- Frage 1: Steht die Tätigkeit auf der Sektorliste?
- Frage 2: Wird die Größenschwelle gerissen?
- Frage 3: Gilt eine Ausnahme unabhängig von der Größe?
- Wesentlich oder wichtig: was der Unterschied praktisch bedeutet
Die Prüfung, ob ein Unternehmen unter NIS2 fällt, braucht keine Kanzlei und keine Projektwoche. Sie hängt an genau drei Punkten: Gehört die Tätigkeit zu einem der in der Richtlinie gelisteten Sektoren, reißt der Betrieb die Größenschwelle von 50 Beschäftigten beziehungsweise 10 Millionen Euro, und greift ausnahmsweise eine Regel, die unabhängig von der Größe gilt. Wer alle drei Fragen beantworten kann, weiß nach einer Viertelstunde, woran er ist.
Der Rest dieses Textes liefert die Antworten dazu: welche Branchen gelistet sind, wie Beschäftigte und Umsatz gezählt werden, welche Pflichten dann gelten und was es kostet, sie zu ignorieren. Das Bundesinnenministerium geht in der Gesetzesbegründung von knapp 30.000 betroffenen Einrichtungen in Deutschland aus. Vorher waren es wenige Tausend.
Frage 1: Steht die Tätigkeit auf der Sektorliste?
NIS2 kennt zwei Anhänge. Anhang I umfasst die Sektoren mit hoher Kritikalität, Anhang II die sonstigen kritischen Sektoren. Wer in keinem von beiden auftaucht, ist raus, egal wie groß der Betrieb ist.
- Anhang I: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für Dritte, öffentliche Verwaltung, Weltraum.
- Anhang II: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie (Herstellung und Handel), Lebensmittel (Produktion, Verarbeitung, Vertrieb), Forschungseinrichtungen, Anbieter digitaler Dienste wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke sowie Teile des verarbeitenden Gewerbes.
Der letzte Punkt ist für den industriellen Mittelstand der entscheidende. Erfasst sind Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau. Ein Lohnfertiger für Blechteile, der überwiegend Maschinenbaukomponenten herstellt, kann damit drin sein, eine Tischlerei oder ein Dachdeckerbetrieb nicht.
Maßgeblich ist die tatsächliche wirtschaftliche Tätigkeit, nicht der Firmenname und nicht die Selbstbeschreibung im Handelsregister. Praktischer Einstieg: den eigenen WZ-Code aus den Unterlagen des Statistischen Landesamts oder der IHK heraussuchen und gegen die Liste halten. Wer mehrere Standbeine hat, prüft jedes einzeln. Es reicht, wenn eine Tätigkeit gelistet ist.
Frage 2: Wird die Größenschwelle gerissen?
Die Schwelle orientiert sich an der EU-Definition mittlerer Unternehmen. Erfasst ist ein Betrieb, der mindestens 50 Beschäftigte hat oder dessen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Ein Unternehmen mit 38 Mitarbeitern und 14 Millionen Euro Umsatz, aber einer Bilanzsumme von 6 Millionen Euro, bleibt also außen vor. Das Oder zwischen Kopfzahl und Finanzkennzahl wird regelmäßig übersehen.
Gezählt wird in Jahresarbeitseinheiten. Teilzeitkräfte und Saisonkräfte gehen anteilig ein, Auszubildende und Praktikanten in einem Ausbildungsverhältnis zählen nicht mit. Entscheidend sind die Werte des letzten abgeschlossenen Geschäftsjahres.
Heikel wird es bei Konzernstrukturen. Nach der EU-KMU-Definition rechnest du Partnerunternehmen ab einer Beteiligung von 25 Prozent anteilig hinzu und verbundene Unternehmen ab 50 Prozent oder beherrschendem Einfluss vollständig. Eine GmbH mit 30 Beschäftigten, die zu einer Holding mit vier weiteren Gesellschaften gehört, liegt nach Addition schnell über 50. Genau an dieser Stelle fallen Familienunternehmen mit mehreren Gesellschaften in den Anwendungsbereich, ohne es zu merken.
Frage 3: Gilt eine Ausnahme unabhängig von der Größe?
Einige Einrichtungen sind erfasst, auch wenn sie nur drei Mitarbeiter haben. Dazu gehören Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, DNS-Diensteanbieter, TLD-Namensregister, qualifizierte Vertrauensdiensteanbieter sowie Einrichtungen, die als einziger Anbieter eine für die Gesellschaft oder Wirtschaft kritische Dienstleistung erbringen. Auch Teile der öffentlichen Verwaltung fallen ohne Größenprüfung darunter.
Für einen regionalen Internet- oder Telefonieanbieter mit zwölf Beschäftigten heißt das: betroffen, Punkt. Für einen IT-Systemhaus-Betrieb heißt es: Die Größenschwelle gilt, aber der Sektor Verwaltung von IKT-Diensten trifft Managed-Service-Provider und Managed-Security-Service-Provider direkt.
Wesentlich oder wichtig: was der Unterschied praktisch bedeutet
Betroffene Einrichtungen werden in zwei Klassen sortiert. Die Pflichten sind fast identisch, Aufsicht und Bußgeldrahmen unterscheiden sich deutlich.
| Wesentliche Einrichtung | Wichtige Einrichtung | |
|---|---|---|
| Typische Schwelle | ab 250 Beschäftigte oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme, Sektoren aus Anhang I | ab 50 Beschäftigte oder über 10 Mio. Euro Umsatz und Bilanzsumme, Sektoren aus Anhang I und II |
| Aufsicht durch das BSI | proaktiv, auch ohne Anlass (Audits, Vor-Ort-Prüfungen) | reaktiv, erst bei Hinweisen auf Verstöße |
| Bußgeldrahmen | bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist | bis 7 Mio. Euro oder 1,4 Prozent des weltweiten Jahresumsatzes |
Für einen Betrieb mit 80 Mitarbeitern im Maschinenbau bedeutet das: wichtige Einrichtung, keine routinemäßige Prüfung, aber volle Pflichten und volle Haftung, sobald etwas passiert.
Die Pflichten im Klartext
Im Zentrum stehen Risikomanagementmaßnahmen nach dem Stand der Technik. Die Richtlinie listet zehn Bereiche, die abgedeckt sein müssen: Risikoanalyse und Sicherheitskonzepte, Umgang mit Sicherheitsvorfällen, Business Continuity inklusive Backup-Management und Krisenkommunikation, Sicherheit der Lieferkette, Sicherheit bei Beschaffung, Entwicklung und Wartung von IT, Verfahren zur Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Die Maßnahmen müssen zur Größe und Risikolage passen, ein 60-Personen-Betrieb braucht kein Konzern-Framework.
Die Meldefristen sind der Teil, an dem Unternehmen im Ernstfall scheitern. Bei einem erheblichen Sicherheitsvorfall gilt eine Frühwarnung binnen 24 Stunden, eine konkretere Meldung mit erster Bewertung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Diese Uhr läuft ab Kenntnis, auch nachts und am Wochenende. Wer keine benannte Rufbereitschaft und keinen vorbereiteten Meldeweg zum BSI hat, verpasst die 24 Stunden zuverlässig.
Dazu kommt die Registrierungspflicht beim BSI, grundsätzlich innerhalb von drei Monaten ab dem Zeitpunkt, zu dem die Betroffenheit eintritt. Es gibt keine behördliche Benachrichtigung vorab. Die Selbsteinstufung ist Sache des Unternehmens, das Nichtwissen schützt nicht.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und dafür regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflicht, haftet sie. Delegieren an die IT-Abteilung oder den Dienstleister ändert daran nichts, die Verantwortung bleibt oben.
Wenn der Betrieb nur Zulieferer ist
Die größere Gruppe sind Unternehmen, die selbst nicht unter NIS2 fallen, aber an jemanden liefern, der es tut. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern und die Praktiken ihrer direkten Lieferanten und Dienstleister bewerten. Das landet in Form von Fragebögen, Vertragsklauseln, Nachweisforderungen und Audit-Rechten beim Zulieferer.
Rechtlich bist du dann nicht adressiert, wirtschaftlich schon. Wer bei der Lieferantenbewertung durchfällt, verliert Aufträge, ohne dass je eine Behörde beteiligt war. Für kleine Zulieferer lohnt sich deshalb die Vorbereitung auf die üblichen Abfragen: dokumentierte Zugriffsrechte, Patch- und Backup-Routinen mit Wiederherstellungstest, Meldeweg bei Vorfällen, benannter Ansprechpartner für Sicherheitsfragen. Eine Zertifizierung nach ISO 27001 ist dafür nicht nötig, sie verkürzt aber die Diskussion mit großen Kunden spürbar.
Checkliste für die ersten 30 Tage
- WZ-Code und tatsächliche Tätigkeiten aller Gesellschaften gegen Anhang I und II abgleichen, Ergebnis schriftlich festhalten.
- Beschäftigte in Jahresarbeitseinheiten, Umsatz und Bilanzsumme des letzten abgeschlossenen Geschäftsjahres zusammenstellen, Beteiligungen ab 25 Prozent einrechnen.
- Einstufung als wesentliche oder wichtige Einrichtung dokumentieren, inklusive Begründung, falls das Ergebnis nicht betroffen lautet. Diese Notiz ist die Verteidigungslinie gegenüber Aufsicht und Versicherer.
- Bei Betroffenheit: Registrierung beim BSI vorbereiten und die Dreimonatsfrist im Kalender setzen.
- Meldeprozess für die 24-Stunden-Frühwarnung festlegen, mit Namen, Rufnummern und Vertretung außerhalb der Geschäftszeiten.
- Lücken gegen die zehn Maßnahmenbereiche aufnehmen, besonders Backup-Wiederherstellung, Multi-Faktor-Authentifizierung und Rechteverwaltung.
- Beschluss der Geschäftsführung zur Billigung der Maßnahmen protokollieren und den ersten Schulungstermin für die Leitungsebene fixieren.
Ein Punkt gehört dabei nach vorn: Wer knapp unter der Schwelle liegt, sollte die Prüfung mit jedem Jahresabschluss wiederholen. Eine Übernahme, ein Umsatzsprung oder zehn neue Stellen verschieben die Einstufung, und die Dreimonatsfrist für die Registrierung beginnt dann ohne jede Ankündigung zu laufen.
