Das NIS2-Umsetzungsgesetz erfasst 18 Wirtschaftsbereiche, aufgeteilt auf zwei Anlagen. Diese Seite listet alle Sektoren mit ihren Teilsektoren auf, nennt typische deutsche Unternehmen je Sektor und erklärt, wie sich daraus zusammen mit der Unternehmensgröße die Einstufung ergibt.
Diese Verwechslung steckt in fast jeder Kurzübersicht: Die Anlage allein entscheidet nicht, ob Sie eine besonders wichtige oder eine wichtige Einrichtung sind. Die Einstufung ergibt sich erst aus der Kombination von Anlage und Unternehmensgröße.
Ein Maschinenbauer mit 900 Beschäftigten bleibt also eine wichtige Einrichtung, weil der Maschinenbau in Anlage 2 steht. Ein Stadtwerk mit 300 Beschäftigten ist dagegen eine besonders wichtige Einrichtung. Der Unterschied betrifft Aufsichtsregime und Bußgeldrahmen — die inhaltlichen Pflichten nach § 30 BSIG sind für beide Kategorien identisch.
| Nr. | Sektor | Anlage |
|---|---|---|
| 1 | Energie | 1 — hohe Kritikalität |
| 2 | Verkehr | 1 — hohe Kritikalität |
| 3 | Bankwesen | 1 — hohe Kritikalität |
| 4 | Finanzmarktinfrastrukturen | 1 — hohe Kritikalität |
| 5 | Gesundheitswesen | 1 — hohe Kritikalität |
| 6 | Trinkwasser | 1 — hohe Kritikalität |
| 7 | Abwasser | 1 — hohe Kritikalität |
| 8 | Digitale Infrastruktur | 1 — hohe Kritikalität |
| 9 | Verwaltung von IKT-Diensten (B2B) | 1 — hohe Kritikalität |
| 10 | Öffentliche Verwaltung | 1 — hohe Kritikalität |
| 11 | Weltraum | 1 — hohe Kritikalität |
| 12 | Post- und Kurierdienste | 2 — sonstige kritische |
| 13 | Abfallbewirtschaftung | 2 — sonstige kritische |
| 14 | Chemie | 2 — sonstige kritische |
| 15 | Lebensmittel | 2 — sonstige kritische |
| 16 | Verarbeitendes Gewerbe / Herstellung von Waren | 2 — sonstige kritische |
| 17 | Anbieter digitaler Dienste | 2 — sonstige kritische |
| 18 | Forschung | 2 — sonstige kritische |
Elf Sektoren, deren Ausfall unmittelbar die Versorgung oder zentrale Infrastrukturen trifft. Ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz führt die Zugehörigkeit zur Einstufung als besonders wichtige Einrichtung — mit proaktiver Aufsicht durch das BSI.
Regionale Stadtwerke, Netzbetreiber, Betreiber von Windparks und Solarparks, Ladeinfrastruktur-Anbieter, Fernwärmeversorger.
Hafenlogistiker, private Eisenbahnverkehrsunternehmen, Flughafen-Bodendienstleister, Betreiber von Verkehrsleitsystemen.
Regionalbanken, Sparkassen, Genossenschaftsbanken. Für viele gilt zusätzlich oder vorrangig DORA — die Abgrenzung sollte rechtlich geprüft werden.
Börsen, Clearinghäuser, Abwicklungssysteme.
Krankenhausträger, Klinikverbünde, Labordienstleister, Pharmahersteller, Hersteller von Medizinprodukten mit Versorgungsrelevanz.
Wasserwerke, kommunale Wasserversorger, Zweckverbände. Häufig Teil kommunaler Stadtwerke und dann gemeinsam mit dem Energiesektor zu betrachten.
Kläranlagenbetreiber, Abwasserzweckverbände, kommunale Entsorgungsbetriebe.
Rechenzentrumsbetreiber, Cloud-Anbieter, regionale Telekommunikationsanbieter, Registrare.
Größenunabhängig betroffen: DNS-Diensteanbieter, TLD-Namenregister, qualifizierte Vertrauensdiensteanbieter sowie Anbieter öffentlicher Telekommunikationsnetze und -dienste sind unabhängig von ihrer Größe betroffen.
IT-Systemhäuser mit Managed Services, Outsourcing-Dienstleister, SOC-Betreiber. Für den Mittelstand einer der am häufigsten übersehenen Sektoren.
Bundesbehörden. Für Länder und Kommunen richtet sich die Umsetzung nach den jeweiligen Landesgesetzen.
Betreiber von Bodenstationen und Satellitenkontrollzentren.
Sieben Sektoren, die unabhängig von ihrer Größe stets als wichtige Einrichtungen eingestuft werden. Für den deutschen Mittelstand ist Nummer 16 der entscheidende Eintrag: Maschinenbau, Elektronik, Fahrzeugbau und Medizintechnik stehen ausdrücklich darin.
Paketdienstleister, regionale Kurierdienste, Briefzusteller.
Entsorgungsbetriebe, Recyclingunternehmen, Sonderabfallentsorger, kommunale Abfallwirtschaftsbetriebe.
Chemieunternehmen, Hersteller von Kunststoffen, Lack- und Farbenhersteller, Chemiehändler.
Molkereien, Fleischverarbeiter, Backwarenhersteller, Getränkeproduzenten, Lebensmittelgroßhändler.
Maschinen- und Anlagenbauer, Automobilzulieferer, Elektronikhersteller, Medizintechnikunternehmen. Dieser Sektor macht NIS2 für den deutschen Mittelstand zum Breitenthema.
Betreiber von B2B-Marktplätzen, Vergleichsportalen, Community-Plattformen.
Außeruniversitäre Forschungsinstitute und Einrichtungen mit überwiegend wirtschaftlich verwertbarer Forschung.
Die Sektorzugehörigkeit ist nur die halbe Prüfung. Hinzu kommen die Größenschwellen, die sich an der EU-Definition für mittlere Unternehmen orientieren:
| Einstufung | Schwelle | Bußgeldrahmen |
|---|---|---|
| Besonders wichtige Einrichtung | Anlage 1 und ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz | bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtung | ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz und 10 Mio. Euro Bilanzsumme | bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
Es gilt jeweils der höhere Betrag. Bei der Größenbestimmung zählen Partner- und verbundene Unternehmen anteilig beziehungsweise vollständig mit — eine kleine Tochter in einem großen Konzern ist in der Regel betroffen.
Unabhängig davon, in welchem Sektor Sie stehen, verlangt § 30 BSIG verhältnismäßige technische und organisatorische Maßnahmen in zehn Bereichen. Der Maßstab ist ausdrücklich die Verhältnismäßigkeit: Umfang und Tiefe richten sich nach Risikoexposition, Größe und Umsetzungskosten. Was in einem Rechenzentrum angemessen ist, muss es in einer Lackiererei nicht sein — die Begründung dieser Abstufung gehört allerdings dokumentiert.
Wo diese Bereiche in der Praxis auseinandergehen, ist nicht der Sektor, sondern der Betrachtungsumfang: In Industriesektoren muss die Produktionstechnik mit hinein, in Dienstleistungssektoren die Werkzeugkette zum Kunden. Genau dort liegt der häufigste Befund einer Gap-Analyse.
Maßgeblich ist, was ein Unternehmen tatsächlich tut. Ein Industriebetrieb, der eigene Produktionsabfälle entsorgt, fällt deshalb nicht über Sektor 13 unter NIS2 — Abfallbewirtschaftung ist hier Nebentätigkeit. Umgekehrt kann ein Maschinenbauer, der für Kunden Fernwartung und IT-Betrieb übernimmt, zusätzlich über Sektor 9 erfasst sein.
Ein Unternehmen kann mehrere Sektoren gleichzeitig erfüllen. Bei Stadtwerken ist das der Regelfall: Energie, Trinkwasser, Abwasser und teils Verkehr. Für die Registrierung müssen alle einschlägigen Sektoren angegeben werden, nicht nur der wichtigste.
Sektor 9 — Verwaltung von IKT-Diensten — steht in Anlage 1 und erfasst jeden Anbieter, der IT-Systeme Dritter dauerhaft betreut oder betreibt. Systemhäuser mit Managed Services unterschätzen das regelmäßig, weil sie NIS2 als Kundenthema wahrnehmen.
Verbundene Unternehmen zählen vollständig, Partnerunternehmen anteilig. Eine Tochtergesellschaft mit 30 Beschäftigten in einer Gruppe mit 4.000 Beschäftigten erreicht die Schwellen damit in aller Regel — auch wenn sie für sich betrachtet klein ist.
Wer unterhalb der Schwellen liegt, ist nicht NIS2-pflichtig — wird aber trotzdem mit Anforderungen konfrontiert. Betroffene Kunden müssen nach § 30 Abs. 2 BSIG die Sicherheit ihrer Lieferkette steuern und geben Nachweispflichten vertraglich weiter. Für viele Zulieferer ist das der eigentliche Auslöser.
Der Sektor entscheidet nicht darüber, welche Pflichten gelten — die sind für besonders wichtige und wichtige Einrichtungen identisch. Er entscheidet über zwei andere Dinge:
Unabhängig von der Kategorie gelten dieselben vier Pflichtblöcke: Risikomanagement in zehn Bereichen nach § 30 BSIG, Meldepflichten nach § 32 BSIG mit 24 Stunden Frühwarnung, 72 Stunden Meldung und einem Monat Abschlussbericht, Registrierung nach § 33 BSIG sowie die nicht delegierbaren Geschäftsleiterpflichten nach § 38 BSIG. Eine ausführliche Aufstellung finden Sie im NIS2-FAQ.
Die Pflichten sind für alle gleich, die Ausgangslage nicht. Für die Branchen, in denen NIS2 im deutschen Mittelstand am häufigsten greift, gibt es eigene Seiten mit typischen Lücken und konkreten Szenarien: Maschinenbau, Logistik, Energieversorger, Gesundheitswesen, IT-Dienstleister und weitere Branchen.
Diese Übersicht ersetzt keine Rechtsberatung. Bei Grenzfällen — etwa Mischbetrieben, Konzernstrukturen oder der Abgrenzung zu DORA — sollten Sie die Einstufung rechtlich prüfen lassen.
Der kostenlose Betroffenheitscheck führt Sie durch genau diese Prüfung und nennt Ihre wahrscheinliche Einstufung in 5 Minuten.
Betroffenheit prüfen