Wer ist von NIS2 betroffen? Der vollständige Überblick

Mit der Umsetzung der NIS2-Richtlinie in deutsches Recht (§ 30 BSIG) wächst der Kreis der betroffenen Unternehmen erheblich — von wenigen hundert KRITIS-Betreibern auf schätzungsweise über 30.000 Unternehmen in Deutschland. Wer genau betroffen ist, hängt von drei Faktoren ab: Sektor, Unternehmensgröße und ein paar größenunabhängigen Sonderfällen.

Die zwei Kategorien: „besonders wichtig" und „wichtig"

Das Gesetz unterscheidet zwischen besonders wichtigen Einrichtungen (strengere Pflichten, proaktive Aufsicht) und wichtigen Einrichtungen (dieselben Grundpflichten, aber nur reaktive Aufsicht im Anlassfall). Welcher Kategorie ein Unternehmen angehört, ergibt sich aus einer Kombination von Sektor (Anlage 1 oder Anlage 2 BSIG) und Größe.

KRITIS-Betreiber: immer betroffen

Wer eine kritische Anlage betreibt — etwa in der Energie-, Wasser- oder Gesundheitsversorgung, oberhalb bestimmter Schwellenwerte —, gilt unabhängig von der Unternehmensgröße automatisch als besonders wichtige Einrichtung.

Größenklassen: die meisten Unternehmen trifft es erst ab „mittel"

Für alle anderen Sektoren gilt die EU-Größenklassifizierung: in der Regel sind Unternehmen ab 50 Mitarbeitenden und 10 Mio. € Jahresumsatz (mittlere Unternehmen) betroffen. Kleinstunternehmen und die meisten Kleinunternehmen fallen in der Regel heraus — es sei denn, sie zählen zu den größenunabhängigen Sonderfällen.

Größenunabhängige Sonderfälle

Einige Anbieterkategorien sind unabhängig von ihrer Größe immer betroffen, u. a. qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Namenregistries und Anbieter öffentlicher Telekommunikationsnetze oder -dienste.

Wie finde ich heraus, ob mein Unternehmen betroffen ist?

Die verlässlichste Methode ist eine strukturierte Selbsteinschätzung anhand der tatsächlichen gesetzlichen Kriterien — nicht anhand einer Bauchentscheidung. Unser kostenloser Betroffenheits-Check führt Sie in wenigen Minuten durch genau diese Prüfung und gibt Ihnen ein konkretes, begründetes Ergebnis.