Gar nicht so wenige Unternehmen verschätzen sich bei der Frage der NIS-2-Betroffenheit – in beide Richtungen.
Besonders im Konzernkontext. Operativ ist man die kleine GmbH mit 40 Mitarbeitern. Rechtlich wird aber gerechnet: Mitarbeiterzahlen, Umsätze, Bilanzsummen werden in manchen Fällen gruppenweit addiert. Auf dem Papier entsteht so schnell ein Unternehmen, das deutlich größer ist als das eigene Organigramm. Die Folge: NIS-2 greift, obwohl sich intern niemand angesprochen fühlt.
Wir erleben aber auch das Gegenteil: vorsorgliche Betroffenheit aus Unsicherheit, obwohl die gesetzlichen Schwellenwerte und Tätigkeitsmerkmale gar nicht erreicht werden.
Ob NIS-2 gilt, ist keine Gefühlssache, sondern eine Frage der Einordnung nach Tätigkeit und – im Konzern – oft nach aggregierten Unternehmensdaten gemäß KMU-Empfehlung und dem neuen BSIG.
Hätten Sie es erwartet?
Das NIS2Umsetzungsgesetz ist gerade verabschiedet und gilt seit dem 06.12.2025 unmittelbar. Betroffene Unternehmen müssen sich bis 06.03.2026 beim BSI registrieren.
Der bisher erfasste Umfang wird von rund 4.500 Einrichtungen im Bereich KRITIS durch die Novellierung des BSIG voraussichtlich auf über 29.000 Einrichtungen durch Schwellenwerte zu Mitarbeiterzahl, Umsatz oder Bilanzsumme erweitert.
Die große Frage ist bei Ihnen und anderen Unternehmen: Bin ich betroffen?
Dies beantworten wir gerne für Sie!
Einige Grundsätze: Betroffene Unternehmen werden in zwei Kategorien eingeteilt:
- Wichtige Einrichtungen: In der Regel mittlere Unternehmen aus kritischen Bereichen, die bestimmte Schwellwerte überschreiten
- Besonders wichtige Einrichtungen: Zumeist große Unternehmen aus kritischen Bereichen
Als allgemeine Faustregel gilt: Je größer ein Unternehmen ist und je höher die gesellschaftliche Relevanz des Sektors, in dem es tätig ist, desto umfangreicher sind seine Pflichten. Unabhängig von ihrer Unternehmensgröße werden jedoch bestimmte Unternehmen – insbesondere aus den Bereichen Digitalisierung und Telekommunikation – unabhängig von ihrer Größe erfasst.
Für beide Kategorien gelten dieselben Kernpflichten; Unterschiede bestehen jedoch unter anderem in der Intensität der Aufsicht sowie im jeweiligen Sanktionsrahmen:
- Registrierung der In-Scope-Unternehmen über das BSI-Portal
- Meldung erheblicher Sicherheitsvorfälle
- Implementierung und Dokumentation von Risikomanagementmaßnahmen gemäß dem Stand der Technik
Unterschiede:
- Besonders wichtige Einrichtungen unterliegen einer proaktiven und regelmäßigen Aufsicht durch das BSI
- Wichtige Einrichtungen werden anlassbezogen überwacht (z.B. bei Vorfällen oder Hinweise)
- Die Bußgelder fallen für besonders wichtige Einrichtungen deutlich höher aus
Sie müssen als potenziell betroffenes Unternehmen nun prüfen, ob sie unter die neuen BSIG-Regulierungen fallen und damit zu den Einrichtungen gehören, die künftig unter der Aufsicht des BSI stehen. Das Registrierungsportal wird bereits am 06.01.2026 freigeschaltet.
Für die Betroffenheit wird entscheidend sein, welche Kriterien Sie in den Sektoren als wichtige oder besonders wichtige Einrichtung erfüllen. Schwierig kann eine Zuordnung von Geschäftstätigkeiten sein, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.
Umso wichtiger ist es sich mit der Betroffenenprüfung zeitnah auseinanderzusetzen.
Falls Sie unsicher sind, ob Ihr Unternehmen unter das neue BSIG fällt, oder wenn Sie eine belastbare Betroffenheitsprüfung durchführen möchten, unterstützen wir Sie gerne.
Fragen Sie unsere Hilfe auch zeitnah nach!