NIS2-Betroffenheit prüfen: So klären Sie es für jede Gesellschaft
Eine Unternehmensgruppe besteht aus einer Holding, einer Produktionsgesellschaft, einer Vertriebsgesellschaft in Österreich und einer kleinen Softwaretochter. Die Geschäftsführung will wissen, ob NIS2 für sie gilt. Für die Gruppe als Ganzes lässt sich das nicht beantworten, denn NIS2 betrachtet keine Gruppen. Es betrachtet jede Gesellschaft einzeln, was sie tut und wie groß sie ist. Zwei Gesellschaften derselben Gruppe können in unterschiedlichen Kategorien landen, und eine davon kann gar nicht betroffen sein.
Die Prüfung läuft Gesellschaft für Gesellschaft, mit den Unterlagen, die Sie an jeder Stelle brauchen. Grundlage ist das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes, das seit 6. Dezember 2025 gilt. Welche Pflichten danach folgen, beschreibt unser Leitfaden zum NIS2-Umsetzungsgesetz.
Das Wichtigste in Kürze
- Prüfen Sie jede Gesellschaft einzeln. Die Gruppe ist nicht der Maßstab.
- Der Sektor kommt zuerst. Erbringt eine Gesellschaft keine Leistung aus Anlage 1 oder 2 des BSIG, spielt die Größe keine Rolle.
- Konzerndaten zählen grundsätzlich mit. Partner- und verbundene Unternehmen werden hinzugerechnet, außer die Gesellschaft betreibt ihre IT unabhängig.
- Manche Einrichtungen sind unabhängig von ihrer Größe betroffen, etwa Betreiber kritischer Anlagen und DNS-Diensteanbieter.
- Die Registrierung beim BSI ist innerhalb von drei Monaten fällig, nachdem eine Gesellschaft betroffen ist.
- Halten Sie das Ergebnis schriftlich fest. Eine dokumentierte Prüfung ist das, was Kunden, Prüfer oder das BSI sehen wollen.
Warum eine Antwort für die ganze Gruppe nicht reicht
§ 28 BSIG beschreibt „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“. Beide ergeben sich aus der Art der Leistung und aus der Größe. Eine Holding, die nur Beteiligungen verwaltet, erbringt keine der genannten Leistungen. Eine Produktionsgesellschaft im Maschinenbau schon. Eine Softwaretochter kann unter verwaltete IKT-Dienste fallen, wenn sie Systeme für Geschäftskunden betreibt, oder unter gar nichts, wenn sie nur Lizenzen verkauft.
Das erste Ergebnis der Prüfung ist deshalb eine einfache Tabelle: eine Zeile je Gesellschaft, mit Tätigkeiten, Kennzahlen und Ergebnis. Alles Weitere baut darauf auf.
Die Prüfung in vier Fragen
1. Ist die Gesellschaft in einem genannten Sektor tätig?
Anlage 1 des BSIG umfasst Sektoren mit hoher Kritikalität: Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für Geschäftskunden und Weltraum. Anlage 2 umfasst weitere Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, die Herstellung von Medizinprodukten, Datenverarbeitungsgeräten und Elektronik, elektrischen Ausrüstungen, Maschinen und Fahrzeugen, digitale Dienste wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke sowie Forschung.
Lesen Sie die Beschreibungen genau. Sie beziehen sich oft auf bestimmte Tätigkeiten oder EU-Klassifikationen, und die Details entscheiden. Wer Software für Krankenhäuser schreibt, ist kein Krankenhaus. Wer die IT von Krankenhäusern als verwalteten Dienst betreibt, kann dagegen als Anbieter verwalteter Dienste betroffen sein.
Tätigkeiten, die im Vergleich zur gesamten Geschäftstätigkeit vernachlässigbar sind, können außer Betracht bleiben. Das Gesetz nennt dafür keine Zahl. Halten Sie deshalb fest, warum Sie eine Tätigkeit für untergeordnet halten, etwa anhand ihres Anteils an Umsatz und Personal.
2. Ist die Gesellschaft unabhängig von ihrer Größe betroffen?
Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz. Dazu gehören Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Für Anbieter öffentlicher Telekommunikationsnetze und -dienste gelten eigene Regeln. Trifft einer dieser Fälle zu, ist die Gesellschaft betroffen. Die Größe entscheidet dann nur noch über die Kategorie, soweit das Gesetz das vorsieht.
3. Ist die Gesellschaft groß genug?
Für alle anderen entscheiden die Schwellenwerte. Eine Gesellschaft ist mindestens wichtige Einrichtung, wenn sie 50 oder mehr Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Groß ist sie ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme.
Gezählt wird nach der KMU-Empfehlung 2003/361/EG der EU-Kommission. Die Daten verbundener Unternehmen, meist bei Beherrschung, werden voll hinzugerechnet, die Daten von Partnerunternehmen mit Beteiligungen zwischen 25 und 50 Prozent anteilig. Eine Tochter mit 40 Beschäftigten in einem großen Konzern gilt deshalb in der Regel als groß.
Deutschland hat eine wichtige Ausnahme ergänzt. Die Konzerndaten werden nicht hinzugerechnet, wenn die Gesellschaft unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bei Beschaffenheit und Betrieb ihrer IT-Systeme, Komponenten und Prozesse unabhängig von ihren Partner- oder verbundenen Unternehmen ist. Eine Gesellschaft am gemeinsamen ERP, am gemeinsamen Verzeichnisdienst und am Konzernnetz ist in der Praxis kaum unabhängig. Eine Tochter mit eigener IT, eigenen Administratoren und eigenen Verträgen kann es sein. Wenn Sie sich auf diese Ausnahme stützen, dokumentieren Sie die Begründung ausführlich. Sie ist der Teil der Prüfung, der am ehesten hinterfragt wird.
4. Welche Kategorie?
Große Gesellschaften in einem Sektor aus Anlage 1 sind besonders wichtige Einrichtungen. Mittlere Gesellschaften in Anlage 1 sowie mittlere und große Gesellschaften in Anlage 2 sind wichtige Einrichtungen. Betreiber kritischer Anlagen sind immer besonders wichtig. Die Kategorie wirkt sich auf die Aufsicht und die Höhe der Bußgelder aus. Die Sicherheitsmaßnahmen und Meldepflichten sind für beide gleich.
Ein Beispiel
Zurück zur Gruppe vom Anfang. Die Holding erbringt keine genannte Leistung und ist nicht betroffen. Die Produktionsgesellschaft baut Maschinen, ein Sektor aus Anlage 2, und hat 180 Beschäftigte: eine wichtige Einrichtung. Die österreichische Vertriebsgesellschaft wird nach österreichischem Recht geprüft, dem NISG 2026, das seit 1. Oktober 2026 gilt. Die Softwaretochter hat 25 Beschäftigte, verkauft Lizenzen und betreibt keine Systeme für Kunden. Sie erbringt keine genannte Leistung und ist nicht betroffen, auch wenn sie die IT der Gruppe nutzt.
Das Ergebnis: eine wichtige Einrichtung in Deutschland, eine Gesellschaft, die in Österreich zu prüfen ist, und zwei nicht betroffene Gesellschaften, jeweils mit kurzer schriftlicher Begründung.
Was Sie dokumentieren sollten
- Eine Liste aller Gesellschaften mit Sitz und Tätigkeiten.
- Beschäftigte, Umsatz und Bilanzsumme je Gesellschaft, mit hinzugerechneten Konzerndaten, wo nötig.
- Die Zuordnung zum Sektor mit dem genauen Eintrag in Anlage 1 oder 2, oder die Begründung, warum keiner passt.
- Jede Berufung auf die IT-Unabhängigkeit oder auf vernachlässigbare Tätigkeiten, mit Nachweisen.
- Das Ergebnis je Gesellschaft, das Datum der Prüfung und wer es freigegeben hat.
Wiederholen Sie die Prüfung, wenn sich etwas ändert: ein Zukauf, eine neue Leistung, ein neues Land oder ein Schwellenwert, der im Jahresabschluss überschritten wird. Die Pflicht zur Registrierung beginnt an dem Tag, an dem eine Gesellschaft betroffen ist.
Wenn die Antwort Ja lautet
Registrieren Sie jede betroffene Gesellschaft innerhalb von drei Monaten beim BSI. Die Registrierung läuft über das BSI-Portal und umfasst Kontaktdaten, Sektor, Größe und die Mitgliedstaaten, in denen Sie Leistungen erbringen. Danach beginnt die eigentliche Arbeit: die zehn Bereiche von Sicherheitsmaßnahmen nach § 30, die gestuften Meldungen nach § 32 und die Pflichten der Geschäftsleitung nach § 38. Wer bereits ISO 27001 betreibt oder ein TISAX®-Label hat, hat einen großen Teil der technischen Arbeit umgesetzt. Was meist fehlt, sind Registrierung, Meldefristen sowie Freigabe und Schulung durch die Geschäftsleitung.
Wo die Prüfung oft schiefgeht
- Die Gruppe prüfen statt jeder Gesellschaft. Das Ergebnis ist dann zu weit oder zu eng.
- Konzerndaten vergessen. Kleine Töchter großer Konzerne sind unter NIS2 selten klein.
- IT-Unabhängigkeit ohne Nachweis behaupten. Ein gemeinsamer Verzeichnisdienst reicht, um die Begründung zu schwächen.
- Die Sektorliste nach Firmennamen lesen statt nach Tätigkeit. Entscheidend ist, was die Gesellschaft tut.
- Nur einmal prüfen. Die Betroffenheit ändert sich mit dem Geschäft.
Das BSI bietet außerdem einen Online-Fragebogen für eine erste Einschätzung an. Er ist ein guter Anfang. Eine dokumentierte Prüfung je Gesellschaft, die Sie Kunden oder Prüfern zeigen können, ersetzt er nicht.
