NIS-2 betroffene Unternehmen in Deutschland prüfen: Anleitung für 2026

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) zieht ab 2026 rund 29.500 Unternehmen in Deutschland in eine erweiterte Cyber-Sicherheitspflicht. Anders als die KRITIS-Verordnung knüpft die NIS-2-Richtlinie (EU 2022/2555) nicht an Anlagenmengenwerte an, sondern an Sektor und Unternehmensgröße. Wer Betroffenheit nicht prüft, riskiert Bußgelder bis 10 Mio. Euro oder 2 Prozent Konzernumsatz und persönliche Haftung der Geschäftsleitung nach § 38 NIS2UmsuCG.

Diese Anleitung führt Geschäftsführungen durch die Betroffenheitsanalyse. Sie zeigt, welche der 18 Sektoren erfasst sind, wie sich wesentliche von wichtigen Einrichtungen abgrenzen, wie der Konzernverbund konsolidiert wird und wie die Prüfung audit-fest abgelegt wird. Der praktische Teil dauert 90 Minuten, wenn Sektor-Mapping, Größenkriterien und Dokumentation in einer ISB-geführten Audit-Vorlage zusammenlaufen.

Die NIS-2-Richtlinie (EU 2022/2555) wird in Deutschland durch das NIS2UmsuCG umgesetzt, das das BSI-Gesetz (BSIG) novelliert und neue Pflichtenkapitel einfügt. Zentrale Normen sind die §§ 28 bis 65 BSIG-neu, ergänzt durch Konkretisierungen in Rechtsverordnungen nach § 56 BSIG-neu. Das Gesetz tritt 2026 in Kraft und löst die KritisV in ihrer alten Form ab, ohne sie komplett zu ersetzen.

Die Richtlinie erweitert den Anwendungsbereich gegenüber NIS-1 erheblich. Statt sieben Sektoren erfasst NIS-2 nun 18, getrennt in Anhang I (wesentlich) und Anhang II (wichtig). Die Größenlogik ersetzt das frühere Identifizierungsverfahren durch die Mitgliedstaaten. Wer die Größenkriterien erfüllt und in einem der 18 Sektoren tätig ist, fällt automatisch unter NIS-2.

Die deutsche Umsetzung addiert über die Richtlinie hinaus die Verwaltung des Bundes als besonderen Adressaten (§ 29 BSIG-neu). Bestimmte Sektoren werden im nationalen Recht weiter gefasst, etwa Forschung und bestimmte Hersteller im verarbeitenden Gewerbe. Wer die EU-Richtlinie liest, muss die deutsche Fassung gegenprüfen, weil Detailunterschiede die Betroffenheit verändern.

Pflichten umfassen Risikomanagement (§ 30 BSIG-neu), Meldepflichten (§ 32 BSIG-neu), Registrierung (§ 33 BSIG-neu), Geschäftsleitungsverantwortung (§ 38 BSIG-neu) und ein Mindestmaß an technischen und organisatorischen Maßnahmen mit zehn benannten Bereichen. Die Umsetzung erfordert dokumentierte Prozesse, einen verantwortlichen Beauftragten und eine getestete Berichtslinie.

CIVAC stellt als Compliance-Plattform und Officer-as-a-Service die Werkzeuge zur Verfügung. 490 Audit-Vorlagen, 25 Beauftragten-Rollen, integrierte Bestellurkunden und der NIS-2-24/72-Meldepfad laufen in einem Workspace zusammen. Der NIS-2-Umsetzungsleitfaden ergänzt diese Anleitung.

Die Kenntnis des Rechtsrahmens ist Voraussetzung für eine belastbare Betroffenheitsanalyse. Wer das Gesetz nicht referenziert, sondern auf Sekundärquellen aufbaut, riskiert veraltete Mengenwerte und fehlerhafte Sektor-Zuordnungen, die im Audit nicht standhalten.

Anhang I der NIS-2-Richtlinie listet elf Sektoren der wesentlichen Einrichtungen: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum. Jeder Sektor enthält Teilsektoren mit präzisen NACE-Codes, die in Annex I aufgelistet sind.

Anhang II listet sieben Sektoren der wichtigen Einrichtungen: Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung, Produktion und Vertrieb von Chemikalien, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (selektiv), Anbieter digitaler Dienste sowie Forschung. Diese Einrichtungen unterliegen denselben Risikomanagement- und Meldepflichten, jedoch mit reduziertem Bußgeldrahmen und reduzierter Aufsichtsintensität.

Das verarbeitende Gewerbe (Anhang II) ist für den deutschen Mittelstand zentral. Erfasst sind die Herstellung von Medizinprodukten und In-vitro-Diagnostika (NACE C32.50, C26.60), Datenverarbeitungsgeräten (C26), elektrischen Ausrüstungen (C27), Maschinen (C28), Kraftwagen und Kraftwagenteilen (C29) sowie sonstigem Fahrzeugbau (C30). Ein Maschinenbauer mit 120 Mitarbeitenden fällt unter NIS-2.

Digitale Anbieter (Anhang II) umfassen Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke. Anhang I deckt zusätzlich Cloud-Computing, Rechenzentren, Content-Delivery-Networks, Vertrauensdienste und elektronische Kommunikationsdienste ab. Die Trennung ist scharf und folgt der Marktposition: B2C/B2B-Plattformen sind wichtig, Infrastruktur ist wesentlich.

Forschungseinrichtungen sind ab einer bestimmten Größe wichtig, sofern sie nicht ohnehin als öffentliche Stellen erfasst sind. Die Abgrenzung erfolgt über die Forschungstätigkeit als Hauptzweck, nicht über die Rechtsform. Eine Stiftung mit überwiegender Forschungstätigkeit fällt unter Anhang II, eine Industrie-Forschungsabteilung folgt der Klassifikation der Konzernmutter.

CIVAC pflegt eine sektorspezifische Audit-Vorlage je NACE-Code, sodass die Sektor-Zuordnung in 10 Minuten erfolgt. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die NIS-2-Größenkriterien folgen der EU-Empfehlung 2003/361/EG. Mittlere Unternehmen liegen bei 50 bis 249 Mitarbeitenden und entweder 10 Mio. bis 50 Mio. Euro Jahresumsatz oder 10 Mio. bis 43 Mio. Euro Bilanzsumme. Große Unternehmen liegen ab 250 Mitarbeitenden oder ab 50 Mio. Euro Umsatz bei gleichzeitig über 43 Mio. Euro Bilanzsumme.

Die Mitarbeitendenzahl rechnet in Vollzeitäquivalenten zum Stichtag 31. Dezember. Teilzeitkräfte zählen anteilig, Leiharbeit über sechs Monate Beschäftigung wird einbezogen. Auszubildende zählen mit. Geschäftsführende Gesellschafter zählen, soweit sie sozialversicherungspflichtig oder regelmäßig tätig sind. Die Methodik folgt § 267 HGB analog, ergänzt durch die EU-Empfehlung.

Der Umsatz ist der konsolidierte Nettoumsatz aus dem testierten Jahresabschluss. Die Bilanzsumme ist die testierte Schlussbilanzsumme. Wer keinen testierten Abschluss erstellt, dokumentiert die Berechnung intern mit Quellenangabe. Die Aufsichtsbehörde akzeptiert Geschäftsführerverantwortliche Eigenangaben, sofern sie nachvollziehbar dokumentiert sind.

Die Kriterien wirken alternativ. Wer 60 Mitarbeitende und 8 Mio. Euro Umsatz hat, ist mittleres Unternehmen, weil die Mitarbeitendenzahl die Schwelle überschreitet. Wer 40 Mitarbeitende und 12 Mio. Euro Umsatz hat, ist ebenfalls mittel, weil der Umsatzwert die Schwelle reißt. Beide Kriterien zugleich sind nicht erforderlich.

Sonderkonstellationen erweitern den Anwendungsbereich. Anbieter elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, qualifizierte Vertrauensdienste, TLD-Registries, DNS-Anbieter, öffentliche Verwaltung des Bundes und kritische Anbieter werden unabhängig von Größenkriterien erfasst. Die Größenschwellen entfallen dann.

CIVAC dokumentiert die Größenklassen-Berechnung in einer Audit-Vorlage mit Quellnachweis (HR-System, Lohnabrechnung, Jahresabschluss, Handelsregister). Bestellurkunde, unterschrieben, abgelegt, belegbar. Der Prüfer ruft an, der Nachweis liegt bereit.

Die Größenkriterien werden konsolidiert berechnet, sobald eine beherrschende Stellung im Sinne der EU-Empfehlung 2003/361/EG vorliegt. Beherrschend ist, wer mehr als 50 Prozent der Stimmrechte hält, die Geschäftsführungsorgane mehrheitlich besetzt oder eine vergleichbare Einflussnahme ausübt. Verbundene Unternehmen werden vollständig konsolidiert, Partnerunternehmen anteilig.

Die Konsolidierung gilt vertikal und horizontal. Vertikal bedeutet Mutter-Tochter-Verhältnis. Horizontal bedeutet Schwesterunternehmen unter gemeinsamer Mutter. Ein 30-Mitarbeitende-Betrieb ist mittel im Sinne von NIS-2, wenn die Schwester 220 Mitarbeitende hat und die Mutter über 250 liegt. Der einzelne Betrieb ist nicht KMU im NIS-2-Sinne.

Holding-Strukturen erfordern besondere Sorgfalt. Eine Holding ohne operatives Geschäft prüft die Sektor-Zuordnung der Tochterunternehmen. Ist nur eine Tochter in einem NIS-2-Sektor tätig, prüft die Holding gleichwohl die Größenklassen-Konsolidierung. Die Pflicht trifft die Einrichtung mit dem NIS-2-Sektor, ggf. ergänzt um die Mutter über § 17 AktG.

Internationale Konzerne folgen dem Sitzlandprinzip. Eine deutsche Tochter eines US-Konzerns prüft Größe und Sektor in Deutschland nach NIS2UmsuCG. Die US-Mutter wird konsolidiert eingerechnet, wenn die Beherrschung gegeben ist, aber die deutsche Tochter ist die meldepflichtige Einrichtung. Die Registrierung erfolgt beim deutschen BSI.

Joint Ventures werden anteilig betrachtet, soweit die Gesellschafter unter 50 Prozent halten. Liegt ein Gesellschafter über 50 Prozent, wird das JV bei diesem konsolidiert. Sonderfälle (Konsortien, atypische stille Beteiligungen, Treuhandverhältnisse) erfordern eine Einzelfallprüfung mit handelsrechtlichem und gesellschaftsrechtlichem Sachverstand.

CIVAC bildet die Konzernkonsolidierung in einer eigenen Audit-Vorlage ab, die Beteiligungsstruktur, Stimmrechte und Beherrschungsverhältnisse erfasst. Das Ergebnis ist eine konsolidierte Größenklassenanalyse, die im Audit als Entlastungsdokument dient.

Die Betroffenheitsanalyse folgt einem dreistufigen Schema. Schritt 1: Sektor-Mapping. Erfassen Sie alle Geschäftsaktivitäten Ihres Unternehmens und Ihrer verbundenen Unternehmen mit NACE-Codes. Gleichen Sie diese gegen Anhang I (wesentlich) und Anhang II (wichtig) der NIS-2-Richtlinie ab. Ergebnis je Aktivität: kein Sektor / Anhang II / Anhang I.

Schritt 2: Größenkriterien-Prüfung. Berechnen Sie konsolidiert die Mitarbeitendenzahl (VZE 31.12.) und den Umsatz beziehungsweise die Bilanzsumme der letzten zwei Geschäftsjahre. Wenden Sie die Konsolidierungsregel nach EU-Empfehlung 2003/361/EG an. Ergebnis: Größenklasse mittel, groß oder klein, mit Begründungsdokumentation.

Schritt 3: Kombinationslogik. Pro Sektor-Aktivität und Größenklasse leiten Sie das NIS-2-Status ab. Wesentlich = Anhang I + mindestens mittel. Wichtig = Anhang II + mindestens mittel. Sonderregel: bestimmte Anbieter sind unabhängig von Größe wesentlich. Nicht betroffen = keine Sektor-Aktivität oder unter Größenschwelle ohne Sonderregel.

Die Dokumentation folgt einem Einseiter: Sektor-Treffer mit Begründung, Größenklasse mit Berechnung, Ergebnis (wesentlich/wichtig/nicht betroffen), Verantwortlicher, Stichtag, nächster Re-Check. Der Einseiter ist das Entlastungsdokument bei einer BSI-Anfrage oder einem behördlichen Bußgeldverfahren.

Wer mehrere NIS-2-Aktivitäten hat, dokumentiert je Aktivität separat und konsolidiert auf Unternehmensebene. Ein Mischkonzern kann mit der Energieaktivität wesentlich und mit der Lebensmittelaktivität wichtig sein. Die strengste Pflicht setzt sich durch, das heißt bei beiden Treffern gilt der wesentliche Pflichtenrahmen.

CIVAC führt die Betroffenheitsanalyse in 90 Minuten durch, wenn die Inputs vorliegen (Handelsregister, Geschäftsverteilung, HR-Auswertung, Jahresabschluss, Beteiligungsstruktur). Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Wer betroffen ist, registriert sich nach § 33 BSIG-neu binnen drei Monaten beim BSI. Die Registrierung erfolgt elektronisch über das BSI-Meldeportal und enthält Stammdaten, Sektor-Zuordnung, Kontaktstelle und Verantwortlicher für Informationssicherheit. Die Kontaktstelle muss 24/7 erreichbar sein, weil die 24-Stunden-Frühwarnung andernfalls nicht eingehalten werden kann.

Der Meldepfad ist klar geregelt. Frühwarnung binnen 24 Stunden ab Kenntnis eines erheblichen Sicherheitsvorfalls, Folgemeldung mit Erstbewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Frist läuft ab Kenntnis, nicht ab Eintritt. Eine dokumentierte Berichtslinie verkürzt die Kenntnisnahme von Tagen auf Minuten.

Risikomanagement nach § 30 BSIG-neu umfasst zehn benannte Bereiche, darunter Risikoanalyse, Vorfallsbehandlung, Backup- und Wiederherstellungskonzepte, Lieferkettensicherheit, Schwachstellenmanagement, Kryptografie, Personalsicherheit, Zugriffsmanagement, Multi-Faktor-Authentifizierung und kontinuierliche Authentifizierung. Die Maßnahmen müssen dokumentiert, getestet und überprüft werden.

Geschäftsleitungsverantwortung nach § 38 BSIG-neu verlangt Genehmigung, Überwachung und Schulung. Die Leitungsorgane genehmigen die Risikomanagement-Maßnahmen, überwachen die Umsetzung und absolvieren regelmäßig Schulungen zur Cyber-Sicherheit. Schulungspflicht und Schulungsnachweis sind im Audit prüfbar.

Sanktionen sind abgestuft. Wesentliche Einrichtungen: bis 10 Mio. Euro Bußgeld oder 2 Prozent Konzernumsatz, der höhere Betrag gilt. Wichtige Einrichtungen: bis 7 Mio. Euro Bußgeld oder 1,4 Prozent Konzernumsatz. § 38 BSIG-neu ergänzt persönliche Haftung der Leitung, § 130 OWiG erfasst Aufsichtspflichtverletzungen ergänzend mit bis zu 10 Mio. Euro.

CIVAC integriert Registrierung, Meldepfad 24/72 und Risikomanagement in einem Workspace, der die Pflichten gemäß § 30 BSIG-neu abdeckt und ISO/IEC 27001:2022 mit 93 Controls als ISMS-Rahmen nutzt. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Fünf Konstellationen treten in der Beratungspraxis besonders häufig auf. Erstens der klassische Maschinenbauer mit 150 Mitarbeitenden und 45 Mio. Euro Umsatz. NACE C28, Anhang II, mittelgroßes Unternehmen. Ergebnis: wichtige Einrichtung, Pflichten ab Inkrafttreten, Registrierung beim BSI, Bußgeldrahmen bis 7 Mio. Euro.

Zweitens der Medizinproduktehersteller mit 80 Mitarbeitenden und 18 Mio. Euro Umsatz. NACE C32.50, Anhang II, mittelgroßes Unternehmen. Ergebnis: wichtige Einrichtung, parallel relevant sind MDR/IVDR-Pflichten. Der ISB kombiniert mit dem Datenschutzbeauftragten und ggf. einem Qualitätsmanagementbeauftragten.

Drittens der mittelständische Energieversorger mit 60 Mitarbeitenden und 25 Mio. Euro Umsatz, Stromverteilung an 80.000 Einwohner. Sektor Energie/Stromverteilung, Anhang I, mittelgroßes Unternehmen. Ergebnis: wesentliche Einrichtung, Bußgeldrahmen bis 10 Mio. Euro, parallel KRITIS-Mengenwert prüfen, gemeinsamer ISB-Workflow.

Viertens der Cloud-Anbieter mit 40 Mitarbeitenden und 8 Mio. Euro Umsatz, B2B-IaaS für deutsche Kunden. NACE J63.11, Anhang I, klein. Ergebnis: nicht betroffen mangels Größenkriterien, soweit nicht qualifizierter Vertrauensdiensteanbieter. Sonderregel prüfen, weil bestimmte Cloud-Anbieter unabhängig von Größe erfasst werden.

Fünftens der Mischkonzern mit 800 Mitarbeitenden konsolidiert, davon 30 in einer Tochter mit Lebensmittelproduktion. Tochter wird konsolidiert auf Konzernebene betrachtet. Ergebnis: wichtige Einrichtung über die Lebensmittel-Tochter, weil die Konzerngröße die Schwelle reißt und die Tochter im Anhang II-Sektor tätig ist.

CIVAC führt für jede Konstellation eine separate Audit-Vorlage und konsolidiert auf Unternehmensebene. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle teilen die gleichen Vorlagen und die gleiche Dokumentationsqualität.

Vier Fehler treten in der Betroffenheitsanalyse besonders häufig auf. Erstens die isolierte Sektorprüfung ohne Größenkriterien. Wer nur den NACE-Code abgleicht und die Mitarbeitendenzahl ignoriert, identifiziert sich fälschlich als betroffen oder nicht betroffen. Beide Kriterien gelten kumulativ, soweit keine Sonderregel greift.

Zweitens die fehlende Konzernkonsolidierung. Eigenständig wirkende Töchter prüfen ihre eigene Größe und übersehen die Konsolidierungspflicht. Das Ergebnis ist falsch, weil die EU-Empfehlung 2003/361/EG die Konsolidierung zwingend vorschreibt, sobald eine beherrschende Stellung besteht. Die Aufsicht prüft die Konzernstruktur eigenständig nach.

Drittens das Übersehen der Sonderregeln. Bestimmte Anbieter (qualifizierte Vertrauensdienste, TLD-Registries, DNS-Anbieter, öffentliche Verwaltung des Bundes, kritische Anbieter nach § 56 BSIG-neu) sind unabhängig von Größenkriterien erfasst. Wer nur die 50/250-Schwellen prüft, verfehlt diese Sonderkonstellationen.

Viertens die statische Prüfung ohne Re-Check. Sektor-Aktivitäten ändern sich, Mitarbeitende wachsen, Umsätze steigen, Konzerne reorganisieren. Eine Betroffenheitsanalyse ohne jährlichen Re-Check verliert Belastbarkeit. Im zweiten Jahr ist sie veraltet, im dritten Jahr ist sie im Audit nicht mehr verwertbar.

Fünftens die Verwechslung von KRITIS und NIS-2. Wer in keinem KRITIS-Sektor liegt, schließt fälschlich auf NIS-2-Freiheit. Tatsächlich erfasst NIS-2 weitere Sektoren (Hersteller, digitale Anbieter, Forschung) und niedrigere Schwellen. Wer nur KRITIS prüft, verfehlt die NIS-2-Pflicht und gefährdet die Registrierungspflicht.

CIVAC strukturiert die Audit-Vorlage so, dass alle vier Fehlerquellen geschlossen werden: Sektor und Größe gleichzeitig, Konzernkonsolidierung als Pflichtfeld, Sonderregeln als separater Prüfschritt, automatische Re-Check-Erinnerung. Audit-fest, dokumentiert, § 30-fest.

Die Betroffenheitsanalyse ist die Eintrittskarte in die NIS-2-Compliance. Wer das Ergebnis sauber dokumentiert hat, plant die nächsten Schritte: Registrierung beim BSI, Bestellung des Informationssicherheitsbeauftragten, ISMS-Aufbau nach ISO/IEC 27001:2022 mit 93 Controls, Lieferantenaudits, Schulung der Geschäftsleitung, Test des 24/72-Meldepfads.

CIVAC bietet zwei Modelle. Erstes Modell: Sie lizenzieren den Workspace für Ihren internen ISB. 490 Audit-Vorlagen, integrierte Bestellurkunden für 25 Beauftragten-Rollen, NIS-2-24/72-Meldepfad, ISO 27001-Kontrollen, EU-Datenresidenz. Ihr Beauftragter arbeitet in der Plattform, Sie behalten Personalhoheit und Kompetenzaufbau im Haus.

Zweites Modell: Sie lassen unsere Beauftragten bestellen. CIVAC stellt einen externen ISB aus dem Portfolio von 25 Beauftragten-Rollen. SLA: 2 Werktage zur Aufnahme, statt 2 bis 6 Wochen klassischer Personalsuche. Bestellurkunde, unterschrieben, abgelegt, belegbar. Berichtslinie an die Geschäftsleitung dokumentiert und prüffest.

Beide Modelle teilen den gleichen Workspace, die gleichen Audit-Vorlagen und die gleichen Meldepfade. Der Unterschied liegt ausschließlich in der Trägerschaft. Wer wachsen will, beginnt extern und übernimmt später intern. Wer Spezialwissen punktuell braucht, kombiniert interne Rollen mit externen Spezialbeauftragten aus dem CIVAC-Portfolio.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege beginnen mit einer 90-minütigen Betroffenheitsanalyse, die wir gemeinsam in Ihrer Audit-Vorlage durchführen. Der Prüfer ruft an, der Nachweis liegt bereit.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir vereinbaren einen 30-Minuten-Termin, in dem wir Sektor-Treffer, Größenklasse, Konzernkonsolidierung und passendes Modell durchsprechen.