NIS2 wichtige Einrichtungen: Wer betroffen ist und was gilt

Wichtige Einrichtungen sind nach § 28 Abs. 2 BSIG: (1) Unternehmen mit einer Tätigkeit aus Anlage 1 oder Anlage 2 BSIG, die mindestens 50 Beschäftigte haben oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro, (2) Vertrauensdiensteanbieter, die nicht qualifiziert sind, und (3) kleine Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze mit weniger als 50 Beschäftigten und höchstens 10 Mio. Euro Jahresumsatz oder Bilanzsumme. Ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung. Ein hoher Umsatz allein genügt nicht: Umsatz und Bilanzsumme müssen beide über 10 Mio. Euro liegen.

Besonders wichtig sind vor allem Großunternehmen aus Anlage 1 (ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme), Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter. Die Pflichten aus §§ 30, 32, 33 und 38 BSIG sind für beide Kategorien gleich. Unterschiede: Bei besonders wichtigen Einrichtungen kann das BSI auch ohne Anlass prüfen und Audits anordnen (§ 61), bei wichtigen nur, wenn Tatsachen auf Pflichtverstöße hindeuten (§ 62). Der Bußgeldrahmen liegt bei 10 statt 7 Mio. Euro, bei Unternehmen mit mehr als 500 Mio. Euro Gesamtumsatz bei 2 statt 1,4 % des weltweiten Umsatzes (§ 65 BSIG).

Vier Pflichtenblöcke: (1) Registrierung beim BSI binnen drei Monaten nach Eintritt der Betroffenheit, für bereits Betroffene war das der 6. März 2026 (§ 33 BSIG); Änderungen sind binnen zwei Wochen nachzumelden. (2) Risikomanagementmaßnahmen nach § 30 BSIG mit zehn Mindestbereichen, von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen bis zur Multi-Faktor-Authentifizierung, samt Dokumentation. (3) Meldung erheblicher Sicherheitsvorfälle an das BSI: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung einen Monat nach der 72-Stunden-Meldung (§ 32 BSIG). (4) Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Nachweise durch Audits alle drei Jahre (§ 39) gelten nur für Betreiber kritischer Anlagen.

In vier Schritten: (1) Geschäftstätigkeiten mit den Einrichtungsarten in Anlage 1 und 2 BSIG abgleichen; Tätigkeiten, die gemessen an der gesamten Geschäftstätigkeit vernachlässigbar sind, können unberücksichtigt bleiben (§ 28 Abs. 3). (2) Beschäftigte, Jahresumsatz und Jahresbilanzsumme nach der KMU-Empfehlung 2003/361/EG ermitteln; Daten von Partner- und verbundenen Unternehmen werden hinzugerechnet, außer Ihr Unternehmen ist bei Beschaffenheit und Betrieb seiner IT-Systeme von ihnen unabhängig (§ 28 Abs. 4). (3) Prüfen, ob eine Regel für besonders wichtige Einrichtungen oder eine Sonderregel für DORA, Energie oder Telekommunikation greift. (4) Ergebnis dokumentieren und registrieren. Das BSI bietet ergänzend eine Online-Betroffenheitsprüfung an.

Nach § 65 BSIG bis zu 7 Mio. Euro, etwa wenn Maßnahmen nach § 30 nicht ergriffen oder nicht dokumentiert oder Meldungen nach § 32 nicht oder zu spät abgegeben werden. Gehört die Einrichtung zu einem Unternehmen mit mehr als 500 Mio. Euro weltweitem Gesamtumsatz, kann das Bußgeld bis zu 1,4 % dieses Umsatzes betragen. Eine unterlassene oder fehlerhafte Registrierung kann mit bis zu 500.000 Euro geahndet werden. Zusätzlich haftet die Geschäftsleitung der Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG).

Wichtige Einrichtungen unterliegen einer nachträglichen Aufsicht: Rechtfertigen Tatsachen die Annahme, dass sie Pflichten aus § 30, § 32 oder § 38 Abs. 3 BSIG nicht oder nicht richtig erfüllen, kann das BSI die Einhaltung überprüfen und Maßnahmen wie bei besonders wichtigen Einrichtungen treffen, etwa Audits anordnen, Mängelbeseitigung verlangen oder Anordnungen erlassen (§ 62 in Verbindung mit § 61 BSIG). Anlass können etwa ein gemeldeter Vorfall oder Hinweise Dritter sein. Wer seine Maßnahmen dokumentiert hat, kann sie dann belegen.

Ja, mit Sonderregeln. Für Finanzunternehmen nach DORA gelten §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht; Risikomanagement und Vorfallmeldungen richten sich nach DORA (§ 28 Abs. 6 BSIG). Für Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste und Energieunternehmen, die den §§ 5c bis 5e EnWG unterliegen, gelten unter anderem §§ 30, 32 und 38 BSIG nicht, sondern das jeweilige Fachrecht (§ 28 Abs. 5). Die Registrierungspflicht nach § 33 ist in diesen Ausnahmen nicht genannt.

Über seine Größe nicht: § 28 Abs. 1 Nr. 4 BSIG knüpft die Kategorie besonders wichtig nur an Einrichtungsarten aus Anlage 1. Ein großer Maschinenbauer oder Lebensmittelhersteller bleibt deshalb eine wichtige Einrichtung, auch mit mehr als 250 Beschäftigten. Besonders wichtig wird er nur, wenn er zusätzlich eine Tätigkeit aus Anlage 1 in entsprechender Größe ausübt oder Betreiber einer kritischen Anlage ist.

§ 28 Abs. 4 BSIG verweist für Beschäftigte, Umsatz und Bilanzsumme auf die KMU-Empfehlung 2003/361/EG. Nach deren Regeln ändert sich der Größenstatus erst, wenn ein Schwellenwert in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird. Ein einzelnes starkes oder schwaches Jahr macht ein Unternehmen also noch nicht zur wichtigen Einrichtung und befreit es auch nicht davon. Maßgeblich sind die Zahlen des letzten Jahresabschlusses, Beschäftigte gerechnet in Jahresarbeitseinheiten.