Direkte Antwort
Ob ein Unternehmen unter NIS2 fällt, lässt sich nicht zuverlässig allein aus Mitarbeiterzahl oder Branchenbezeichnung ableiten. Für Unternehmen in Deutschland ist eine strukturierte Prüfung nach dem geltenden BSI-Gesetz erforderlich. Entscheidend sind insbesondere die konkrete Tätigkeit, die gesetzliche Sektor- und Einrichtungsart, Größenmerkmale, verbundene Unternehmen sowie Sondertatbestände.
Die Betroffenheitsprüfung sollte nachvollziehbar dokumentiert werden. Neben dem Ergebnis gehören dazu die verwendeten Unternehmensdaten, Stichtage, Rechtsannahmen und offene Punkte. Bei komplexen Gruppenstrukturen, mehreren Geschäftstätigkeiten oder sektorspezifischen Sonderregeln ist eine rechtliche Einzelfallprüfung sinnvoll.
Management-Kernaussage: Die Betroffenheit ist eine Scope-Entscheidung. Ein falscher Scope führt entweder zu unnötigem Aufwand oder dazu, dass gesetzliche Pflichten zu spät erkannt werden.
NIS2-Betroffenheit in fünf Prüfschritten
1. Tätigkeit
Welche Leistungen erbringt das Unternehmen tatsächlich? Maßgeblich ist die konkrete Geschäftstätigkeit, nicht nur die Selbsteinordnung nach Branche.
2. Sektor
Ist die Tätigkeit einer Einrichtungsart oder einem Sektor des BSIG zuzuordnen? Anlagen 1 und 2 sind hierfür zentral.
3. Größe
Mitarbeiterzahl, Umsatz und Bilanzsumme müssen anhand der geltenden Größenregeln betrachtet werden.
4. Unternehmensgruppe
Partner- und verbundene Unternehmen können für die Größenbestimmung relevant sein. Konzernstrukturen dürfen nicht pauschal ignoriert werden.
5. Sondertatbestände
Bestimmte Einrichtungsarten können unabhängig von allgemeinen Größenmerkmalen erfasst sein. Sektorspezifische Vorrangregeln sind zusätzlich zu prüfen.
Welche Informationen vor der Prüfung benötigt werden
Eine belastbare Einordnung beginnt mit Unternehmensdaten, nicht mit einer abstrakten NIS2-Checkliste. Die folgende Arbeitsgrundlage reduziert typische Fehlannahmen.
| Prüffeld | Benötigte Information | Warum relevant |
|---|---|---|
| Rechtsträger | Gesellschaften, Beteiligungen, verbundene Unternehmen | Abgrenzung der zu prüfenden Einrichtung und Größenbetrachtung |
| Tätigkeiten | Produkte, Dienste, Betriebsmodelle, Kundengruppen | Zuordnung zur gesetzlichen Einrichtungsart |
| Größe | Mitarbeitende, Umsatz, Bilanzsumme, Stichtage | Prüfung der gesetzlichen Größenmerkmale |
| Standorte | Sitz, Niederlassungen, grenzüberschreitende Leistungen | Nationale Zuständigkeit und tatsächlicher Scope |
| Sonderstatus | KRITIS, Telekommunikation, DORA, öffentliche Aufgaben, besondere Dienste | Prüfung von Sonder- und Vorrangregelungen |
Besonders wichtige und wichtige Einrichtungen
Das deutsche BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Die Einstufung beeinflusst vor allem die aufsichtliche Behandlung. Die materiellen Pflichten zu Risikomanagement und Meldungen gelten für beide Kategorien in hohem Maße vergleichbar.
Die Kategorie ist keine frei wählbare Risikostufe. Sie ergibt sich aus dem Gesetz. Deshalb sollte die interne Dokumentation klar zwischen gesetzlicher Einordnung und eigener Cyber-Risikobewertung unterscheiden.
Sonderfälle, die häufig zu Fehlbewertungen führen
Mehrere Geschäftstätigkeiten
Ein Unternehmen kann unterschiedliche Leistungen erbringen. Die Prüfung muss feststellen, welche Tätigkeit unter eine gesetzliche Einrichtungsart fällt und welcher organisatorische oder technische Bereich davon betroffen ist.
Unternehmensgruppen
Die Größe eines einzelnen Rechtsträgers ist nicht immer die einzige relevante Kennzahl. Verbindungen zu Partner- und verbundenen Unternehmen können für die Größenbestimmung eine Rolle spielen.
Outsourcing
Die Auslagerung einer IT-Leistung beseitigt nicht automatisch die regulatorische Verantwortung für den eigenen Dienst. Kritische Abhängigkeiten zu Cloud-, Hosting- oder Managed-Service-Anbietern müssen im späteren Risikomanagement berücksichtigt werden.
Überschneidungen
DORA, Telekommunikationsrecht, Energie-, Gesundheits- oder andere sektorspezifische Regelungen können besondere Anforderungen oder Vorrangfragen erzeugen. Solche Fälle sollten ausdrücklich dokumentiert werden.
Fünf typische Fehlbewertungen
- „Wir haben weniger als 250 Mitarbeitende, also sind wir nicht betroffen.“ Das ist zu pauschal. Weitere Größenmerkmale, Gruppenbeziehungen und Sondertatbestände können relevant sein.
- „Unsere Branche heißt nicht kritisch.“ Entscheidend ist die gesetzlich definierte Tätigkeit, nicht die Marketing- oder Branchenbezeichnung.
- „Die Muttergesellschaft ist betroffen, also gilt automatisch dasselbe für jede Tochter.“ Rechtsträger und tatsächliche Tätigkeiten müssen sauber abgegrenzt werden.
- „Ein Zertifikat beantwortet die Betroffenheitsfrage.“ ISO 27001 oder TISAX können Kontrollen belegen, bestimmen aber nicht die gesetzliche NIS2-Einordnung.
- „Wir haben die Prüfung einmal gemacht.“ Akquisitionen, Wachstum, neue Dienste und Strukturänderungen können die Einordnung verändern.
So sollte das Ergebnis dokumentiert werden
| Feld | Dokumentation |
|---|---|
| Prüfgegenstand | Rechtsträger und betrachtete Leistungen |
| Stichtag | Datum der verwendeten Unternehmensdaten |
| Rechtsgrundlage | Herangezogene BSIG-Regelungen und Anlagen |
| Annahmen | Begründete Annahmen zu Tätigkeiten, Größe und Gruppenbeziehungen |
| Ergebnis | Betroffen / nicht betroffen / weiterer Prüfbedarf |
| Reviewer | Verantwortlicher und gegebenenfalls juristische Prüfung |
| Review-Trigger | Wachstum, Akquisition, neue Tätigkeit, Restrukturierung, Rechtsänderung |
Was nach festgestellter Betroffenheit als Nächstes geschieht
Nach der rechtlichen Einordnung beginnt die organisatorische Arbeit. Die Geschäftsleitung muss Verantwortung und Überwachung sicherstellen, der Ist-Zustand muss bewertet und die Umsetzung der gesetzlichen Risikomanagement- und Meldepflichten strukturiert geplant werden.
Für die Standortbestimmung ist die NIS2-Gap-Analyse der nächste logische Schritt. Die Leitungsverantwortung wird auf der Seite NIS2 für die Geschäftsleitung vertieft.
FAQ zur NIS2-Betroffenheit
Reicht die Mitarbeiterzahl zur Einordnung?
Nein. Größe ist wichtig, aber nicht das einzige Kriterium. Tätigkeit, Einrichtungsart, Unternehmensverbund und Sondertatbestände müssen mitbetrachtet werden.
Muss jedes Tochterunternehmen separat geprüft werden?
Die konkrete rechtliche und operative Einordnung sollte je relevantem Rechtsträger nachvollziehbar erfolgen. Gruppenbeziehungen können dabei für Größenmerkmale und Scope bedeutsam sein.
Kann ein ISO-27001-Zertifikat die Prüfung ersetzen?
Nein. Ein ISMS kann die spätere Umsetzung unterstützen, beantwortet aber nicht automatisch die gesetzliche Betroffenheitsfrage.
Passende NIS2 Resources
Je nach Ausgangslage führt der nächste Schritt entweder zur strukturierten Standortbestimmung oder direkt zur organisatorischen Umsetzung.
NIS2 Self-Assessment Toolkit
Reifegrad bewerten, Executive Gaps erkennen und Managementprioritäten ableiten.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollen, Register, Nachweise und Umsetzungshilfen aufbauen.
Verwandte NIS2-Themen
NIS2 für die Geschäftsleitung
Was Geschäftsleitungen nach festgestellter Betroffenheit steuern und überwachen müssen.
NIS2-Gap-Analyse
Den tatsächlichen Umsetzungsstand bewerten und priorisierte Executive Gaps ableiten.
NIS2-Umsetzungsplan
Aus identifizierten Lücken ein steuerbares Programm mit klaren Prioritäten machen.
NIS2 Reference Edition
Der vollständige fachliche Überblick zu NIS2 in Deutschland.
NIS2 Executive Self-Assessment
Standort bestimmen, Executive Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollenmodelle, Vorlagen und Nachweise für die Umsetzung.
Quellen und Rechtsstand
Die Seite wurde am 9. August 2026 fachlich gegen den aktuellen deutschen Rechtsrahmen und die veröffentlichten Informationen des BSI geprüft. Maßgeblich bleibt der jeweils geltende Gesetzes- und Behördenstand.
- BSI-Gesetz (BSIG) – konsolidierter Gesetzestext
- BSI: NIS-2-regulierte Unternehmen
- BSI: NIS-2-Pflichten
Hinweis: Diese Seite dient der fachlichen Orientierung und ersetzt keine Rechtsberatung oder Einzelfallprüfung.