.
• Sonstiger Fahrzeugbau (NACE-Sektor C30): Luft- und Raumfahrzeughersteller, Schiffbauer, Hersteller von Eisenbahnfahrzeugen und Militärfahrzeugproduzenten.

6. Digitale Anbieter

Drei spezifische Kategorien digitaler Dienstanbieter:

• Online-Marktplätze: Plattformen, die es Unternehmen oder Verbrauchern ermöglichen, Kaufverträge mit anderen Unternehmen oder Verbrauchern abzuschließen, einschließlich großer E-Commerce-Plattformen.
• Online-Suchmaschinen: Dienste, die Nutzern die Suche auf Websites ermöglichen — vorrangig große Suchmaschinen, die erhebliche Nutzerzahlen innerhalb der EU bedienen.
• Plattformen sozialer Netzwerkdienste: Plattformen, die es Nutzern ermöglichen, Informationen, Inhalte und Nachrichten mit anderen Nutzern zu teilen — bedeutende soziale Medienplattformen, die in der EU tätig sind.

Hinweis: Digitale Anbieter, die unter NIS1 in den Anwendungsbereich fielen (Online-Marktplätze, Suchmaschinen, Cloud-Computing), wurden neu klassifiziert. Cloud-Computing ist in Anhang I (wesentliche Einrichtungen) übergegangen, während Online-Marktplätze und Suchmaschinen in Anhang II verbleiben.

7. Forschungsorganisationen

Einrichtungen, deren vorrangiges Ziel es ist, angewandte Forschung oder experimentelle Entwicklung zu betreiben und die Ergebnisse dieser Forschung kommerziell zu verwerten — einschließlich öffentlich finanzierter Forschungsinstitute, universitärer Ausgründungen, die kommerzielle Forschung betreiben, sowie privater Forschungs- und Entwicklungsorganisationen. Rein akademische Einrichtungen, die ihre Forschung nicht kommerzialisieren, können je nach Auslegung durch den Mitgliedstaat außerhalb dieser Kategorie fallen.

4. Größenschwellenwerte: Mittlere und große Unternehmen

Die Größenschwellenwerte unter NIS2 folgen den EU-Standarddefinitionen für Unternehmensgrößen gemäß der Empfehlung der Kommission 2003/361/EG. Der Schwellenwert bestimmt, ob Ihre Organisation überhaupt in den Anwendungsbereich fällt, und hilft zudem zu bestimmen, ob Sie als wesentlich oder wichtig eingestuft werden.

Anwendung der Schwellenwerte: Die Größenkriterien werden nach der „ODER“-Logik für Beschäftigtenzahl gegenüber Umsatz angewendet — Sie müssen lediglich einen der beiden finanziellen Schwellenwerte (Umsatz oder Bilanzsumme) zusammen mit dem Beschäftigtenschwellenwert überschreiten, um sich zu qualifizieren. Konkret gilt:

• Ein mittleres Unternehmen muss aufweisen: 50+ Beschäftigte UND (Umsatz >10 Mio. EUR ODER Bilanzsumme >10 Mio. EUR).
• Ein großes Unternehmen muss aufweisen: 250+ Beschäftigte ODER Umsatz >50 Mio. EUR.

Konzernstrukturen: Wenn Ihre Organisation eine Tochtergesellschaft innerhalb eines größeren Konzerns ist, erfolgt die Größenbewertung auf Basis der konsolidierten Zahlen des Konzerns — nicht nur anhand der Beschäftigtenzahl und des Umsatzes Ihrer lokalen Einheit. Eine 30-köpfige Tochtergesellschaft eines 1.000-Personen-Mutterkonzerns kann im Anwendungsbereich liegen, obwohl die Tochtergesellschaft allein den Schwellenwert nicht erfüllen würde. Dies ist ein häufig übersehener Aspekt der NIS2-Anwendbarkeit.

Nationale Erweiterungen: Mitgliedstaaten können zusätzliche Einrichtungen — einschließlich kleiner Unternehmen — als wesentlich oder wichtig einstufen, wenn sie der Auffassung sind, dass die Unterbrechung der Dienste dieser Einrichtung erhebliche Auswirkungen hätte. Das NIS2UmsuCG in Deutschland beispielsweise schließt bestimmte Betreiber kritischer Infrastrukturen unterhalb des Standardgrößenschwellenwerts ein.

5. Stets im Anwendungsbereich unabhängig von der Größe

NIS2 nimmt ausdrücklich mehrere Einrichtungstypen aus, die unabhängig davon, ob sie den Größenschwellenwert für mittlere Unternehmen erfüllen, zur Einhaltung verpflichtet sind. Diese Organisationen fallen auch dann in den Anwendungsbereich, wenn sie weniger als 50 Beschäftigte und weniger als 10 Mio. EUR Jahresumsatz haben.