Ob ein Unternehmen unter die NIS2-Richtlinie fällt, ist keine Frage des Bauchgefühls. Die Einstufung folgt klaren Kriterien, die Branche, Unternehmensgröße und gesellschaftliche Bedeutung kombinieren. Wer die eigene Betroffenheit falsch einschätzt, riskiert entweder ungeplante Compliance-Aufwände oder, schlimmer noch, Bußgelder wegen Nichterfüllung von Pflichten, die längst gegolten hätten. Gerade mittelständische Unternehmen unterschätzen häufig, wie weit der Anwendungsbereich der Richtlinie reicht.
Die NIS2-Richtlinie unterscheidet zwei Kategorien von betroffenen Unternehmen: wesentliche Einrichtungen und wichtige Einrichtungen. Diese Unterscheidung ist nicht nur formaler Natur, sie bestimmt, welche Pflichten gelten und wie intensiv die Aufsicht ausfällt. Der erste Schritt für jedes Unternehmen ist deshalb, die eigene NIS2-Betroffenheit zu klären.
Die zwei Kategorien: Kriterien für die Einstufung nach NIS2
Die Zuordnung zu einer der beiden Kategorien ergibt sich aus dem Zusammenspiel von Branchenzugehörigkeit und Unternehmensgröße. NIS2 definiert eine Reihe von Sektoren, die als besonders kritisch für das Funktionieren von Wirtschaft und Gesellschaft gelten, darunter Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastruktur, Finanzwesen und öffentliche Verwaltung.
Unternehmen in diesen Sektoren werden als wesentliche Einrichtungen eingestuft, wenn sie mindestens 250 Mitarbeitende beschäftigen oder einen Jahresumsatz von mehr als 50 Millionen Euro sowie eine Bilanzsumme von mehr als 43 Millionen Euro aufweisen. Betriebe in denselben oder in erweiterten Sektoren (z. B. Post, Abfallwirtschaft, Lebensmittel, Chemie, verarbeitendes Gewerbe) gelten als wichtige Einrichtungen, wenn sie die Schwellenwerte für mittlere Unternehmen erreichen: mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme.
Sektorlisten und ihre Bedeutung
NIS2 führt zwei Anhänge mit Sektoren. Anhang I enthält die hochkritischen Sektoren, aus denen wesentliche Einrichtungen hervorgehen. Anhang II listet weitere kritische Sektoren, die wichtige Einrichtungen hervorbringen können. Wer also in der Lebensmittelverarbeitung tätig ist, fällt in eine andere Kategorie als ein Energieversorger, selbst wenn beide Unternehmen gleich groß sind.
Wichtig: Die Einstufung erfolgt nicht durch eine externe Behörde im Voraus. Unternehmen sind verpflichtet, sich selbst zu identifizieren und zu registrieren. Das setzt voraus, dass die eigene Sektorzugehörigkeit korrekt bestimmt wird.
Sonderfälle und Ausnahmen, die viele Unternehmen übersehen
Neben den allgemeinen Schwellenwerten gibt es Konstellationen, in denen Unternehmen unabhängig von ihrer Größe als wesentliche Einrichtungen eingestuft werden. Das ist der Bereich, in dem viele Betriebe ihre eigene Betroffenheit falsch einschätzen.
Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste fallen unabhängig von Mitarbeiterzahl oder Umsatz in den Anwendungsbereich. Gleiches gilt für Unternehmen, die als einziger Anbieter eines bestimmten Dienstes in einem Mitgliedstaat fungieren, oder für solche, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit oder die öffentliche Gesundheit hätte. Auch bestimmte Vertrauensdiensteanbieter und DNS-Dienste sind automatisch erfasst.
Ein weiterer Sonderfall betrifft Lieferketten. Unternehmen, die für wesentliche oder wichtige Einrichtungen kritische Dienstleistungen erbringen, können indirekt in den Anwendungsbereich geraten. Die Richtlinie verpflichtet betroffene Unternehmen ausdrücklich, Sicherheitsrisiken in der Lieferkette zu managen, was Anforderungen an Zulieferer und Dienstleister nach sich zieht. Wer also als IT-Dienstleister, Softwareanbieter oder Wartungsunternehmen für eine wesentliche Einrichtung tätig ist, sollte die eigene Rolle genau prüfen.
Unterschiedliche Pflichten: Was die Einstufung konkret bedeutet
Die Unterscheidung zwischen wesentlichen und wichtigen Einrichtungen ist kein formales Detail, sie hat direkte Auswirkungen auf Aufsichtsintensität, Sanktionshöhe und Kontrollmechanismen.
Wesentliche Einrichtungen unterliegen einer proaktiven, anlassunabhängigen Aufsicht. Behörden können Prüfungen einleiten, ohne dass ein konkreter Vorfall vorliegen muss. Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Wichtige Einrichtungen werden reaktiv beaufsichtigt, also in der Regel nach einem Vorfall oder einer Beschwerde. Die Bußgeldobergrenze liegt hier bei 7 Millionen Euro oder 1,4 % des Jahresumsatzes.
Gemeinsame Pflichten für beide Kategorien
Trotz der unterschiedlichen Aufsichtsintensität teilen beide Kategorien einen umfangreichen gemeinsamen Pflichtenkanon. Dazu gehören Maßnahmen zum Risikomanagement, Vorgaben zur Sicherheit in der Lieferkette, Anforderungen an die Geschäftskontinuität, Meldepflichten bei Sicherheitsvorfällen sowie Mindestanforderungen an technische und organisatorische Schutzmaßnahmen.
Meldepflichten folgen dabei einem gestuften Schema: Ein erheblicher Sicherheitsvorfall muss innerhalb von 24 Stunden als Frühwarnung gemeldet werden, eine detailliertere Meldung folgt innerhalb von 72 Stunden. Das setzt funktionierende interne Prozesse voraus, die im Vorfeld aufgebaut sein müssen.
Selbsteinstufung oder externe Betroffenheitsanalyse?
Technisch gesehen verlangt NIS2 eine Selbstidentifikation durch das Unternehmen. In der Praxis ist das für viele Betriebe schwieriger, als es klingt, weil die Sektordefinitionen auslegungsbedürftig sind und die Schwellenwerte auf EU-Ebene definierte Berechnungsmethoden voraussetzen.
Besonders komplex wird es, wenn ein Unternehmen in mehreren Sektoren tätig ist, Konzernstrukturen mit verbundenen Unternehmen existieren oder die Frage der Lieferkettenzugehörigkeit offen ist. In solchen Fällen reicht eine oberflächliche Prüfung nicht aus. Eine strukturierte Betroffenheitsanalyse, die Branchenzuordnung, Unternehmensgrößenberechnung und Sonderfallprüfung systematisch kombiniert, ist die zuverlässigere Grundlage für alle weiteren Entscheidungen.
Wer die eigene Einstufung falsch vornimmt und sie später korrigieren muss, steht unter Zeitdruck: Registrierungspflichten, Meldeprozesse und technische Maßnahmen lassen sich nicht kurzfristig nachholen. Eine frühzeitige Klärung ist deshalb keine Vorsichtsmaßnahme, sondern eine operative Notwendigkeit.
So unterstützt UBESAFE bei der NIS2-Einstufung und Umsetzung
UBESAFE begleitet Unternehmen von der ersten Betroffenheitsprüfung bis zur dauerhaften Erfüllung der NIS2-Anforderungen. Der Ansatz ist bewusst zweiteilig:
- Das NIS2-Audit analysiert den aktuellen Stand, klärt die Anwendbarkeit (wesentliche oder wichtige Einrichtung), bewertet den Reifegrad bestehender Maßnahmen und legt mit einer GAP-Analyse konkret offen, was fehlt und was priorisiert werden muss.
- Der anschließende Managed Service sorgt für kontinuierliche Überwachung, regelmäßige Reviews und technische Umsetzung, von 24/7-Monitoring und SIEM über Schwachstellen-Scans und Patchmanagement bis zu dokumentierten Meldeprozessen.
- Audit und Managed Service sind modular: Unternehmen können das Gesamtpaket nutzen oder einzelne Komponenten gezielt einsetzen, je nachdem, was intern bereits vorhanden ist.
UBESAFE vereint dabei technisches Engineering mit Auditoren-Erfahrung, was bedeutet, dass nicht nur Konzepte geliefert werden, sondern die Umsetzung direkt folgt. Wer wissen möchte, ob und wie sein Unternehmen von NIS2 betroffen ist, kann mit einem kostenlosen Erstgespräch starten und bekommt eine klare Einschätzung ohne Umwege.