Die NIS2-Sektoren sind die 18 Wirtschaftsbereiche, die der Geltungsbereich der NIS2-Richtlinie und des deutschen NIS2-Umsetzungsgesetzes (NIS2UmsuCG) umfasst. Ob Ihr Unternehmen unter NIS2 fällt, hängt von zwei Faktoren ab: der Zugehörigkeit zu einem dieser Sektoren und der Unternehmensgröße. Die Sektoren sind zwei Kategorien zugeordnet, die über Einstufung und Bußgeldrahmen entscheiden.
Welche Sektoren sind betroffen?
Die Sektoren stehen in zwei Anlagen des NIS2UmsuCG:
| Anlage | Sektoren |
|---|---|
| Anlage 1 — hohe Kritikalität | Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur (DNS, TLD, Cloud, Rechenzentren), Verwaltung von IKT-Diensten, Öffentliche Verwaltung, Weltraum |
| Anlage 2 — sonstige kritische Sektoren | Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Kfz), Digitale Dienste, Forschungseinrichtungen |
Wichtig: Die Anlage allein bestimmt nicht die Einstufung. Besonders wichtige Einrichtung wird man nur als Anlage-1-Sektor ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz — derselbe Sektor unterhalb dieser Schwelle ist eine wichtige Einrichtung, ebenso wie alle Anlage-2-Sektoren.
Gerade das verarbeitende Gewerbe macht NIS2 für den deutschen Mittelstand relevant: Maschinenbau, Elektronik, Medizinprodukte und Kfz-Zulieferer fallen ausdrücklich darunter.
Die vollständige Auflistung aller 18 Sektoren mit Teilsektoren, Unternehmensbeispielen und Entscheidungsweg finden Sie unter Die 18 NIS2-Sektoren im Überblick.
Ab welcher Größe gilt NIS2?
Die Sektorzugehörigkeit allein reicht nicht — es kommen Größenschwellen hinzu:
- Wichtige Einrichtungen: ab 50 Mitarbeiter oder 10 Mio. Euro Umsatz
- Besonders wichtige Einrichtungen: ab 250 Mitarbeiter oder 50 Mio. Euro Umsatz
- Größenunabhängig betroffen: bestimmte Bereiche wie DNS-Dienste, TLD-Registrierungen und qualifizierte Vertrauensdiensteanbieter
Mein Sektor ist dabei — was bedeutet das konkret?
Wenn Ihr Unternehmen in einem NIS2-Sektor tätig ist und die Größenschwellen erreicht, gelten die NIS2-Pflichten: Risikomanagement in 10 Maßnahmenbereichen, Meldepflicht bei erheblichen Sicherheitsvorfällen (24 Stunden / 72 Stunden / 1 Monat), BSI-Registrierung und persönliche Verantwortung der Geschäftsleitung. Bei Verstößen drohen Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Wichtig: Auch wer selbst nicht direkt betroffen ist, kann über die Lieferkette indirekt mit NIS2-Anforderungen konfrontiert werden — etwa als Zulieferer oder IT-Dienstleister eines regulierten Kunden.
Wie prüfen Sie Ihre Betroffenheit?
Der kostenlose Betroffenheitscheck fragt Branche, Unternehmensgröße und Tätigkeitsfelder ab und liefert in etwa 5 Minuten eine Einschätzung Ihrer wahrscheinlichen Einstufung — inklusive Ergebnis als PDF.