Besonders wichtige Einrichtungen sind die höher regulierte der beiden Betroffenheitskategorien des NIS2-Umsetzungsgesetzes (NIS2UmsuCG). Die Kategorie entspricht den "wesentlichen Einrichtungen" (Essential Entities) der EU-Richtlinie. Sie umfasst große Unternehmen in Sektoren mit hoher Bedeutung für die Versorgung — und unterliegt dem höchsten Bußgeldrahmen.
Welche Sektoren zählen dazu?
- Energie (Strom, Gas, Öl, Fernwärme)
- Verkehr (Luft, Schiene, Wasser, Straße)
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser und Abwasser
- Digitale Infrastruktur (DNS, TLD, Cloud, Rechenzentren)
- Öffentliche Verwaltung
- Weltraum
Ab welcher Größe gilt die Einstufung?
Als besonders wichtige Einrichtung gelten in der Regel Unternehmen ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz in den genannten Sektoren. Bestimmte Einrichtungen sind unabhängig von der Größe betroffen — etwa qualifizierte Vertrauensdiensteanbieter, DNS-Dienste und TLD-Registrierungen.
Welche Pflichten und Bußgelder gelten?
Besonders wichtige Einrichtungen müssen alle NIS2-Kernpflichten erfüllen: Risikomanagement in 10 Maßnahmenbereichen (§ 30 BSIG), die dreistufige Meldepflicht bei erheblichen Sicherheitsvorfällen (24 Stunden / 72 Stunden / 1 Monat, § 32 BSIG), die BSI-Registrierung (§ 33 BSIG) sowie die Geschäftsleiterpflichten mit persönlicher Haftung (§ 38 BSIG).
Der Unterschied zur zweiten Kategorie liegt vor allem im Bußgeldrahmen:
| Kategorie | Maximales Bußgeld |
|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
Es gilt jeweils der höhere Betrag. Beispiel: Bei 600 Mio. Euro Umsatz kann das Bußgeld für eine besonders wichtige Einrichtung bis zu 12 Mio. Euro betragen (2 % von 600 Mio.).
Wie finden Sie Ihre Einstufung heraus?
Die Einstufung ergibt sich aus Sektor und Unternehmensgröße — sie bestimmt den Umfang Ihrer Pflichten und die Höhe möglicher Bußgelder. Der kostenlose Betroffenheitscheck liefert in etwa 5 Minuten eine Einschätzung, ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung gilt. Dokumentieren Sie das Ergebnis schriftlich — die Einstufung ist auch eine Pflichtangabe bei der BSI-Registrierung.