BSIG 2025 · Richtlinie (EU) 2022/2555
NIS2-Betroffenheit prüfen – sind Sie betroffen?
Seit dem 06.12.2025 gilt in Deutschland das neue BSI-Gesetz, das die NIS-2-Richtlinie umsetzt. Ob Ihr Unternehmen erfasst ist, müssen Sie selbst feststellen: Eine Behörde teilt die Betroffenheit nicht mit. Maßgeblich sind die Einrichtungsarten der Anlagen 1 und 2 sowie die Schwellenwerte des § 28 BSIG – und die weichen von der oft zitierten EU-Fassung ab.
Unverbindlich testen – keine Verpflichtung, keine automatische Vertragsbindung.
Fachlich geprüft von Dr. Stefan Spörrer, LL.M. – Wirtschaftsjurist, geprüfter Datenschutzbeauftragter und Gründer von MGMSYS · Aktualisiert: Juli 2026
Auf einen Blick
Betroffen ist, wer einer Einrichtungsart der Anlage 1 oder 2 des BSIG zuzuordnen ist und die jeweiligen Schwellenwerte erreicht. Das deutsche Recht kennt dabei besonders wichtige und wichtige Einrichtungen – nicht die aus der EU-Richtlinie bekannten wesentlichen Einrichtungen.
- Das BSIG in der Fassung vom 02.12.2025 ist seit dem 06.12.2025 in Kraft (BGBl. 2025 I Nr. 301) und wurde zuletzt durch Artikel 4 des Gesetzes vom 11.03.2026 geändert.
- Besonders wichtige Einrichtung nach § 28 Abs. 1 Nr. 4 BSIG: Einrichtungsart der Anlage 1 und mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. Euro und zugleich Bilanzsumme über 43 Mio. Euro.
- Wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG: Einrichtungsart der Anlagen 1 oder 2 und mindestens 50 Beschäftigte oder Jahresumsatz und Bilanzsumme jeweils über 10 Mio. Euro.
- Betreiber kritischer Anlagen sowie qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Diensteanbieter sind unabhängig von der Größe besonders wichtige Einrichtungen.
- Die Registrierung beim BSI ist nach § 33 Abs. 1 BSIG binnen drei Monaten Pflicht – für am 06.12.2025 bereits betroffene Einrichtungen lief die Frist am 06.03.2026 ab. Das Registrierungsportal ist seit Januar 2026 freigeschaltet.
- Die materiellen Pflichten aus §§ 30, 32 und 38 BSIG sind für beide Kategorien identisch. Unterschiedlich ist die Aufsicht: proaktiv nach § 61, anlassbezogen nach § 62.
- Für Finanzunternehmen nach Art. 2 Abs. 2 DORA sowie für Teile des TK- und Energiesektors gelten nach § 28 Abs. 5 und 6 BSIG Bereichsausnahmen.
Primärquellen: BSI-Gesetz 2025 (gesetze-im-internet.de) · Richtlinie (EU) 2022/2555 (EUR-Lex) · BSI – NIS-2 regulierte Unternehmen
Stand: Juli 2026 · Überblick ohne Gewähr, ersetzt keine Rechtsberatung im Einzelfall.
Begriffe
Besonders wichtig oder wichtig – warum die EU-Begriffe hier nicht passen
Wer nach NIS2 recherchiert, stößt überall auf wesentliche und wichtige Einrichtungen. Das ist die Sprache der Richtlinie. Das deutsche Umsetzungsgesetz verwendet andere Begriffe – und wer den falschen benutzt, sucht im Gesetz vergeblich.
Die Richtlinie (EU) 2022/2555 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Das BSIG spricht stattdessen durchgängig von besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Der Begriff wesentliche Einrichtung ist im deutschen Recht kein Rechtsbegriff. Für die Einordnung Ihres Unternehmens ist ausschließlich das BSIG maßgeblich – die Richtlinie richtet sich an die Mitgliedstaaten, nicht an Unternehmen.
| Richtlinie (EU) 2022/2555 | BSIG 2025 | Fundstelle |
|---|---|---|
| wesentliche Einrichtungen | besonders wichtige Einrichtungen | § 28 Abs. 1 BSIG |
| wichtige Einrichtungen | wichtige Einrichtungen | § 28 Abs. 2 BSIG |
| Anhang I – 11 Sektoren hoher Kritikalität | Anlage 1 – 7 Sektoren | Anlage 1 BSIG |
| Anhang II – 7 sonstige kritische Sektoren | Anlage 2 – 7 Sektoren | Anlage 2 BSIG |
Die häufig genannte Zahl von 18 Sektoren stammt aus der Richtlinie (11 plus 7). Das BSIG führt in seinen Anlagen jeweils 7 Sektoren – nicht, weil Bereiche entfallen wären, sondern weil sie anders geschnitten sind: Der EU-Sektor Verwaltung von IKT-Diensten geht in Anlage 1 Nr. 6 Digitale Infrastruktur auf, wo Managed Services Provider und Managed Security Services Provider ausdrücklich als Einrichtungsarten genannt sind. Trinkwasser und Abwasser sind im BSIG zum Sektor Wasser zusammengefasst, Bankwesen und Finanzmarktinfrastrukturen zum Sektor Finanzwesen. Die öffentliche Verwaltung des Bundes ist separat in § 29 BSIG geregelt.
Schwellenwerte
Die Größenkriterien des § 28 BSIG im Detail
Hier weicht das deutsche Recht deutlich von der verbreiteten Faustformel ab. Die oft zitierte Schwelle von 50 Beschäftigten oder 10 Mio. Euro gilt nur für wichtige Einrichtungen – und auch dort nicht so, wie sie meist wiedergegeben wird.
| Kategorie | Einrichtungsart | Schwellenwert |
|---|---|---|
| Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 4) | Anlage 1 | mindestens 250 Beschäftigte ODER Jahresumsatz über 50 Mio. Euro UND zugleich Jahresbilanzsumme über 43 Mio. Euro |
| Wichtige Einrichtung (§ 28 Abs. 2 Nr. 3) | Anlage 1 oder Anlage 2 | mindestens 50 Beschäftigte ODER Jahresumsatz UND Jahresbilanzsumme jeweils über 10 Mio. Euro |
| Betreiber kritischer Anlagen (§ 28 Abs. 1 Nr. 1) | kritische Anlage | größenunabhängig besonders wichtige Einrichtung |
| Qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 2) | unabhängig von Anlage 1/2 | größenunabhängig besonders wichtige Einrichtung |
| Vertrauensdiensteanbieter ohne Qualifikation (§ 28 Abs. 2 Nr. 1) | unabhängig von Anlage 1/2 | größenunabhängig wichtige Einrichtung |
Achten Sie auf die Verknüpfungen: Bei den besonders wichtigen Einrichtungen genügt die Beschäftigtenzahl allein, der finanzielle Weg verlangt dagegen Umsatz und Bilanzsumme kumulativ. Wer nur eine der beiden finanziellen Größen überschreitet, erreicht die Schwelle über diesen Weg nicht.
Praktisch besonders relevant ist die Konzernklausel des § 28 Abs. 4 BSIG: Die Berechnung folgt der Empfehlung 2003/361/EG, allerdings ausdrücklich mit Ausnahme von Artikel 3 Absatz 4 des Anhangs. Daten von Partnerunternehmen und verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen IT-technisch unabhängig ist. Diese Ausnahme kann darüber entscheiden, ob eine mittelständische Konzerntochter erfasst wird oder nicht – sie sollte dokumentiert begründet werden. Nach § 28 Abs. 3 BSIG können außerdem vernachlässigbare Geschäftstätigkeiten bei der Zuordnung außer Betracht bleiben.
Drei Prüfschritte
So stellen Sie Ihre Betroffenheit fest
Die Prüfung läuft in drei Schritten – und endet nicht bei der Größenschwelle, sondern bei den Bereichsausnahmen.
- 1
Einrichtungsart zuordnen (Anlage 1 / Anlage 2)
Maßgeblich ist nicht der Sektor im Groben, sondern die konkrete Einrichtungsart, die in den Anlagen aufgeführt ist – und die tatsächlich erbrachte Leistung, nicht der Unternehmensgegenstand laut Handelsregister. Bei Mischbetrieben ist jede Tätigkeit einzeln zu prüfen.
- 2
Schwellenwert des § 28 BSIG anlegen
Anlage 1 mit mindestens 250 Beschäftigten oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme führt zur besonders wichtigen Einrichtung. Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder jeweils über 10 Mio. Euro Umsatz und Bilanzsumme führt zur wichtigen Einrichtung.
- 3
Sonderfälle und Bereichsausnahmen prüfen
Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Diensteanbieter sind größenunabhängig erfasst. Umgekehrt nehmen § 28 Abs. 5 und 6 BSIG Teile des TK- und Energiesektors sowie Finanzunternehmen nach DORA von zentralen Pflichten aus.
Bereichsausnahmen
Wer trotz Sektor und Größe nicht erfasst ist
Das BSIG nimmt mehrere Bereiche von seinen Kernpflichten aus, weil dort bereits eigene Regelwerke greifen. Diese Ausnahmen werden in Ratgebern häufig übersehen.
Finanzunternehmen unter DORA
Nach § 28 Abs. 6 BSIG gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für Finanzunternehmen im Sinne des Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 (DORA) sowie für die Gesellschaft für Telematik und Anbieter von Diensten der Telematikinfrastruktur nach SGB V. Der Grund: DORA ist für diese Unternehmen das speziellere Regelwerk. Wie das Zusammenspiel bei Meldungen funktioniert, zeigt die DORA-Seite.
Telekommunikation und Energie
Nach § 28 Abs. 5 BSIG sind Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie Energieversorgungsnetze, Energieanlagen und digitale Energiedienste, die den §§ 5c bis 5e EnWG unterliegen, von zentralen Pflichten ausgenommen – jeweils mit Rückausnahmen. § 28 Abs. 8 BSIG nimmt zudem bestimmte kommunale Organisationseinheiten aus, die landesrechtlich reguliert sind.
Eine Bereichsausnahme bedeutet nicht, dass gar keine Anforderungen gelten – sie verweist auf ein anderes Regelwerk. Wer sich auf eine Ausnahme stützt, sollte die Einordnung ebenso sauber dokumentieren wie eine positive Betroffenheitsfeststellung.
§ 33 BSIG
Registrierungspflicht beim BSI – Frist bereits abgelaufen
Wer betroffen ist, muss sich aktiv registrieren. Die gesetzliche Frist beträgt drei Monate ab dem Zeitpunkt, ab dem eine Einrichtung erstmals oder erneut als betroffen gilt.
Nach § 33 Abs. 1 BSIG haben besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter dem BSI binnen drei Monaten unter anderem Name und Rechtsform, Anschrift und Kontaktdaten, die öffentlichen IP-Adressbereiche, den relevanten Sektor nach Anlage 1 oder 2, die Mitgliedstaaten mit Diensterbringung und die zuständigen Aufsichtsbehörden zu übermitteln. Für Einrichtungen, die am 06.12.2025 bereits betroffen waren, lief diese Frist am 06.03.2026 ab. Wer die Betroffenheit erst später erlangt, hat ab diesem Zeitpunkt drei Monate.
Das Registrierungsportal ist verfügbar: Das BSI hat es Anfang Januar 2026 freigeschaltet. Der Weg führt zweistufig über das Nutzerkonto Mein Unternehmenskonto und anschließend über das BSI-Portal. Änderungen der übermittelten Angaben sind nach § 33 Abs. 5 BSIG unverzüglich, spätestens binnen zwei Wochen ab Kenntnis nachzuziehen.
Frist
3 Monate
ab dem Zeitpunkt, ab dem die Einrichtung erstmals oder erneut als betroffen gilt (§ 33 Abs. 1 BSIG).
Selbstidentifikation
Eigenverantwortung
Eine Behörde teilt die Betroffenheit nicht mit. Bleibt die Registrierung aus, kann das BSI die Einrichtung nach § 33 Abs. 3 BSIG selbst registrieren.
Bußgeldrahmen
bis 500.000 Euro
Ein Verstoß gegen die Registrierungspflicht ist nach § 65 Abs. 2 Nr. 6, Abs. 5 BSIG bewehrt – nicht mit den oft genannten 10 Mio. Euro.
Aufsicht und Sanktionen
Was die Einstufung praktisch bedeutet
Die materiellen Pflichten sind für beide Kategorien identisch. Der Unterschied liegt in der Aufsicht – und im Bußgeldrahmen.
Besonders wichtige Einrichtungen unterliegen nach § 61 BSIG einer proaktiven Aufsicht: Das BSI kann Audits und Prüfungen anordnen, Nachweise verlangen, Geschäfts- und Betriebsräume betreten, Maßnahmen und Mängelbeseitigungspläne anordnen und die Veröffentlichung von Verstößen verlangen. Bei wichtigen Einrichtungen greift § 62 BSIG dagegen nur anlassbezogen – wenn Tatsachen die Annahme rechtfertigen, dass Pflichten aus § 30 Abs. 1, § 32 Abs. 1 bis 3 oder § 38 Abs. 3 nicht oder nicht richtig umgesetzt werden.
Beim Bußgeldrahmen weicht das BSIG von der oft zitierten EU-Formel ab. Die Richtlinie nennt mindestens 10 Mio. Euro oder 2 Prozent des weltweiten Umsatzes, je nachdem welcher Betrag höher ist. § 65 BSIG setzt das anders um: Es gilt ein gestaffelter Katalog fester Höchstbeträge; die umsatzbezogene Alternative von 2 Prozent beziehungsweise 1,4 Prozent greift nach § 65 Abs. 6 und 7 BSIG nur gegenüber Einrichtungen mit einem Gesamtumsatz über 500 Mio. Euro und nur bei bestimmten Verstößen.
| Höchstbetrag | Betroffene Pflicht (Auswahl) |
|---|---|
| 10 Mio. Euro | Risikomanagement nach § 30, Meldepflichten nach § 32, Unterrichtung nach § 35 – bei besonders wichtigen Einrichtungen |
| 7 Mio. Euro | dieselben Pflichten – bei wichtigen Einrichtungen |
| 5 Mio. Euro | Einsatz kritischer Komponenten nach § 41 Abs. 5 |
| 2 Mio. Euro | Nichtbefolgung bestimmter Anordnungen des BSI |
| 1 Mio. Euro | Nachweis nach § 39 Abs. 1 nicht, nicht rechtzeitig oder nicht richtig erbracht |
| 500.000 Euro | Registrierungspflicht nach § 33, Nichtbefolgung von Anordnungen nach § 61 |
| 100.000 Euro | Auskunfts- und Duldungspflichten, § 33 Abs. 2 Satz 2 |
Nach § 65 Abs. 11 BSIG ist eine Doppelbebußung ausgeschlossen, wenn wegen desselben Verhaltens bereits eine Geldbuße nach der DSGVO verhängt wurde.
Sobald Ihre Betroffenheit feststeht, beginnt die eigentliche Arbeit – Risikomanagement nach § 30, Meldewege nach § 32 und die Geschäftsleitungspflichten nach § 38. Wie MGMSYS die vollständige Umsetzung abbildet, zeigt die NIS2-Hauptseite; die Pflichten der Leitungsebene behandelt die Seite NIS2 und Geschäftsleitung.
Häufige Fragen
- Heißt es wesentliche oder besonders wichtige Einrichtung?
Im deutschen Recht heißt es besonders wichtige Einrichtung. Der Begriff wesentliche Einrichtung stammt aus der EU-Richtlinie 2022/2555 und ist im BSIG kein Rechtsbegriff. Für die Einordnung eines deutschen Unternehmens ist § 28 BSIG maßgeblich.
- Welche Größenschwelle gilt für NIS2 in Deutschland?
Für wichtige Einrichtungen: mindestens 50 Beschäftigte oder Jahresumsatz und Bilanzsumme jeweils über 10 Mio. Euro. Für besonders wichtige Einrichtungen: mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. Euro und zugleich Bilanzsumme über 43 Mio. Euro. Die finanziellen Kriterien gelten kumulativ, die Beschäftigtenzahl allein genügt.
- Gibt es wirklich 18 Sektoren?
18 Sektoren nennt die EU-Richtlinie: 11 Sektoren hoher Kritikalität in Anhang I und 7 sonstige kritische Sektoren in Anhang II. Das BSIG führt in Anlage 1 und Anlage 2 jeweils 7 Sektoren, weil es einzelne EU-Sektoren zusammenfasst und die öffentliche Verwaltung des Bundes separat in § 29 regelt.
- Kann ich auch unterhalb der Größenschwelle betroffen sein?
Ja. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Diensteanbieter sind größenunabhängig besonders wichtige Einrichtungen; Vertrauensdiensteanbieter ohne Qualifikation sind größenunabhängig wichtige Einrichtungen. Außerdem werden Sie über Lieferkettenanforderungen Ihrer Kunden faktisch in die Pflicht genommen.
- Zählen Konzernschwestern bei der Größe mit?
Nicht zwingend. § 28 Abs. 4 BSIG verweist auf die Empfehlung 2003/361/EG, nimmt aber Artikel 3 Absatz 4 des Anhangs ausdrücklich aus: Daten von Partnerunternehmen und verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen IT-technisch unabhängig ist. Diese Einordnung sollte dokumentiert begründet werden.
- Muss ich mich aktiv beim BSI registrieren?
Ja. Nach § 33 Abs. 1 BSIG besteht die Pflicht binnen drei Monaten ab Betroffenheit. Für am 06.12.2025 bereits betroffene Einrichtungen lief die Frist am 06.03.2026 ab. Kommt eine Einrichtung der Pflicht nicht nach, kann das BSI sie nach § 33 Abs. 3 BSIG selbst registrieren; zudem ist der Verstoß mit bis zu 500.000 Euro bewehrt.
- Gilt NIS2 auch für Banken und Versicherer?
Für Finanzunternehmen im Sinne des Art. 2 Abs. 2 DORA nimmt § 28 Abs. 6 BSIG die zentralen Pflichten aus den §§ 30, 31, 32, 35, 36, 38 und 39 aus. Maßgeblich ist für diese Unternehmen die Verordnung (EU) 2022/2554 (DORA) als spezielleres Regelwerk.
- Was passiert nach der Betroffenheitsfeststellung?
Steht die Betroffenheit fest, sind die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen, die Meldewege nach § 32 BSIG einzurichten und die Pflichten der Geschäftsleitung nach § 38 BSIG zu erfüllen – einschließlich der regelmäßigen Schulung. MGMSYS bildet diese Schritte strukturiert ab und führt die Nachweise revisionssicher.
Klären Sie zuerst, ob NIS2 Sie betrifft
MGMSYS führt Sie von der Betroffenheitsfeststellung über die Registrierung bis zum vollständigen Nachweisstand – strukturiert und dokumentiert. Der Testzugang ist unverbindlich – keine automatische Vertragsbindung.