NIS2-Kategorie bestimmen: Was der Unterschied zwischen wesentlich und wichtig für Aufsicht und Bußgelder bedeutet

Die Terminologiefalle: "wesentlich" vs. "besonders wichtig"

Wer die NIS2-Richtlinie und das deutsche Umsetzungsgesetz gleichzeitig liest, begegnet einem stillen Missverständnis: Die EU-Richtlinie (EU) 2022/2555 verwendet in ihrer deutschen Fassung den Begriff wesentliche Einrichtungen. Das nationale Umsetzungsgesetz NIS2UmsuCG und das neue BSIG nennen dieselbe Kategorie besonders wichtige Einrichtungen — abgekürzt bwE. Gemeint ist in beiden Fällen die Kategorie mit der intensivsten Aufsicht unter NIS2; für Einrichtungen in Deutschland richtet sich die Zuordnung nach §28 BSIG.

Die zweite Kategorie — im EU-Recht und im BSIG gleichermaßen wichtige Einrichtungen (wE) — ist terminologisch konsistent. Nur die höherrangige Kategorie trägt zwei Namen. Für die Praxis gilt: Das BSIG und die Veröffentlichungen des BSI verwenden die Begriffe „besonders wichtige“ und „wichtige Einrichtungen“ (bwE und wE). Das BSI stellt in seinen FAQ ausdrücklich klar, dass „essential entities“ im deutschen Recht „besonders wichtige Einrichtungen“ heißen, während die deutsche Fassung der Richtlinie von „wesentlichen Einrichtungen“ spricht.

Klassifizierung nach §28 BSIG: Wer ist was?

Die Einordnung folgt einer dreistufigen Prüfung. Erst wer alle drei Stufen besteht, unterliegt der NIS2-Pflicht — und die dritte Stufe entscheidet über die Kategorie. Detaillierte Sektorkriterien finden Sie in unserem Leitfaden zum NIS2-Anwendungsbereich.

Stufe 1 — Einrichtungsart. Die Einrichtung muss einer der in Anlage 1 oder Anlage 2 zum BSIG genannten Einrichtungsarten zuzuordnen sein. Die 18 Sektoren der Richtlinie (Anhang I: elf, Anhang II: sieben) fasst das BSIG anders zusammen: Anlage 1 nennt sieben Sektoren — Energie, Transport und Verkehr, Finanzwesen (Bankwesen und Finanzmarktinfrastrukturen), Gesundheit, Wasser (Trinkwasser und Abwasser), digitale Infrastruktur (einschließlich Managed Services und Managed Security Services Provider) und Weltraum. Anlage 2 nennt sieben weitere: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Die öffentliche Verwaltung steht nicht in den Anlagen; für Einrichtungen der Bundesverwaltung gilt §29 BSIG. Vernachlässigbare Nebentätigkeiten können unberücksichtigt bleiben (§28 Abs. 3 BSIG).

Stufe 2 — Größe. Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme werden nach der KMU-Empfehlung der EU-Kommission (2003/361/EG) bestimmt (§28 Abs. 4 BSIG). Erfasst sind in der Regel Einrichtungen mit mindestens 50 Mitarbeitenden oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. €. Kleinst- und Kleinunternehmen unterhalb dieser Werte sind grundsätzlich nicht erfasst — mit gewichtigen Ausnahmen: Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter sowie Anbieter öffentlicher Telekommunikationsnetze und -dienste fallen unabhängig von ihrer Größe unter das BSIG.

Stufe 3 — Kategorie (§28 BSIG). Auf Basis von Einrichtungsart und Größe wird festgestellt, ob eine Einrichtung als bwE oder wE gilt.

Die Konzernklausel — die unterschätzte Falle

Die Schwellenwerte klingen zunächst einfach — bis das Unternehmensgeflecht ins Spiel kommt. Eine Tochtergesellschaft mit 30 Mitarbeitenden ist für sich betrachtet weit unter der Grenze von 50. Gehört sie jedoch zu einem Konzern mit 800 Beschäftigten, werden nach §28 Abs. 4 BSIG in Verbindung mit der KMU-Empfehlung 2003/361/EG grundsätzlich die Daten der Partner- und verbundenen Unternehmen hinzugerechnet. Die Tochter überschreitet dann rechnerisch die Schwelle von 250 Mitarbeitenden und gilt als bwE, wenn sie einer Einrichtungsart nach Anlage 1 zuzuordnen ist (bei Anlage 2: als wE). Ausnahme: Die Hinzurechnung entfällt, wenn das Unternehmen mit Blick auf seine IT-Systeme, -Komponenten und -Prozesse rechtlich, wirtschaftlich und tatsächlich unabhängig von diesen Unternehmen ist (§28 Abs. 4 Satz 2 BSIG). Konzernverantwortliche, die nur die Einzeltochter im Blick haben, übersehen möglicherweise ihre NIS2-Pflicht vollständig.

Für Unternehmensgruppen empfiehlt sich daher eine NIS2-Betroffenheitsanalyse auf Gruppenebene, bei der jede Gesellschaft einzeln eingeordnet wird — nach den BSI-FAQ werden Mutter- und Tochterunternehmen mit gemeinsamer IT jeweils selbst erfasst. Eine erste, unverbindliche Orientierung bietet die NIS-2-Betroffenheitsprüfung des BSI.

Der entscheidende Unterschied: Ex-ante- vs. Ex-post-Beaufsichtigung

Beide Kategorien unterliegen grundsätzlich denselben inhaltlichen Anforderungen. Der strukturelle Unterschied liegt nicht darin, was Einrichtungen umsetzen müssen, sondern wann und wie intensiv das BSI kontrollieren kann. Nach Erwägungsgrund 122 der Richtlinie sollen wesentliche Einrichtungen einem „umfassenden Ex-ante- und Ex-post-Aufsichtssystem“ unterliegen, wichtige Einrichtungen einem „einfachen, ausschließlich nachträglichen Aufsichtssystem“.

Besonders wichtige Einrichtungen (bwE) — Ex-ante-Aufsicht (§61 BSIG). Das BSI kann gegenüber bwE ohne konkreten Anlass tätig werden: Es kann Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§61 Abs. 1), die Einhaltung selbst überprüfen und dabei die Geschäftsräume während der üblichen Betriebszeiten betreten sowie Unterlagen und Auskünfte verlangen (§61 Abs. 5). Frühestens drei Jahre nach Inkrafttreten des Gesetzes — also ab Dezember 2028 — kann es zudem von weiteren bwE Nachweise über die Erfüllung der Pflichten anfordern (§61 Abs. 3; bei zugelassenen Krankenhäusern frühestens nach fünf Jahren). Einen festen Nachweiszyklus für alle bwE gibt es nicht: Die Pflicht, alle drei Jahre Nachweise durch Sicherheitsaudits, Prüfungen oder Zertifizierungen zu erbringen, trifft nach §39 BSIG nur Betreiber kritischer Anlagen.

Wichtige Einrichtungen (wE) — Ex-post-Aufsicht (§62 BSIG). Das BSI kann die Einhaltung überprüfen und Maßnahmen ergreifen, wenn Tatsachen die Annahme rechtfertigen, dass eine wE ihre Pflichten aus §30 Abs. 1 Satz 1, §32 Abs. 1 bis 3 oder §38 Abs. 3 BSIG nicht oder nicht richtig umsetzt — etwa nach einem gemeldeten Vorfall oder aufgrund von Hinweisen. Reaktive Kontrolle bedeutet im Tagesgeschäft weniger regulatorische Reibung — aber keine Entlastung von der inhaltlichen Umsetzungspflicht. Auch wE müssen die Einhaltung ihrer Risikomanagementpflichten dokumentieren (§30 Abs. 1 Satz 3 BSIG); fehlt diese Dokumentation, ist das ein eigener Bußgeldtatbestand.

Für bwE empfiehlt sich ein vollständig implementiertes Informationssicherheitsmanagementsystem (ISMS). Als mögliche Nachweismittel nennt das BSI in seinen FAQ unter anderem interne Dokumentation und Berichte, Auditberichte sowie Zertifizierungen nach ISO/IEC 27001 oder IT-Grundschutz. Eine solche Zertifizierung kann den Nachweis nach Einschätzung des BSI erleichtern, muss aber am gesetzlichen Maßnahmenkatalog des §30 BSIG geprüft und gegebenenfalls ergänzt werden.

Sanktionen und Geschäftsleiterhaftung nach Einrichtungstyp

Die Bußgeldrahmen unterscheiden sich zwischen bwE und wE spürbar — die Pflichten der Geschäftsleitung nach §38 BSIG und die daran anknüpfende Haftung gelten dagegen in beiden Kategorien gleichermaßen. Details zu den Bußgeldtatbeständen finden Sie in unserem Artikel zu den NIS2-Bußgeldern.

Was §38 BSIG für Geschäftsführer konkret bedeutet

§38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen von bwE und wE, die nach §30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Operative Aufgaben lassen sich an CISO, IT-Leitung oder Dienstleister übertragen; die Überwachung der Umsetzung bleibt nach dem Wortlaut Aufgabe der Geschäftsleitung. Geschäftsleitung im Sinne des BSIG sind natürliche Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind (§2 Nr. 13 BSIG) — etwa GmbH-Geschäftsführer sowie Vorstände von AGs und SEs. Hinzu kommt die Pflicht, regelmäßig an Schulungen teilzunehmen (§38 Abs. 3 BSIG).

Für Verstöße gegen §38 enthält §65 BSIG keinen eigenen Bußgeldtatbestand; persönliche Bußgelder sind allenfalls über das allgemeine Ordnungswidrigkeitenrecht denkbar (etwa §9 oder §130 OWiG). Im Mittelpunkt steht die Innenhaftung: Verletzt die Geschäftsleitung ihre Pflichten nach §38 Abs. 1, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts der jeweiligen Rechtsform (§38 Abs. 2) — für GmbH-Geschäftsführer und Vorstände also grundsätzlich auch mit dem Privatvermögen. Diese Haftung gilt in bwE und wE gleichermaßen, wird bei bwE jedoch eher relevant, weil das BSI dort anlassunabhängig prüfen kann und Versäumnisse früher sichtbar werden.

Wirksamer Schutz entsteht durch Dokumentation: schriftliche Governance-Entscheidungen der Leitungsebene, regelmäßige Risikoanalysen mit Protokoll, Nachweise über Schulungsteilnahme und ein nachvollziehbarer Eskalationsweg für Sicherheitsvorfälle.

Was für bwE und wE gleich gilt: die gemeinsamen Pflichten

Ein verbreitetes Missverständnis in Compliance-Projekten: „Wir sind nur wE, also haben wir weniger Pflichten.“ Das stimmt für die Aufsichtsintensität — nicht aber für die inhaltlichen Anforderungen. Die zehn Maßnahmenkategorien aus Artikel 21 NIS2-Richtlinie und §30 BSIG gelten für beide Kategorien vollständig. Ausnahmen gelten u. a. für Telekommunikations- und bestimmte Energieunternehmen (§28 Abs. 5 BSIG; dort greifen TKG bzw. EnWG) sowie für Finanzunternehmen unter DORA (§28 Abs. 6 BSIG).

Risikomanagement nach §30 BSIG. Zehn Maßnahmenkategorien sind Pflicht — darunter Risikoanalyse, Vorfallbewältigung, Business Continuity, Lieferkettensicherheit, Kryptografie, Multi-Faktor-Authentifizierung sowie Schulung von Mitarbeitenden. Details finden Sie in unserem Leitfaden zu den NIS2-Anforderungen nach Artikel 21. Die Umsetzungstiefe darf risikoproportional sein — die Pflicht selbst besteht in beiden Kategorien vollständig.

Meldepflichten. Erhebliche Sicherheitsvorfälle sind von bwE und wE gleichermaßen zu melden: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK (§32 Abs. 1 BSIG), in der Praxis über das BSI-Portal; KRITIS-Betreiber nutzen laut BSI vorrangig weiterhin das MIP-2. Eine fehlende oder verspätete Meldung ist für beide Kategorien ein direkter Bußgeldtatbestand.

Registrierung. Einrichtungen, die bereits bei Inkrafttreten des Gesetzes betroffen waren, mussten sich bis zum 6. März 2026 über das BSI-Portal registrieren (zweistufiger Prozess: zunächst Mein Unternehmenskonto, anschließend BSI-Portal). Wer die Frist verpasst hat, sollte die Registrierung unverzüglich nachholen — eine fehlende Registrierung kann mit einem Bußgeld von bis zu 500.000 € geahndet werden (§65 Abs. 2 Nr. 6, Abs. 5 Nr. 5 BSIG).

Praktischer Fahrplan: Was jetzt zu tun ist

Die eigene Einordnung zu kennen ist der erste Schritt — die richtigen Konsequenzen zu ziehen, der zweite. Nachfolgend eine rollenspezifische Übersicht der wichtigsten nächsten Schritte.

Für die methodische Umsetzung der Risikoanalyse nach §30 BSIG bietet unser Artikel zur NIS2-Risikoanalyse praxisnahe Unterstützung.

Häufige Fragen

Was ist der wichtigste praktische Unterschied zwischen bwE und wE?

Das BSI kann besonders wichtige Einrichtungen anlassunabhängig prüfen und Audits oder Nachweise anordnen (§61 BSIG); einen festen Dreijahresrhythmus gibt es nur für Betreiber kritischer Anlagen (§39 BSIG). Bei wichtigen Einrichtungen wird das BSI nur tätig, wenn Tatsachen die Annahme eines Verstoßes rechtfertigen (§62 BSIG). Hinzu kommt der Bußgeldrahmen: bis zu 10 Mio. € statt bis zu 7 Mio. €. Die inhaltlichen Anforderungen — Risikomanagement, Meldepflichten, Registrierung — sind für beide Kategorien grundsätzlich identisch.

Warum heißt es im EU-Recht „wesentlich“, im deutschen Gesetz aber „besonders wichtig“?

Die EU-Richtlinie (EU) 2022/2555 nutzt in ihrer deutschen Fassung den Begriff „wesentliche Einrichtungen“ als Übersetzung von „essential entities“. Das nationale Umsetzungsgesetz NIS2UmsuCG und das überarbeitete BSIG verwenden stattdessen „besonders wichtige Einrichtungen“; das BSI stellt diese Zuordnung in seinen FAQ ausdrücklich klar. Inhaltlich bezeichnen beide Begriffe dieselbe Kategorie.

Gilt die Geschäftsleiterhaftung nach §38 BSIG nur für besonders wichtige Einrichtungen?

Nein. §38 BSIG gilt für Geschäftsleitungen beider Kategorien. Die Pflicht, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen, trifft die Geschäftsleitung selbst — operative Aufgaben können delegiert werden, die Überwachung bleibt bei ihr. Bei schuldhaften Pflichtverletzungen haftet sie der Einrichtung nach Gesellschaftsrecht (§38 Abs. 2). Der praktische Unterschied: Bei bwE kann das BSI anlassunabhängig prüfen, sodass Versäumnisse eher auffallen.

Was ist die Konzernklausel und warum ist sie wichtig?

Mit „Konzernklausel“ ist §28 Abs. 4 BSIG gemeint: Für die Größenschwellen werden nach der KMU-Empfehlung 2003/361/EG grundsätzlich auch die Daten von Partner- und verbundenen Unternehmen berücksichtigt. Eine Tochtergesellschaft mit 30 Mitarbeitenden, die zu einem Konzern mit 800 Beschäftigten gehört, wird regulatorisch in der Regel als Großunternehmen behandelt — und kann damit als bwE eingestuft sein, sofern sie einer Einrichtungsart nach Anlage 1 zuzuordnen ist. Die Hinzurechnung entfällt nur, wenn die Gesellschaft hinsichtlich ihrer IT-Systeme und -Prozesse unabhängig von den übrigen Konzernunternehmen ist (§28 Abs. 4 Satz 2 BSIG). Für Konzerne ist eine gruppenweite NIS2-Betroffenheitsanalyse daher dringend zu empfehlen.

Dieser Artikel stellt allgemeine Informationen bereit und ist kein Rechts- oder Beratungsersatz. Die Anforderungen können je nach Rechtsgebiet und Organisationstyp variieren. Konsultieren Sie für Ihren spezifischen Fall einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

1. NIS2-Richtlinie (EU) 2022/2555 — EUR-Lex (Deutsche Fassung), Artikel 3, 32, 33, Erwägungsgrund 122, Anhänge I und II
2. §28 BSIG — Besonders wichtige Einrichtungen und wichtige Einrichtungen (gesetze-im-internet.de)
3. §61 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen und §62 BSIG — für wichtige Einrichtungen
4. §65 BSIG — Bußgeldvorschriften
5. BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, insbesondere §§30, 32, 33, 38, 39 und Anlagen 1 und 2
6. Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen — EUR-Lex
7. Allgemeine FAQ zu NIS-2 — BSI
8. NIS-2-Pflichten für regulierte Unternehmen — BSI
9. NIS-2-Betroffenheitsprüfung — BSI