NIS2-Compliance nach Branche

NIS2 gilt nicht für alle Unternehmen gleich. Entdecken Sie, welche Anforderungen des NIS2UmsuCG für Ihre Branche gelten – und welche spezialisierten Vorlagen Sie für eine konforme Dokumentation benötigen.

Welche Branchen sind von NIS2 betroffen?

Die NIS2-Richtlinie – umgesetzt durch das NIS2UmsuCG – unterscheidet zwischen zwei Kategorien von Einrichtungen mit unterschiedlichen Anforderungsniveaus.

Anhang-I-Sektoren – höchste Kritikalität

Sektoren höchster Kritikalität. Große Einrichtungen hier gelten als besonders wichtige Einrichtungen (proaktive BSI-Aufsicht, Bußgelder bis 10 Mio. €/2 %):

  • Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
  • Verkehr & Transport
  • Bankwesen & Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser & Abwasser
  • Digitale Infrastruktur (Rechenzentren, Cloud)
  • Öffentliche Verwaltung (Bund; Länder über Landesrecht)
  • Weltraum
Anhang-II-Sektoren – weitere kritische Sektoren

Weitere kritische Sektoren. Einrichtungen hier gelten als wichtige Einrichtungen (reaktive BSI-Aufsicht); dieselben Art.-21-Pflichten gelten vollumfänglich:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Chemie
  • Lebensmittel (Produktion & Vertrieb)
  • Maschinenbau & Produktion (NACE C26–C28)
  • Digitale Dienste (Marktplätze, Suchmaschinen)
  • Forschungseinrichtungen

Wichtig: Ob eine Einrichtung als besonders wichtig oder wichtig gilt, hängt nicht allein vom Sektor (Anhang I/II) ab, sondern auch von der Unternehmensgröße. Besonders wichtig = große Einrichtungen (≥ 250 Beschäftigte oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme) in Anhang-I-Sektoren sowie bestimmte größenunabhängige Einrichtungen. Wichtig = mittlere Einrichtungen (≥ 50 Beschäftigte oder > 10 Mio. € Umsatz) – einschließlich mittlerer Einrichtungen in Anhang-I-Sektoren.

Sektor-Pakete für gezielte Compliance

Unsere branchenspezifischen Policy-Pakete enthalten alle Vorlagen, die für eine NIS2UmsuCG-konforme Dokumentation in Ihrer Branche erforderlich sind.

Anhang II

Policy-Paket Fertigung

22 spezialisierte Vorlagen für Maschinenbau, Elektronik und Produktionsunternehmen. OT/ICS/SCADA-spezifisch, IEC 62443-ausgerichtet.

349 €
Anhang I — Höchste Priorität

Policy-Paket Energie

24 spezialisierte Vorlagen für Energieversorger, Netzbetreiber und KRITIS-Einrichtungen. IEC 62351- und NCS-konform.

349 €

Alle Branchen im Überblick

Überprüfen Sie, welcher Sektor Ihr Unternehmen betrifft. Das Komplettpaket deckt alle Branchen ab.

SektorAnhangVerfügbares Paket
EnergieAnhang IPolicy-Paket Energie →
Maschinenbau & ProduktionAnhang IIPolicy-Paket Fertigung →
Verkehr & TransportAnhang IKomplettpaket →
GesundheitswesenAnhang IKomplettpaket →
Chemie & LebensmittelAnhang IIKomplettpaket →
Digitale Dienste & InfrastrukturAnhang I/IIKomplettpaket →

Branchenübergreifende NIS2-Anforderungen

Unabhängig von der Branche müssen alle betroffenen Einrichtungen folgende Artikel-21-Maßnahmen nachweislich umsetzen und dokumentieren:

Risikomanagement

Risikoanalyse und Sicherheitsmaßnahmen für alle Netz- und Informationssysteme

Meldepflichten

Meldung erheblicher Sicherheitsvorfälle an das BSI innerhalb 24/72 Stunden

Lieferkette

Sicherheitsanforderungen an Lieferanten und Dienstleister dokumentiert einfordern

Leitungshaftung

Geschäftsführung muss Maßnahmen genehmigen und ist persönlich haftbar

Häufige Fragen zu NIS2-Branchen

Wie finde ich heraus, ob mein Unternehmen betroffen ist?

Nutzen Sie unseren kostenlosen Readiness-Check oder prüfen Sie Ihren NACE-Code und Ihre Unternehmensgröße anhand der Schwellenwerte (50 MA / 10 Mio. €). Unsere Übersicht der betroffenen Unternehmen hilft bei der ersten Einordnung.

Was ist der Unterschied zwischen wichtigen und besonders wichtigen Einrichtungen?

Die Einstufung hängt von Sektor und Unternehmensgröße ab. Besonders wichtige Einrichtungen sind große Einrichtungen (≥ 250 Beschäftigte oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme) in Anhang-I-Sektoren sowie bestimmte größenunabhängige Einrichtungen (z. B. qualifizierte Vertrauensdiensteanbieter, DNS-/TLD-Betreiber); sie unterliegen proaktiver BSI-Aufsicht und Bußgeldern bis 10 Mio. € oder 2 % Jahresumsatz. Wichtige Einrichtungen sind mittlere Einrichtungen (≥ 50 Beschäftigte oder > 10 Mio. € Umsatz) – einschließlich mittlerer Einrichtungen in Anhang-I-Sektoren – sowie Einrichtungen in Anhang-II-Sektoren; sie werden reaktiv überwacht, müssen aber dieselben Maßnahmen umsetzen.

Gibt es branchenspezifische Besonderheiten bei den NIS2-Anforderungen?

Ja. Während die Artikel-21-Maßnahmen branchenunabhängig gelten, kommen je nach Sektor zusätzliche sektorspezifische Standards hinzu: IEC 62443 für Industrie, IEC 62351 für Energie, Network Code on Cybersecurity für Netzbetreiber. Unsere Sektor-Pakete berücksichtigen diese Standards.

Starten Sie mit dem richtigen Sektor-Paket

Wählen Sie das Paket für Ihre Branche – oder greifen Sie zum Komplettpaket für vollständige NIS2UmsuCG-Abdeckung.