Unter 50 Mitarbeiter, kein Energieversorger, kein Krankenhaus. Also nicht betroffen, sagt die Geschäftsführung, und das Thema ist erledigt. Bis ein Großkunde schreibt und bis Monatsende einen Nachweis verlangt. Warum die Frage nach der Betroffenheit selten mit einem schnellen Ja oder Nein beantwortet ist und wo die typischen Denkfehler liegen, erklärt dieser Beitrag.
Der häufigste Irrtum
Seit dem 6. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Kraft. Es hat das BSI-Gesetz grundlegend neu gefasst und den Kreis der regulierten Unternehmen von einigen tausend auf rund 30.000 erweitert. Trotzdem höre ich in Gesprächen mit Geschäftsführern fast immer denselben Satz. Das betrifft uns nicht, wir sind zu klein.
Dieser Satz enthält gleich drei Denkfehler: Er unterstellt, dass allein die Größe entscheidet. Er unterstellt, dass die Größe offensichtlich ist. Und er unterstellt, dass nur betroffen ist, wer selbst reguliert wird. Alle drei Annahmen sind falsch, und jede davon kann Sie als Sicherheitsbeauftragte in eine unangenehme Lage bringen.
Die gute Nachricht ist, dass hinter der Betroffenheitsprüfung eine klare Logik steht. Wer sie einmal verstanden hat, kann die Frage für sein Haus in einer Stunde belastbar beantworten.
Das Prinzip in 3 Fragen
Ob eine Einrichtung unter das neue BSI-Gesetz fällt, regelt § 28 BSIG. Die Prüfung folgt drei Fragen, und die Reihenfolge ist wichtig.
Die erste Frage lautet, in welchem Sektor Sie tätig sind. Das Gesetz nennt die erfassten Sektoren in zwei Anlagen. Anlage 1 enthält die Sektoren mit hoher Kritikalität, etwa Energie, Transport und Verkehr, Finanzwesen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur und die Verwaltung von IKT-Diensten für andere Unternehmen. Anlage 2 enthält sonstige kritische Sektoren, darunter Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes wie Maschinenbau oder Medizinprodukte, digitale Dienste und die Forschung. Wer in keinem dieser Sektoren tätig ist, ist nicht unmittelbar betroffen, egal wie groß er ist.
Die zweite Frage lautet, wie groß Sie sind. Hier gelten zwei Schwellen. Eine wichtige Einrichtung ist, wer in einem der Sektoren mindestens 50 Beschäftigte hat oder mehr als zehn Millionen Euro Jahresumsatz und zugleich mehr als zehn Millionen Euro Jahresbilanzsumme. Eine besonders wichtige Einrichtung ist, wer in einem Sektor der Anlage 1 mindestens 250 Beschäftigte hat oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme. Unternehmen aus Anlage 2 können höchstens wichtige Einrichtung werden.
Die dritte Frage lautet, ob ein Sonderfall vorliegt. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe besonders wichtige Einrichtungen. Für Vertrauensdiensteanbieter, DNS-Dienste, Top-Level-Domain-Registries und Telekommunikationsanbieter gelten eigene Regeln. Für die Bundesverwaltung gilt ein eigener Teil des Gesetzes, für Landes- und Kommunalverwaltungen das jeweilige Landesrecht.
Wo die Größe täuscht
Die Größe klingt nach der einfachsten Frage. Sie ist aber die tückischste. Das BSI-Gesetz verweist für die Berechnung auf die KMU-Empfehlung der EU-Kommission von 2003. Daraus folgen zwei Effekte, die in der Praxis oft übersehen werden.
Erstens zählen nicht Köpfe, sondern Jahresarbeitseinheiten. Teilzeitkräfte gehen anteilig ein, Auszubildende zählen nicht mit. Ein Haus mit 70 Beschäftigten, von denen viele in Teilzeit arbeiten, kann deshalb unter der Schwelle von 50 liegen. Umgekehrt kann ein Haus mit 45 Köpfen die Schwelle reißen, sobald man die verbundenen Unternehmen einrechnet.
Zweitens werden Partner- und verbundene Unternehmen grundsätzlich mitgerechnet. Die kleine Tochtergesellschaft eines Konzerns ist deshalb oft nicht so klein, wie sie sich fühlt. Das BSI-Gesetz lässt hier eine Ausnahme zu, wenn die Einrichtung bei ihren informationstechnischen Systemen unabhängig von den verbundenen Unternehmen ist. Diese Ausnahme sollten Sie nur mit sauberer Begründung in Anspruch nehmen.
Wo der Sektor täuscht
Auch der Sektor ist nicht immer eindeutig. Zwei Beispiele aus der Praxis zeigen das.
Das erste betrifft den IT-Dienstleister um die Ecke. Wer für andere Unternehmen IT betreibt, Netze verwaltet oder Sicherheitsdienste erbringt, fällt als Anbieter verwalteter Dienste in den Sektor Verwaltung von IKT-Diensten der Anlage 1. Ein Systemhaus mit 60 Beschäftigten ist damit eine wichtige Einrichtung. Viele dieser Häuser wissen das bis heute nicht. Für Sie als Kunde ist das eine wichtige Information, denn der Dienstleister, der Ihre Umgebung betreibt, unterliegt dann selbst Pflichten zu Risikomanagement und Meldungen.
Das zweite betrifft soziale Träger. Die klassische Altenpflege, die Eingliederungshilfe und die Kinder- und Jugendhilfe stehen nach überwiegender Einschätzung nicht in den Anlagen. Sobald ein Träger aber medizinische Leistungen erbringt, etwa in der Intensivpflege, einer Klinik oder im Rettungsdienst, lohnt ein genauer Blick auf den Sektor Gesundheitswesen. Hier ist die Abgrenzung nicht abschließend geklärt, und eine dokumentierte Einschätzung ist besser als eine stillschweigende Annahme.
Das Gesetz enthält dazu eine hilfreiche Regel. Nach § 28 Absatz 3 BSIG können Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Die Werkstatt eines Maschinenbauers, die nebenbei ein paar Ersatzteile verkauft, wird dadurch nicht zum Händler. Auch diese Einschätzung gehört schriftlich festgehalten.
Ein Sonderfall für die Finanzbranche
Für Banken, Versicherer und andere Finanzunternehmen im Anwendungsbereich von DORA gilt eine eigene Logik. DORA ist hier das speziellere Recht. Die Vorgaben zum IKT-Risikomanagement und zur Meldung von Vorfällen richten sich für diese Häuser nach DORA und nicht nach dem BSI-Gesetz. Wer in einem Finanzunternehmen arbeitet, prüft die Betroffenheit deshalb zuerst gegen DORA und nur ergänzend gegen das BSI-Gesetz.
Betroffen, ohne reguliert zu sein
Der dritte Denkfehler wiegt am schwersten. Auch wer nicht selbst unter das Gesetz fällt, kann von ihm betroffen sein. § 30 BSIG verpflichtet jede regulierte Einrichtung, die Sicherheit ihrer Lieferkette zu berücksichtigen, also die sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. Regulierte Kunden geben diese Pflicht deshalb vertraglich an ihre Lieferanten weiter.
In der Praxis sieht das so aus. Ein Zulieferer mit 40 Beschäftigten erhält von seinem größten Kunden einen Fragebogen mit 50 Fragen zur Informationssicherheit. Oder eine neue Vertragsklausel, die Mehrfaktoranmeldung, Meldewege bei Vorfällen und Prüfrechte verlangt. Rechtlich ist der Zulieferer nicht reguliert. Wirtschaftlich ist er es aber sehr wohl, denn wer die Fragen nicht beantworten kann, verliert den Auftrag.
Diese mittelbare Betroffenheit steht in keiner Anlage und in keinem Registrierungsportal. Sie kommt per Post, und sie kommt meist mit kurzer Frist.
Was das für Ihr Haus bedeutet
Die Betroffenheitsprüfung ist keine Formalie, sondern die Grundlage für alles Weitere. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt die Betroffenheit nicht für Sie fest. Jede Einrichtung muss sich selbst einordnen und sich, wenn sie betroffen ist, beim BSI registrieren. Wer sich falsch einordnet, trägt das Risiko.
Deshalb gehört das Ergebnis in ein kurzes Dokument, das die Geschäftsführung zur Kenntnis nimmt. Darin stehen der Sektor mit Begründung, die Berechnung der Größe einschließlich verbundener Unternehmen, geprüfte Sonderfälle und die Einschätzung zur mittelbaren Betroffenheit über Kunden. Dieses Dokument schützt Sie in zwei Richtungen: Ist Ihr Haus betroffen, beginnt damit die Umsetzung. Ist es nicht betroffen, können Sie das bei jeder Nachfrage belegen.
Der beiliegende NIS-2-Betroffenheitscheck führt Sie durch diese Prüfung. Er fragt Sektor, Größe und Sonderfälle ab, rechnet die Schwellen und erzeugt eine Seite für die Geschäftsführung mit Ergebnis und Begründung. Das BSI bietet ergänzend eine eigene Betroffenheitsprüfung auf seiner Webseite an. Beide Hilfen sind unverbindlich und ersetzen in Grenzfällen keine rechtliche Prüfung.
Das Wichtigste zum Mitnehmen
Die Betroffenheit hängt am Sektor, an der richtig gerechneten Größe und an Sonderfällen, und zwar in dieser Reihenfolge. Die Größe wird in Jahresarbeitseinheiten einschließlich verbundener Unternehmen gerechnet, nicht in Köpfen. IT-Dienstleister sind häufiger reguliert, als sie selbst glauben. Finanzunternehmen prüfen zuerst gegen DORA. Und wer nicht reguliert ist, kann trotzdem über seine Kunden betroffen sein.
Wenn Sie diese fünf Sätze Ihrer Geschäftsführung erklären können, haben Sie das Thema verstanden. Wenn Sie das Ergebnis schriftlich vorlegen können, haben Sie es erledigt.
Weiterlesen
Wie Sie die Sicherheit Ihrer Lieferkette in der Praxis steuern, begründet der Kommentar aus Ausgabe 21 2026:
Was Ihre Systeme liefern müssen, wenn ein meldepflichtiger Vorfall eintritt, zeigt der Beitrag aus Ausgabe 22 2026:
