Ab wann ist ein Unternehmen von NIS2 betroffen?

Grundsätzlich ab 50 Beschäftigten oder ab 10 Mio. € Jahresumsatz und 10 Mio. € Bilanzsumme, sofern das Unternehmen in einem der 18 NIS2-Sektoren tätig ist. Einzelne Einrichtungen (z. B. qualifizierte Vertrauensdiensteanbieter, Betreiber öffentlicher Kommunikationsnetze) sind unabhängig von der Größe betroffen.

Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung?

Beide müssen dieselben Risikomanagement- und Meldepflichten erfüllen. Der Unterschied liegt in der Aufsicht: Wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen nur anlassbezogen. Große Unternehmen in hochkritischen Sektoren gelten meist als wesentlich.

Gilt NIS2 auch für kleine Unternehmen?

Kleinst- und kleine Unternehmen sind in der Regel nicht direkt betroffen. Über Lieferkettenanforderungen ihrer betroffenen Kunden müssen sie jedoch häufig dennoch Sicherheitsnachweise erbringen.

Haftet die Geschäftsleitung bei NIS2?

Ja. NIS2 nimmt die Leitungsorgane ausdrücklich in die Verantwortung: Sie müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Bei Verstößen drohen persönliche Konsequenzen.

Wissen · NIS2

NIS2-Betroffenheit prüfen: Bin ich betroffen?

Ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, entscheidet sich an zwei Kriterien: Gehören Sie zu einem der von NIS2 erfassten Sektoren, und erreichen Sie die Größenschwelle? Als „wesentliche“ oder „wichtige“ Einrichtung gilt in der Regel, wer mindestens 50 Beschäftigte hat oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme erreicht und in einem der 18 Sektoren tätig ist. Dieser Leitfaden führt Sie in wenigen Schritten durch die Prüfung.

Rechtsgrundlage: Richtlinie (EU) 2022/2555 (NIS2)
Größenschwelle: ab 50 Beschäftigte oder 10 Mio. € Umsatz + Bilanzsumme
Sektoren: 18 (hohe Kritikalität + sonstige kritische)
Einstufung: wesentliche / wichtige Einrichtung
Nationale Umsetzung: NIS2-Umsetzungsgesetz (DE)

Die zwei Prüffragen auf einen Blick

NIS2-Betroffenheit ergibt sich aus der Kombination von Sektor und Größe. Erste Frage: Ist Ihr Unternehmen in einem der von NIS2 erfassten Sektoren tätig? Zweite Frage: Erreichen Sie die Größenschwelle für mittlere oder große Unternehmen? Nur wenn beide zutreffen, sind Sie grundsätzlich betroffen – es gibt jedoch Sonderfälle, die unabhängig von der Größe erfasst sind.

Die Größenschwelle orientiert sich an der EU-Definition für mittlere Unternehmen: ab 50 Beschäftigten oder ab 10 Mio. € Jahresumsatz und zugleich 10 Mio. € Bilanzsumme. Unternehmen darunter (Kleinstunternehmen und kleine Unternehmen) sind in der Regel nicht direkt betroffen – können aber über Lieferkettenanforderungen ihrer Kunden faktisch dennoch Nachweise erbringen müssen.

Erfasste Sektoren (Auswahl)

NIS2 unterscheidet Sektoren „mit hoher Kritikalität“ und „sonstige kritische Sektoren“. Zu den Bereichen mit hoher Kritikalität zählen unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Diensteverwaltung, öffentliche Verwaltung und Weltraum.

Zu den sonstigen kritischen Sektoren gehören unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie (Herstellung/Handel), Lebensmittel (Produktion/Verarbeitung/Vertrieb), das verarbeitende Gewerbe bestimmter Produkte (etwa Medizinprodukte, Maschinen, Fahrzeuge), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) sowie Forschung.

Wichtig: Bestimmte Einrichtungen gelten unabhängig von ihrer Größe als betroffen – etwa qualifizierte Vertrauensdiensteanbieter, Betreiber öffentlicher elektronischer Kommunikationsnetze oder Teile der öffentlichen Verwaltung.

Wesentliche vs. wichtige Einrichtung – der Unterschied

NIS2 teilt betroffene Unternehmen in „wesentliche“ und „wichtige“ Einrichtungen. Große Unternehmen in Sektoren mit hoher Kritikalität sind meist „wesentlich“, mittlere Unternehmen und Unternehmen in sonstigen kritischen Sektoren meist „wichtig“. Die Pflichten sind ähnlich; der Unterschied liegt vor allem in der Aufsicht: Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht, wichtige Einrichtungen einer anlassbezogenen (reaktiven).

Was folgt aus der Betroffenheit?

Betroffene Unternehmen müssen technische und organisatorische Risikomanagementmaßnahmen umsetzen (u. a. Risikoanalyse, Incident-Handling, Business Continuity, Lieferkettensicherheit, Zugriffskontrolle, Verschlüsselung), Sicherheitsvorfälle innerhalb gesetzlicher Fristen melden und die Geschäftsleitung in die Verantwortung nehmen – die Leitungsorgane haften für die Umsetzung.

In Deutschland wird NIS2 durch ein nationales Umsetzungsgesetz (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) konkretisiert. Achtung: Die nationale Umsetzung kann bei Begriffen, Schwellen und Bußgeldhöhen von der EU-Richtlinie abweichen – maßgeblich ist am Ende das deutsche Gesetz.

So prüfen Sie strukturiert

1. Sektor bestimmen: Ordnen Sie Ihre Haupttätigkeit einem NIS2-Sektor zu (hohe Kritikalität oder sonstiger kritischer Sektor). 2. Größe prüfen: Beschäftigte, Jahresumsatz und Bilanzsumme gegen die Schwellen halten. 3. Sonderfälle prüfen: Fallen Sie unabhängig von der Größe unter NIS2? 4. Einstufung festhalten: wesentliche oder wichtige Einrichtung. 5. Maßnahmen- und Meldeplan aufsetzen und dokumentieren.

Mit MGMSYS bilden Sie diese Prüfung samt Betroffenheitsanalyse, Maßnahmenplanung mit Fristen und revisionssicherer Dokumentation im NIS2-Modul ab – nachweisbar für Aufsicht und Kunden.

Häufige Fragen

Ab wann ist ein Unternehmen von NIS2 betroffen?: Grundsätzlich ab 50 Beschäftigten oder ab 10 Mio. € Jahresumsatz und 10 Mio. € Bilanzsumme, sofern das Unternehmen in einem der 18 NIS2-Sektoren tätig ist. Einzelne Einrichtungen (z. B. qualifizierte Vertrauensdiensteanbieter, Betreiber öffentlicher Kommunikationsnetze) sind unabhängig von der Größe betroffen.
Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung?: Beide müssen dieselben Risikomanagement- und Meldepflichten erfüllen. Der Unterschied liegt in der Aufsicht: Wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen nur anlassbezogen. Große Unternehmen in hochkritischen Sektoren gelten meist als wesentlich.
Gilt NIS2 auch für kleine Unternehmen?: Kleinst- und kleine Unternehmen sind in der Regel nicht direkt betroffen. Über Lieferkettenanforderungen ihrer betroffenen Kunden müssen sie jedoch häufig dennoch Sicherheitsnachweise erbringen.
Haftet die Geschäftsleitung bei NIS2?: Ja. NIS2 nimmt die Leitungsorgane ausdrücklich in die Verantwortung: Sie müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Bei Verstößen drohen persönliche Konsequenzen.