NIS2 Sektoren: Welche Branchen sind betroffen?

In Deutschland bestimmen die Anlagen 1 und 2 des BSI-Gesetzes die betroffenen Sektoren. Anlage 1: Energie, Transport und Verkehr, Finanzwesen (Bankwesen, Finanzmarktinfrastrukturen), Gesundheit, Wasser (Trinkwasser, Abwasser), Digitale Infrastruktur (einschließlich Managed Service Provider und Managed Security Service Provider) und Weltraum. Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Unternehmen aus Anlage 1 können besonders wichtige oder wichtige Einrichtung sein, Unternehmen aus Anlage 2 sind ab der Größenschwelle wichtige Einrichtung.

Die EU-Richtlinie (EU) 2022/2555 zählt 18 Sektoren. Anhang I (hohe Kritikalität): 1. Energie, 2. Verkehr, 3. Bankwesen, 4. Finanzmarktinfrastrukturen, 5. Gesundheitswesen, 6. Trinkwasser, 7. Abwasser, 8. Digitale Infrastruktur, 9. Verwaltung von IKT-Diensten (B2B), 10. Öffentliche Verwaltung, 11. Weltraum. Anhang II (sonstige kritische Sektoren): 12. Post- und Kurierdienste, 13. Abfallbewirtschaftung, 14. Chemie, 15. Lebensmittel, 16. Verarbeitendes Gewerbe, 17. Anbieter digitaler Dienste, 18. Forschung. Das deutsche BSI-Gesetz fasst einige davon zusammen, etwa Bankwesen und Finanzmarktinfrastrukturen zu "Finanzwesen", und regelt die öffentliche Verwaltung gesondert.

Die Risikomanagementmaßnahmen nach § 30 BSIG gelten für alle Sektoren gleich. Unterschiede ergeben sich an anderer Stelle: Besonders wichtige Einrichtungen beaufsichtigt das BSI anlasslos (§ 61 BSIG), wichtige Einrichtungen nur bei Anhaltspunkten für Verstöße (§ 62 BSIG). Finanzunternehmen unter DORA sind von §§ 30, 31, 32, 35, 36, 38 und 39 BSIG ausgenommen (§ 28 Abs. 6 BSIG). Telekommunikationsanbieter und Energienetzbetreiber folgen eigenen Regeln (§ 28 Abs. 5 BSIG). Betreiber kritischer Anlagen müssen ihre Maßnahmen alle drei Jahre nachweisen (§ 39 BSIG). Für Cloud, Rechenzentren, DNS und Managed Service Provider legt die Durchführungsverordnung (EU) 2024/2690 technische Anforderungen und Schwellen für erhebliche Vorfälle fest.

Betreiber von Energieversorgungsnetzen und Energieanlagen, die den §§ 5c bis 5e Energiewirtschaftsgesetz unterliegen, sind von den Kernpflichten des BSI-Gesetzes ausgenommen und erfüllen gleichwertige Anforderungen nach dem Energiewirtschaftsrecht (§ 28 Abs. 5 BSIG). Andere Energieunternehmen, etwa Stromlieferanten oder Ladepunktbetreiber, fallen regulär unter das BSI-Gesetz mit dem BSI als Aufsicht. Im Digitalsektor gelten für Cloud, Rechenzentren, DNS und Managed Service Provider die genaueren Vorgaben der Durchführungsverordnung (EU) 2024/2690; zuständig ist das BSI nur, wenn die Hauptniederlassung in der EU in Deutschland liegt (§ 60 BSIG). Online-Marktplätze, Suchmaschinen und soziale Netzwerke stehen in Anlage 2 und sind damit wichtige Einrichtungen mit anlassbezogener Aufsicht.

Banken und Finanzmarktinfrastrukturen stehen in Anlage 1 BSIG (Sektor Finanzwesen). Für Finanzunternehmen nach Artikel 2 Absatz 2 DORA gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG jedoch nicht (§ 28 Abs. 6 BSIG): IKT-Risikomanagement, Vorfallsmeldungen und Tests richten sich nach DORA, beaufsichtigt von der BaFin. Die Registrierungspflicht nach § 33 BSIG ist in dieser Ausnahme nicht genannt; ob sie für Ihr Institut gilt, sollten Sie gesondert prüfen.

DORA, die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 für Finanzunternehmen wie Kreditinstitute, Zahlungs- und Wertpapierinstitute, Versicherungen und Kapitalverwaltungsgesellschaften. Für diese Unternehmen ersetzt DORA in Deutschland die Risikomanagement- und Meldepflichten des BSI-Gesetzes vollständig (§ 28 Abs. 6 BSIG); es gibt keine doppelte Meldung an BSI und BaFin. Wer dagegen nur Dienstleister eines Finanzunternehmens ist, etwa ein Rechenzentrum oder ein Managed Service Provider, fällt mit eigener Tätigkeit unter das BSI-Gesetz und wird zusätzlich vertraglich an DORA-Anforderungen gebunden.

Betreiber kritischer Anlagen (KRITIS) sind nach § 28 Abs. 1 Nr. 1 BSIG immer besonders wichtige Einrichtungen, unabhängig von ihrer Größe. Sie tragen zusätzliche Pflichten: Bei erheblichen Vorfällen melden sie auch Angaben zur betroffenen Anlage und kritischen Dienstleistung (§ 32 Abs. 3 BSIG), ihre Maßnahmen müssen sie alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachweisen (§ 39 BSIG), und ihre Registrierung richtet sich nach dem KRITIS-Dachgesetz (§ 33 Abs. 2 BSIG). NIS2 erfasst darüber hinaus viele Unternehmen, die keine kritische Anlage betreiben.

Die öffentliche Verwaltung ist in den Anlagen des BSI-Gesetzes kein eigener Sektor. Für Einrichtungen der Bundesverwaltung gelten nach § 29 BSIG weitgehend die Regeln für besonders wichtige Einrichtungen. Die Verwaltungen der Länder und Kommunen regeln die Länder in eigenen Gesetzen. Kommunale Unternehmen, die entgeltlich Waren oder Dienstleistungen anbieten, etwa Stadtwerke oder Wasserversorger, können dagegen über ihre Tätigkeit unter § 28 BSIG fallen.

Anlage 2 Nr. 5 BSIG nennt sechs Branchen: Herstellung von Medizinprodukten und In-vitro-Diagnostika, Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen (NACE Abteilung 26), Herstellung von elektrischen Ausrüstungen (Abteilung 27), Maschinenbau (Abteilung 28), Herstellung von Kraftwagen und Kraftwagenteilen (Abteilung 29) und sonstiger Fahrzeugbau (Abteilung 30). Unternehmen dieser Branchen sind ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme wichtige Einrichtungen.

Entscheidend ist jede einzelne Tätigkeit. Fällt ein Geschäftsbereich unter eine Einrichtungsart der Anlagen, ist das Unternehmen grundsätzlich erfasst. Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können nach § 28 Abs. 3 BSIG unberücksichtigt bleiben. Ob Sie insgesamt betroffen sind und in welcher Kategorie, klärt die NIS2-Betroffenheitsprüfung; die Begründung sollten Sie dokumentieren, weil das BSI bei Zweifeln Unterlagen anfordern kann (§ 33 Abs. 4 BSIG).