Anwendungsbereich und Schwellenwerte — bin ich eine besonders wichtige Einrichtung oder eine wichtige Einrichtung?

1. Worum es geht — die Anwendungsbereichsfrage

Die erste NIS-2-Frage ist nicht: „Welche Maßnahme muss ich morgen kaufen?“ Die erste Frage ist: Fällt meine Einrichtung überhaupt in den Anwendungsbereich des BSIG — und wenn ja, in welche Kategorie? Erst danach lassen sich Pflichten, Fristen, Haftung, Budget und Verantwortlichkeiten sinnvoll bestimmen.

Die zentrale Anwendungsbereichsnorm ist § 28 BSIG [N-BSIG-28]. Diese Vorschrift unterscheidet zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen. Beide Kategorien sind eigenständige Rechtsbegriffe. Sie sind nicht nur zwei Stufen eines Marketing-Modells, sondern Anknüpfungspunkte für Pflichten, Aufsicht und Sanktionen. Die NIS-2-Gesamtübersicht steht im Pillar Selbst-Check für Geschäftsführer; dieser Satellit beantwortet die „Bin ich erfasst?“-Logik im eigenen Text.

Für die Geschäftsleitung ist die Einordnung deshalb ein Governance-Thema. Wer zu niedrig einordnet, baut Compliance-Schulden auf: Pflichten werden nicht rechtzeitig budgetiert, Meldewege fehlen, Registrierungsfristen laufen und die Geschäftsleitung kann das Thema nicht belastbar überwachen. Wer zu hoch einordnet, bindet dagegen Ressourcen an ein falsches Regime und erzeugt unnötige Komplexität. Der richtige Startpunkt ist deshalb ein nüchterner Entscheidungsbaum.

Normsicherheit: hoch. § 28 BSIG entscheidet nicht allein über jede Pflicht im Detail, aber er entscheidet, ob die Einrichtung in die Kategorien der besonders wichtigen Einrichtungen oder wichtigen Einrichtungen fällt. Danach folgen Spezialnormen, Bereichsausnahmen und Registrierungsregeln.

Die richtige Reihenfolge lautet:

1. Vorfilter prüfen: Bundesverwaltung, besondere Gebietskörperschafts-Konstellationen und territoriale/organisatorische Ausgangslage.
2. Größenunabhängige Sondertatbestände prüfen: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter sowie Vertrauensdiensteanbieter; bei sonstigen Vertrauensdiensteanbietern zusätzlich prüfen, ob neben § 28 Abs. 2 Nr. 1 BSIG eine Anlage-1-Hochschwellenroute nach § 28 Abs. 1 Nr. 4 BSIG eröffnet sein kann.
3. Telekommunikations-Sonderroute prüfen.
4. Allgemeine Anlagenroute prüfen: Einrichtungsart in Anlage 1 [N-BSIG-Anl1] oder Anlage 2 [N-BSIG-Anl2], entgeltliches Waren- oder Dienstleistungsangebot, vernachlässigbare Tätigkeiten.
5. Schwellen berechnen: Mitarbeiteranzahl, Jahresumsatz, Jahresbilanzsumme, Partnerunternehmen, verbundene Unternehmen, IT-Unabhängigkeits-Rückausnahme.
6. Kategorie bestimmen: besonders wichtige Einrichtung, wichtige Einrichtung oder nicht erfasst.
7. Bereichsausnahmen prüfen: § 28 Abs. 5, 6 und 7 BSIG.
8. Registrierung und Folgepflichten prüfen: § 33, § 34 BSIG [N-BSIG-34] und bei kritischen Anlagen § 8 KRITIS-DachG [N-KRITISDachG] [N-KRITISDachG-8].

Damit ist auch klar, was dieser Artikel nicht tut. Er ersetzt nicht die Pflichten-Tiefe aus NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG), nicht die Haftungs- und Sanktions-Tiefe aus Haftung und Sanktionen — Überblick, nicht die volle Konzernberechnung aus Konzern: Größenklassen & IT-Tochter, nicht die DORA [EU-DORA]-Grundabgrenzung aus DORA oder BSIG? und nicht die Spezialtiefe zu kritischen Anlagen aus Sondertatbestände + KRITIS. Er beantwortet aber vollständig, wie du die Eingangstür zum BSIG findest.

2. Die zwei Kategorien

Das BSIG arbeitet mit zwei Kategorien: besonders wichtige Einrichtung und wichtige Einrichtung. Die NIS-2-Richtlinie [EU-NIS2] spricht auf europäischer Ebene von „essential entities“ und „important entities“. Die deutsche Umsetzung verwendet für die erste Kategorie nicht den Ausdruck „wesentliche Einrichtung“, sondern besonders wichtige Einrichtung. Dieser Unterschied ist kein Sprachdetail, sondern wichtig für saubere Zitate, Bescheide, Verträge und interne Beschlussvorlagen.

Die Sektoren stehen in den Anlagen zum BSIG. Anlage 1 [N-BSIG-Anl1] enthält sieben Sektoren, Anlage 2 [N-BSIG-Anl2] enthält sieben Sektoren. Zusammen sind das vierzehn Sektorpositionen, nicht vierzehn überschneidungsfreie Sektoren, weil „Transport und Verkehr“ in beiden Anlagen vorkommt. Es sind auch nicht achtzehn Sektoren; achtzehn ist die Zahl aus der Struktur der NIS-2-Richtlinie, nicht die praktische Zählung der beiden BSIG-Anlagen.

Anlage 1 BSIG umfasst die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Die allgemeine Größenroute zur besonders wichtigen Einrichtung nach § 28 Abs. 1 Nr. 4 BSIG knüpft nur an Einrichtungsarten der Anlage 1 an.

Anlage 2 BSIG umfasst die Sektoren Transport und Verkehr, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe/Herstellung von Waren, Anbieter digitaler Dienste und Forschung. Die allgemeine Größenroute zur wichtigen Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG knüpft an Einrichtungsarten der Anlagen 1 und 2 an.

Das ist die wichtigste Asymmetrie im Artikel: Wer nur einer Einrichtungsart aus Anlage 2 zuzuordnen ist, wird über die allgemeine Größenroute nicht besonders wichtige Einrichtung. Er kann über § 28 Abs. 2 Nr. 3 BSIG wichtige Einrichtung werden. Unberührt bleiben größenunabhängige Sondertatbestände, insbesondere Betreiber kritischer Anlagen oder bestimmte DNS-/TLD-/Vertrauensdienst-Konstellationen.

Praxisbox — nicht mit Branchengefühl arbeiten: Die Anlagen enthalten nicht nur Sektorüberschriften, sondern konkrete Branchen und Einrichtungsarten. Eine Geschäftsleitung sollte deshalb nicht sagen: „Wir sind irgendwie Industrie, also NIS-2.“ Sauber ist: Welche konkrete Einrichtungsart aus Anlage 1 oder 2 trifft meine rechtliche Einheit mit ihrer tatsächlichen entgeltlichen Tätigkeit?

3. Wer ist besonders wichtige Einrichtung — § 28 Abs. 1 BSIG

§ 28 Abs. 1 BSIG [N-BSIG-28] enthält vier Eintrittsrouten zur besonders wichtigen Einrichtung. Zwei davon sind größenunabhängig, eine ist eine Telekommunikations-Sonderroute, eine ist die allgemeine Anlage-1-Größenroute.

(1) 1 Als besonders wichtige Einrichtung gelten

1. Betreiber kritischer Anlagen,
2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter,
3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
   a) mindestens 50 Mitarbeiter beschäftigen oder
   b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen,
4. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in Anlage 1 bestimmten Einrichtungsarten zuzuordnen sind, und
   a) mindestens 250 Mitarbeiter beschäftigen oder
   b) einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.
   2 Davon ausgenommen sind Einrichtungen der Bundesverwaltung, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind.
   — § 28 Abs. 1 BSIG.

3.1 Betreiber kritischer Anlagen

Betreiber kritischer Anlagen gelten größenunabhängig als besonders wichtige Einrichtungen. Die Mitarbeiterzahl, der Jahresumsatz und die Jahresbilanzsumme sind für diesen Eintrittstatbestand nicht die entscheidende Schwelle. Entscheidend ist, ob eine kritische Anlage betrieben wird.

Der Begriff „Betreiber kritischer Anlagen“ ist bewusst zu verwenden. „KRITIS-Betreiber“ ist als Kurzsprache verbreitet, aber kein sauberer Gesetzesbegriff im BSIG. Für interne Vorstandsvorlagen, Vertragsklauseln und Registerprüfungen sollte der gesetzliche Ausdruck stehen bleiben.

Die Tiefe dieser Route steht in Sondertatbestände + KRITIS. Für A1-03 genügt die Kausalkette: kritische Anlage bestimmen, Betreiber bestimmen, Übergang nach § 66 BSIG [N-BSIG-66] beachten, dann größenunabhängig besonders wichtige Einrichtung nach § 28 Abs. 1 Nr. 1 BSIG.

3.2 Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter

Auch § 28 Abs. 1 Nr. 2 BSIG ist größenunabhängig. Er nennt qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter. Diese Begriffe sind nicht beliebig austauschbar.

Ein qualifizierter Vertrauensdiensteanbieter ist über § 2 Nr. 34 BSIG [N-BSIG-2-34] mit Art. 3 Nr. 20 der eIDAS [EU-eIDAS]-Verordnung verbunden. Ein Vertrauensdiensteanbieter im weiteren Sinne steht dagegen in § 2 Nr. 44 BSIG [N-BSIG-2-44] und Art. 3 Nr. 19 eIDAS. Die Folge ist wichtig: Qualifizierte Vertrauensdiensteanbieter fallen größenunabhängig in die Kategorie der besonders wichtigen Einrichtungen. Sonstige Vertrauensdiensteanbieter sind nach § 28 Abs. 2 Nr. 1 BSIG größenunabhängig wichtige Einrichtungen, soweit sie nicht bereits qualifiziert sind; zusätzlich ist aber zu prüfen, ob dieselbe rechtliche Einheit einer Einrichtungsart der Anlage 1 [N-BSIG-Anl1] zuzuordnen ist und über § 28 Abs. 1 Nr. 4 BSIG bei Erreichen der hohen allgemeinen Schwelle besonders wichtige Einrichtung wird.

Eine Top Level Domain Name Registry ist nach § 2 Nr. 42 BSIG [N-BSIG-2-42] die natürliche oder juristische Person, die die Registrierung von Internet-Domain-Namen innerhalb einer spezifischen Top Level Domain verwaltet und betreibt. Dazu gehören der Betrieb der Namenserver, die Pflege der Datenbanken und die Verteilung von TLD-Zonendateien über die Namenserver; es ist unerheblich, ob der Betrieb selbst erfolgt oder ausgelagert wird. Nicht erfasst sind Register, die TLD-Namen nur für eigene Zwecke verwenden. Das ist nicht dasselbe wie der in § 2 Nr. 9 BSIG [N-BSIG-2-9] definierte Domain-Name-Registry-Dienstleister und auch nicht deckungsgleich mit dem Domain-Name-Registry-Diensteanbieter aus § 33 BSIG [N-BSIG-33]. In der Praxis muss deshalb sauber getrennt werden: Ein Begriff kann für die Einordnung relevant sein, ein anderer für die Registrierung.

Ein DNS-Diensteanbieter ist nach § 2 Nr. 8 BSIG [N-BSIG-2-8] eine natürliche oder juristische Person, die für Internet-Endnutzer öffentlich verfügbare rekursive Dienste zur Auflösung von Domain-Namen anbietet oder autoritative Dienste zur Auflösung von Domain-Namen zur Nutzung durch Dritte anbietet; Root-Namenserver sind ausgenommen. Auch hier gilt: Nicht jede IT-Dienstleistung ist DNS-Dienstleistung. Die technische Rolle muss tatsächlich erfüllt sein.

3.3 Telekommunikations-Sonderroute

Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze haben eine eigene Schwelle. Sie werden bereits besonders wichtige Einrichtungen, wenn sie mindestens 50 Mitarbeiter beschäftigen oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro aufweisen. Das ist niedriger als die allgemeine Anlage-1-Schwelle für sonstige Einrichtungen.

Die Konjunktion ist entscheidend: Für die Finanzschwelle müssen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Für die Mitarbeiterroute reicht die Mitarbeiterzahl. Die Einordnung darf die TK-Sonderroute nicht mit der allgemeinen 250-Mitarbeiter-Route harmonisieren.

3.4 Allgemeine Anlage-1-Größenroute

Die allgemeine Route in § 28 Abs. 1 Nr. 4 BSIG gilt für sonstige natürliche oder juristische Personen sowie rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten, einer Einrichtungsart der Anlage 1 zuzuordnen sind und eine der hohen Schwellen erreichen.

Die erste Schwelle ist mindestens 250 Mitarbeiter. Die zweite Schwelle ist eine kombinierte Finanzschwelle: Jahresumsatz von über 50 Millionen Euro und zudem Jahresbilanzsumme von über 43 Millionen Euro. Umsatz allein reicht für diese Finanzroute nicht; Bilanzsumme allein reicht ebenfalls nicht.

Ob eine konkrete Tätigkeit einer Einrichtungsart der Anlage 1 zuzuordnen ist, kann im Einzelfall anspruchsvoll sein, weil die Anlage mit Sektor, Branche und Einrichtungsart arbeitet. Gerade Mischkonzerne sollten nicht nur den handelsrechtlichen Hauptzweck lesen, sondern die tatsächlich angebotenen Waren und Dienstleistungen der einzelnen Rechtsträger erfassen.

3.5 Bundesverwaltung als Ausnahme der Kategorie, nicht als allgemeiner Freifahrtschein

§ 28 Abs. 1 Satz 2 BSIG nimmt Einrichtungen der Bundesverwaltung aus der Kategorie der besonders wichtigen Einrichtungen aus, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind. Das bedeutet nicht, dass die Bundesverwaltung außerhalb jeder BSIG-Logik steht. Einrichtungen der Bundesverwaltung werden gesondert in § 29 BSIG [N-BSIG-29] adressiert. Für A1-03 genügt: Nicht die falsche Aussage treffen, Bundesverwaltung sei pauschal „nicht erfasst“.

4. Wer ist wichtige Einrichtung — § 28 Abs. 2 BSIG

§ 28 Abs. 2 BSIG [N-BSIG-28] enthält die Kategorie der wichtigen Einrichtungen. Sie ist nicht die „unwichtige“ Kategorie. Sie ist die zweite gesetzliche Kategorie mit eigenen Schwellen, eigenen Pflichten und eigenem Aufsichtsbezug.

(2) 1 Als wichtige Einrichtungen gelten

1. Vertrauensdiensteanbieter,
2. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
   a) weniger als 50 Mitarbeiter beschäftigen und
   b) einen Jahresumsatz oder eine Jahresbilanzsumme von jeweils 10 Millionen Euro oder weniger aufweisen,
3. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind und
   a) mindestens 50 Mitarbeiter beschäftigen oder
   b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.
   2 Davon ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung.
   — § 28 Abs. 2 BSIG.

4.1 Vertrauensdiensteanbieter

Vertrauensdiensteanbieter sind nach § 28 Abs. 2 Nr. 1 BSIG größenunabhängig wichtige Einrichtungen. Das gilt aber nur, soweit sie nicht als qualifizierte Vertrauensdiensteanbieter bereits nach § 28 Abs. 1 Nr. 2 BSIG besonders wichtige Einrichtungen sind. Zusätzlich darf diese Einstufung nicht gegen die allgemeine Anlage-1-Route abgeschlossen werden: Wenn die konkrete Einrichtung zugleich einer Anlage-1-Einrichtungsart zuzuordnen ist und die hohen Schwellen des § 28 Abs. 1 Nr. 4 BSIG erreicht, kann sie unabhängig von der fehlenden Qualifikation als besonders wichtige Einrichtung einzuordnen sein.

Die praktische Frage lautet deshalb nicht nur „bieten wir einen Vertrauensdienst an?“, sondern auch „ist dieser Dienst qualifiziert im Sinne der eIDAS [EU-eIDAS]-Verordnung?“ und „greift daneben eine Anlage-1-Hochschwellenroute?“ Diese Trennung verhindert, dass ein qualifizierter Vertrauensdiensteanbieter oder ein hochschwelliges Anlage-1-Unternehmen versehentlich in die niedrigere Kategorie eingeordnet wird.

4.2 Kleine Telekommunikationsanbieter und öffentliche Telekommunikationsnetze

§ 28 Abs. 2 Nr. 2 BSIG erfasst Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze, die weniger als 50 Mitarbeiter beschäftigen und deren Jahresumsatz oder Jahresbilanzsumme jeweils 10 Millionen Euro oder weniger beträgt.

Die sichere Lesart als Prüfformel lautet:

TK-klein = weniger als 50 Mitarbeiter UND (Jahresumsatz ≤ 10 Mio. Euro ODER Jahresbilanzsumme ≤ 10 Mio. Euro).

Das ist keine allgemeine Kleinunternehmerregel für alle Branchen. Es ist die spezielle TK-Route. Sobald die TK-Schwelle des § 28 Abs. 1 Nr. 3 BSIG erreicht ist, steht nicht mehr § 28 Abs. 2 Nr. 2 im Vordergrund, sondern die Einordnung als besonders wichtige Einrichtung.

4.3 Allgemeine Anlagenroute für wichtige Einrichtungen

Die allgemeine Route zur wichtigen Einrichtung ist § 28 Abs. 2 Nr. 3 BSIG. Sie ist deutlich breiter als die allgemeine Route zur besonders wichtigen Einrichtung. Sie erfasst Einrichtungsarten aus Anlage 1 [N-BSIG-Anl1] und Anlage 2 [N-BSIG-Anl2]. Deshalb werden viele industrielle, digitale, Forschungs-, Lebensmittel-, Chemie- und Abfall-Konstellationen praktisch zuerst über diese Route geprüft.

Die Schwelle ist erreicht, wenn die Einrichtung mindestens 50 Mitarbeiter beschäftigt oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro aufweist. Auch hier gilt: Bei der Finanzroute müssen beide Finanzgrößen über der Schwelle liegen. Bei der Mitarbeiterroute reicht die Mitarbeiterzahl.

Ein Beispiel zeigt die Asymmetrie: Eine Kfz-Zulieferer-GmbH mit 180 Mitarbeitern kann in Anlage 2 unter „Verarbeitendes Gewerbe/Herstellung von Waren“ und dort unter Herstellung von Kraftwagen und Kraftwagenteilen fallen, wenn die konkrete Einrichtungsart erfüllt ist. Über die allgemeine Größenroute wäre sie dann regelmäßig wichtige Einrichtung, nicht besonders wichtige Einrichtung. Für eine besonders wichtige Einrichtung müsste zusätzlich eine Anlage-1-Route, ein TK-Sondertatbestand, eine kritische Anlage oder ein anderer größenunabhängiger Tatbestand hinzutreten.

Das Beispiel ersetzt keine Einzelfallprüfung, weil Anlage 2 nicht jede industrielle Tätigkeit pauschal erfasst. Es zeigt aber die richtige Kausalkette: Einrichtungsart prüfen, dann Schwelle, dann Kategorie.

5. Schwellenwerte und ihre Berechnung — § 28 Abs. 4 BSIG

Die Schwellenwerte sind nur scheinbar einfache Zahlen. § 28 Abs. 4 BSIG [N-BSIG-28] legt fest, wie Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme zu bestimmen sind. Dabei verweist die Norm auf die Empfehlung der Kommission 2003/361/EG. Außerdem enthält sie eine IT-Unabhängigkeits-Rückausnahme für Partner- und verbundene Unternehmen.

(3) Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.
(4) 1 Bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme nach den Absätzen 1 und 2 ist außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft die Empfehlung der Kommission (2003/361/EG) mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden.
2 Die Daten von Partner- oder verbundenen Unternehmen im Sinne der Empfehlung der Kommission (2003/361/EG) sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist.
— § 28 Abs. 3 und 4 BSIG.

5.1 Die Schwellenmatrix

Die Tabelle ist eine Lesehilfe, kein Ersatz für den Gesetzestext. Entscheidend bleiben die Einrichtungsart, die Tatbestandsroute und die genaue UND/ODER-Struktur.

5.2 Mitarbeiterzahl heißt Jahresarbeitseinheiten

Die Mitarbeiterzahl wird nicht bloß als Kopfzahl an einem beliebigen Stichtag gelesen. Die Empfehlung 2003/361/EG [EU-KMU] arbeitet in Art. 5 des Anhangs mit Jahresarbeitseinheiten (JAE). Vollzeitbeschäftigte, Teilzeitbeschäftigte, Saisonarbeitskräfte und Personen, die nicht das ganze Jahr gearbeitet haben, können deshalb anders wirken als eine einfache Kopfzählung.

Für die Berechnung nach der Empfehlung sind die Daten des letzten Rechnungsabschlusses maßgeblich; bei neu gegründeten Unternehmen können nach Treu und Glauben geschätzte Jahresdaten heranzuziehen sein. Die Schwellenlogik ist außerdem nicht nur eine Momentaufnahme: Art. 4 des Anhangs der Empfehlung arbeitet mit einer Statuswechsel-Logik über zwei aufeinander folgende Geschäftsjahre. Für die BSIG-Prüfung bedeutet das: Schwellenüberschreitung, Herausfallen und erneutes Hineinwachsen müssen mit Rechnungsabschluss, Referenzdaten und Dokumentationsstand nachvollziehbar festgehalten werden; eine Übertragung auf den Umsatz bleibt als BSIG-Anwendungsschritt gesondert zu begründen und darf nicht als unmittelbarer Wortlaut des Art. 4 Abs. 2 des Anhangs ausgegeben werden.

Für die Praxis heißt das: Die Personalabteilung, der Jahresabschluss und die Compliance-Funktion müssen auf dieselbe Berechnungslogik gebracht werden. Eine Einrichtung sollte dokumentieren, welche Periode sie betrachtet, welche Gesellschaften einbezogen wurden und wie Teilzeit/Saison/unterjährige Beschäftigung behandelt wurde.

5.3 Jahresumsatz und Jahresbilanzsumme

Jahresumsatz und Jahresbilanzsumme sind nicht austauschbar. Manche Tatbestände verlangen Umsatz und Bilanzsumme über einer Schwelle; andere Tatbestände arbeiten mit Mitarbeiterzahl oder kombinierter Finanzschwelle. Bei § 28 Abs. 1 Nr. 4 Buchst. b BSIG ist besonders klar: Jahresumsatz über 50 Millionen Euro und zudem Jahresbilanzsumme über 43 Millionen Euro.

Bei § 28 Abs. 2 Nr. 3 Buchst. b BSIG müssen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Eine Einrichtung mit 48 Mitarbeitern, 12 Millionen Euro Umsatz und 9 Millionen Euro Bilanzsumme erreicht diese Finanzroute nicht. Sie kann aber aus anderen Gründen erfasst sein, etwa als Vertrauensdiensteanbieter, DNS-Diensteanbieter oder Betreiber kritischer Anlagen.

5.4 Partnerunternehmen, verbundene Unternehmen und IT-Unabhängigkeit

Die Empfehlung 2003/361/EG kennt eigenständige Unternehmen, Partnerunternehmen und verbundene Unternehmen. § 28 Abs. 4 BSIG verweist grundsätzlich auf diese Logik. In Konzernen reicht es deshalb nicht, die einzelne GmbH isoliert nach ihrer eigenen Mitarbeiterzahl zu lesen.

Gleichzeitig enthält § 28 Abs. 4 Satz 2 BSIG eine wichtige Rückausnahme: Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist.

Das ist keine pauschale Konzernbefreiung. Es ist eine begründungsbedürftige IT-Unabhängigkeitsprüfung. Sie verlangt Dokumentation: getrennte Netze, getrennte Betriebsverantwortung, getrennte Identity- und Access-Strukturen, getrennte IT-Prozesse, getrennte Sicherheitsorganisation, tatsächliche Weisungs- und Betriebsrealität. Die Konzern-Schwellenberechnung ist in Konzern: Größenklassen & IT-Tochter vertieft; die Navigation durch Sonderkonstellationen steht in Konzern, DORA & Insolvenz — Sonderfälle.

Praxisbox — Konzern: Geprüft wird die einzelne Einrichtung. Partner- und verbundene Unternehmen werden aber mitgedacht, soweit § 28 Abs. 4 BSIG und die Empfehlung 2003/361/EG das verlangen. Wer die Rückausnahme nutzen will, sollte nicht nur eine Organigrammfolie vorlegen, sondern die IT-Unabhängigkeit nachweisen können.

5.5 Rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft

Für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft gilt die allgemeine Verweisung auf die Empfehlung 2003/361/EG nicht schlicht wie bei sonstigen Unternehmen. § 28 Abs. 4 Satz 1 BSIG nimmt diese Organisationseinheiten ausdrücklich aus der Verweisung heraus. Die Verweisung in § 28 Abs. 4 Satz 1 BSIG gilt dabei ausdrücklich mit Ausnahme von Art. 3 Abs. 4 des Anhangs der Empfehlung. Das ist eine bewusste deutsche Abweichung von der EU-KMU-Systematik und darf nicht mit der Gebietskörperschaftsausnahme des § 28 Abs. 8 BSIG oder mit staatlich/kommunal geprägten Beteiligungsstrukturen vermischt werden.

Davon zu trennen ist § 28 Abs. 8 BSIG. Absatz 4 betrifft die Berechnung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme. Absatz 8 betrifft dagegen die Nicht-Anwendung des Gesetzes unter engen Gebietskörperschafts-Voraussetzungen. Eine kommunale oder landesnahe Struktur kann deshalb nicht mit einem Satz als „raus“ behandelt werden.

5.6 Vernachlässigbare Geschäftstätigkeiten

§ 28 Abs. 3 BSIG erlaubt, bei der Zuordnung zu einer Einrichtungsart solche Geschäftstätigkeiten unberücksichtigt zu lassen, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Das hilft bei Randtätigkeiten, Piloten, Hilfsgeschäften und Nebenerlösen.

Aber auch hier gilt Demut. „Vernachlässigbar“ ist kein Freifahrtschein. Die Einrichtung sollte Umsatzanteil, Ressourcenbindung, strategische Bedeutung, Kundengruppe, technische Abhängigkeiten und Außenauftritt dokumentieren. Eine kleine Tätigkeit kann für den Anwendungsbereich relevant werden, wenn sie rechtlich oder technisch nicht bloß beiläufig ist.

6. Wer fällt NICHT darunter — und der Unterschied zur Pflichten-Rückausnahme

Der gefährlichste Fehler im Anwendungsbereich ist der Satz: „Wir fallen nicht darunter.“ Dieser Satz kann richtig sein. Er kann aber auch eine Bereichsausnahme, eine Sonderroute oder eine Übergangsregel verkennen. Deshalb müssen echte Nicht-Erfassung und Pflichten-Rückausnahme getrennt werden.

6.1 Echte Nicht-Erfassung

Echt nicht erfasst ist eine Einrichtung, wenn sie keiner einschlägigen Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist, keinen größenunabhängigen Sondertatbestand erfüllt, keine TK-Sonderroute erfüllt, nicht Betreiber kritischer Anlagen ist und auch keine sonstige Spezialroute einschlägig ist.

Der einfache Bäckerei-Test hilft: Eine lokale Bäckerei mit 300 Beschäftigten ist nicht allein wegen ihrer Größe erfasst. Sie müsste einer konkreten Einrichtungsart der Anlagen 1 oder 2 zuzuordnen sein oder einen Sondertatbestand erfüllen. Größe ohne Einrichtungsart reicht nicht.

Der Bäckerei-Test ist keine Negativbescheinigung für alle Lebensmittelunternehmen. Bei Lebensmittelherstellung, Lebensmittelbehandlung und Lebensmittelhandel muss die konkrete Einrichtungsart aus Anlage 2 [N-BSIG-Anl2] BSIG und — bei kritischen Anlagen — die jeweils maßgebliche Übergangs- und Verordnungslogik geprüft werden.

Umgekehrt reicht eine Sektorüberschrift ohne Schwelle nicht. Ein Unternehmen im verarbeitenden Gewerbe wird nicht allein durch die Zugehörigkeit zu einer industriellen Wertschöpfungskette erfasst. Es braucht die konkrete Einrichtungsart und die Schwelle oder einen Sondertatbestand.

6.2 Bundesverwaltung und § 29 BSIG

Einrichtungen der Bundesverwaltung sind aus den Kategorien der besonders wichtigen Einrichtungen und wichtigen Einrichtungen herausgenommen, soweit die Sätze in § 28 Abs. 1 und 2 greifen. Das BSIG adressiert sie aber gesondert in § 29 BSIG [N-BSIG-29]. Deshalb darf der Artikel nicht schreiben: „Bundesverwaltung ist raus.“ Richtig ist: Bundesverwaltung folgt einer Sonderlogik. Außerdem bleibt nach § 28 Abs. 1 Satz 2 eine Einrichtung der Bundesverwaltung besonders wichtige Einrichtung, soweit sie gleichzeitig Betreiber kritischer Anlagen ist.

6.3 Gebietskörperschafts-Ausnahme nach § 28 Abs. 8 BSIG

§ 28 Abs. 8 BSIG [N-BSIG-28] enthält eine echte Nicht-Anwendung für bestimmte Organisationseinheiten und juristische Personen mit Gebietskörperschaftsbezug. Der Wortlaut ist eng.

(8) Dieses Gesetz findet keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften, ausgenommen der Bund, beteiligt sind, wenn sie

1. zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und
2. durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden.
   — § 28 Abs. 8 BSIG.

Die Voraussetzungen müssen kumulativ erfüllt sein. Eine kommunale Beteiligung allein reicht nicht. Eine IT-Gesellschaft in kommunaler Hand muss deshalb prüfen, ob ausschließlich Gebietskörperschaften beteiligt sind, ob der Bund beteiligt ist, ob der Errichtungszweck Leistungen für Verwaltungen betrifft und ob vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz existieren.

6.4 Bereichsausnahmen: erfasst, aber bestimmte Normen treten zurück

§ 28 Abs. 5, 6 und 7 BSIG sind keine pauschalen Nicht-Erfassungen. Sie setzen typischerweise voraus, dass die Einrichtung zunächst besonders wichtige Einrichtung oder wichtige Einrichtung ist. Danach treten bestimmte BSIG-Normen zurück.

(5) 1 Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 gelten nicht für besonders wichtige Einrichtungen und wichtige Einrichtungen, die

1. ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen oder
2. Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen.
   2 Satz 1 gilt nicht für die dort aufgeführten besonders wichtigen und wichtigen Einrichtungen, soweit sie über die in Satz 1 Nummer 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nummer 22 betreiben oder aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 bestimmten Einrichtungsarten zuzuordnen sind. 3 Satz 2 gilt für alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind.
   4 Im Fall, dass der Betrieb einer Energieanlage nach Satz 1 Nummer 2 einer in Satz 1 aufgeführten besonders wichtigen und wichtigen Einrichtung im Hinblick auf die gesamte Geschäftstätigkeit dieser Einrichtung eine Nebentätigkeit darstellt, findet dieser Absatz keine Anwendung.
   — § 28 Abs. 5 BSIG.

§ 28 Abs. 5 BSIG betrifft Telekommunikation und Energie, aber nicht pauschal „alles im Sektor Energie“. Bei Telekommunikation sind öffentlich zugängliche Telekommunikationsdienste, öffentliche Telekommunikationsnetze und die eigene TKG-Schutzpflichten- und Aufsichtsspur mitzudenken; bei Energie sind Energieversorgungsnetze, Energieanlagen und digitale Energiedienste nach dem EnWG zu unterscheiden. Zudem treten hier nicht nur materielle Pflichten zurück, sondern auch Aufsichts- und Durchsetzungsnormen: Die Liste enthält §§ 61 und 62 BSIG. Der Rücktritt gilt aber nicht, soweit weitere kritische Anlagen betrieben werden oder weitere Tätigkeiten eine Zuordnung zu Anlage 1 [N-BSIG-Anl1] oder 2 begründen. Satz 3 erweitert die Rückausnahme auf alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind; diese Systemformel sollte nicht unbesehen auf bloß weitere Tätigkeiten übertragen werden. Und wenn der Betrieb einer Energieanlage nur Nebentätigkeit ist, findet Abs. 5 nicht Anwendung; die Einrichtung kann dann wieder in die allgemeine BSIG-Logik fallen.

(6) Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für

1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,
2. die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.
   (7) § 32 gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben.
   — § 28 Abs. 6 und 7 BSIG.

§ 28 Abs. 6 BSIG ist die zentrale DORA [EU-DORA]-/Telematik-Bereichsausnahme. Bei DORA-Finanzunternehmen treten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG zurück. § 33 BSIG [N-BSIG-33] steht nicht in dieser Liste. Auch die besondere Registrierungsschiene des § 34 BSIG [N-BSIG-34] ist nicht Teil der Rücktrittsliste und muss bei den einschlägigen §-60-Einrichtungsarten gesondert geprüft werden. Die DORA-oder-BSIG-Grundabgrenzung ist in DORA oder BSIG?.

§ 28 Abs. 7 BSIG ist noch enger. Dort gilt nur § 32 BSIG [N-BSIG-32] nicht, und zwar für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Abs. 6 Nr. 1 betreiben. Das ist kein umfassender Carve-out.

6.5 Ausnahmebescheid nach § 37 BSIG

Nicht zu verwechseln ist das mit dem Ausnahmebescheid nach § 37 BSIG [N-BSIG-37]. Ein Ausnahmebescheid bedeutet nicht, dass die Einrichtung außerhalb des Anwendungsbereichs stand. Er setzt gerade eine besonders wichtige Einrichtung oder eine wichtige Einrichtung voraus und kann unter engen Voraussetzungen einzelne oder alle dort genannten Pflichten zurücknehmen.

§ 37 BSIG ist deshalb ein nachgelagerter Befreiungsmechanismus, kein Anwendungsbereichs-Ausgang. Nach § 37 Abs. 2 können bestimmte Einrichtungen für Tätigkeiten oder Dienste in relevanten Bereichen von Risikomanagementmaßnahmen nach § 30 und Meldepflichten nach § 32 befreit werden. Nach § 37 Abs. 3 kann bei ausschließlich einschlägiger Tätigkeit eine weitergehende Befreiung auch von Registrierungspflichten nach §§ 33 und 34 in Betracht kommen. Für Vertrauensdiensteanbieter gilt diese Ausnahme nach § 37 Abs. 4 BSIG nicht.

Demut-Box — nicht erfasst vs. nicht voll pflichtig: „Nicht erfasst“ bedeutet: § 28 führt nicht in die Kategorien, und keine Sonderroute greift. „Nicht voll pflichtig“ bedeutet: Die Einrichtung kann erfasst sein, aber bestimmte Pflichten treten wegen § 28 Abs. 5, 6 oder 7 BSIG zurück. Diese beiden Aussagen gehören in unterschiedliche Abschnitte jeder internen Prüfung.

7. Sonderfall kritische Anlage und KRITIS-DachG-Übergang

Der Sonderfall der kritischen Anlage ist für A1-03 deshalb wichtig, weil Betreiber kritischer Anlagen größenunabhängig besonders wichtige Einrichtungen sind. Gleichzeitig hat sich die Normwelt durch das KRITIS-Dachgesetz [N-KRITISDachG] verändert. Wer hier den Übergang überspringt, kann zu früh mit neuen Definitionen arbeiten.

Der neue Wortlaut des § 2 Nr. 22 BSIG [N-BSIG-2-22] definiert „kritische Anlage“ als Anlage im Sinne des § 2 Nr. 3 KRITIS-DachG. Der neue Wortlaut des § 2 Nr. 24 BSIG definiert „kritische Dienstleistung“ als Dienstleistung im Sinne des § 2 Nr. 4 KRITIS-DachG. § 66 BSIG [N-BSIG-66] bestimmt, ab wann diese neue Verweisungsschiene anzuwenden ist.

1 § 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt.
2 Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.
— § 66 BSIG.

Das bedeutet: Das KRITIS-Dachgesetz ist in Kraft, aber die neue Verordnungslogik für § 2 Nr. 22 und 24 BSIG sowie § 33 Abs. 2 BSIG [N-BSIG-33] ist nach § 66 BSIG erst anzuwenden, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG gilt. Bis dahin ist für diese Begriffe die bis einschließlich 16. März 2026 geltende Fassung weiter anzuwenden.

Stand 9. Juni 2026: Öffentlich auffindbar ist ein Referentenentwurf zur KRITIS-Verordnung 2026 aus Mai 2026. Das ist nicht dasselbe wie eine geltende Rechtsverordnung. Deshalb muss jede Erstfassung an dieser Stelle einen tagesaktuellen Prüfvermerk behalten: Gilt die Rechtsverordnung bereits? Wenn nein, greift § 66 BSIG weiter.

Das KRITIS-Dachgesetz selbst ist als Artikel 1 des Gesetzes vom 11. März 2026, BGBl. 2026 I Nr. 66, einzuordnen. Die BSIG-Änderungen stehen in Artikel 4 des Umsetzungsgesetzes. Es ist deshalb unsauber, von „Artikel 4 KRITIS-DachG“ zu sprechen.

Die Registrierung kritischer Anlagen wird über § 33 Abs. 2 BSIG mit § 8 KRITIS-DachG [N-KRITISDachG-8] verknüpft, sobald diese Verweisung nach § 66 BSIG anzuwenden ist. § 8 KRITIS-DachG ist für A1-03 dennoch als Anschlussnorm wichtig, weil er die Fristformel und die Registrierungsangaben für Betreiber kritischer Anlagen enthält:

(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit nach § 33 Absatz 1 des BSI-Gesetzes folgende Angaben zu übermitteln (Registrierung):

1. den Namen des Betreibers kritischer Anlagen, einschließlich der Rechtsform und, falls einschlägig, die Handelsregisternummer,
2. die Anschrift und aktuelle Kontaktdaten des Betreibers kritischer Anlagen, einschließlich der E-Mail-Adresse und der Telefonnummer,
3. den Sektor und, falls einschlägig, die Branche, zu dem oder zu der die kritische Anlage gehört, sowie die kritische Dienstleistung, für deren Erbringung die Anlage erheblich ist,
4. soweit einschlägig, die Kategorie der kritischen Anlage und deren Werte zum Versorgungsgrad gemäß der Rechtsverordnung nach § 5 Absatz 1 Satz 1, den Standort der kritischen Anlagen und deren Versorgungsgebiet sowie deren öffentlichen IP-Adressbereiche,
5. falls einschlägig, eine Auflistung der Mitgliedstaaten der Europäischen Union, in denen oder für die der Betreiber kritischer Anlagen wesentliche Dienste im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 in der Fassung vom 14. Dezember 2022 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 in der Fassung vom 25. Juli 2023 erbringt, unter Angabe, welche wesentlichen Dienste er in welchen oder für welche Mitgliedstaaten erbringt,
6. eine Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist; in Bezug auf Maßnahmen nach dem BSI-Gesetz ist die jederzeitige Erreichbarkeit zu gewährleisten, sowie
7. die bei ihm zum Einsatz kommenden Typen von kritischen Komponenten gemäß § 2 Nummer 23 des BSI-Gesetzes.
   — § 8 Abs. 1 KRITIS-DachG.

§ 8 Abs. 2 bis 8 KRITIS-DachG bleiben für das Registrierungslebenszyklus relevant. Sie regeln insbesondere Vorlage- und Auskunftsverlangen, Ersatzregistrierung durch das Bundesamt [B-BSI] für Bevölkerungsschutz und Katastrophenhilfe, Behördeninformationen, Änderungsmitteilungen, den erstmaligen Geltungszeitpunkt weiterer KRITIS-DachG-Pflichten und die Ausgestaltung des Registrierungsverfahrens. Für A1-03 ist § 8 Abs. 1 der tragende Frist- und Angabenkatalog; die übrigen Absätze sind als Lebenszyklus- und Durchsetzungsrahmen mitzuprüfen, ohne hier in die Resilienzpflichten-Tiefe auszuweichen.

§ 8 Absatz 1 Nummer 2, 6 und 7 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 8 Absatz 1 Nummer 2 und 6 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.
— § 26 KRITIS-DachG.

Dieser zusätzliche Übergang ist wichtig, weil der §-8-Angabenkatalog nicht an jeder Nummer gleichzeitig in die neue Verordnungsschiene springt. Für die Anwendungsbereichsprüfung bleibt die Hauptkette: Betreiber kritischer Anlagen nach anwendbarer Rechtslage bestimmen, § 66 BSIG für § 2 Nr. 22 und 24 sowie § 33 Abs. 2 BSIG prüfen, anschließend § 8 und § 26 KRITIS-DachG [N-KRITISDachG-26] für Registrierung und Angabenkatalog prüfen.

Sobald eine Anlage nach der jeweils anwendbaren Rechtslage als kritische Anlage gilt, entsteht für den Betreiber eine doppelte Prüfspur: digitale Sicherheit nach BSIG und physische Resilienz nach KRITIS-DachG. Dieser Artikel behandelt nur die Anwendungsbereichsseite. Die Sondertatbestände und die KRITIS-DachG-Abgrenzung sind in Sondertatbestände + KRITIS vertieft.

8. Folgen der Einordnung — welche Pflichten

Aus der Einordnung folgen nicht sofort alle Details, aber die Richtung der Pflichten ist klar. Besonders wichtige Einrichtungen und wichtige Einrichtungen müssen insbesondere die Risikomanagement-, Melde-, Registrierungs-, Nachweis-, Unterrichtungspflichten und die Geschäftsleitungslogik des BSIG prüfen. Die Tiefe der Pflichten steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG), die Haftung und Sanktionen in Haftung und Sanktionen — Überblick.

Für die Erstprüfung sind diese Normen zu inventarisieren:

• § 30 BSIG [N-BSIG-30]: Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen.
• § 31 BSIG [N-BSIG-31]: besondere Anforderungen für Betreiber kritischer Anlagen, soweit einschlägig.
• § 32 BSIG [N-BSIG-32]: Meldepflichten.
• § 33 BSIG [N-BSIG-33]: Registrierungspflicht.
• § 34 BSIG [N-BSIG-34]: besondere Registrierungspflicht für bestimmte Einrichtungsarten nach § 60 BSIG [N-BSIG-60].
• § 35 und § 36 BSIG [N-BSIG-36]: Unterrichtung und weitere Kommunikation im Zusammenhang mit Sicherheitsvorfällen, soweit einschlägig.
• § 38 BSIG [N-BSIG-38]: Geschäftsleitungspflichten.
• § 39 BSIG [N-BSIG-39]: Nachweispflichten für Betreiber kritischer Anlagen.
• § 60 BSIG: bestimmte Einrichtungsarten, für die besondere Registrierungspflichten relevant werden.
• §§ 61 und 62 BSIG: Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen und wichtige Einrichtungen.

Für die Geschäftsleitung bedeutet das: Die Einordnung ist nicht nur ein juristisches Etikett. Sie bestimmt, ob Risikomanagement nach § 30 aufzubauen ist, welche Meldewege für § 32 zu dokumentieren sind, ob die Geschäftsleitung nach § 38 eigene Pflichten hat und ob Registrierungspflichten nach § 33 oder § 34 laufen.

Bei besonders wichtigen Einrichtungen ist zudem mit einem strengeren Aufsichtsregime zu rechnen als bei wichtigen Einrichtungen. Der genaue Zuschnitt hängt aber von der jeweiligen Norm, der zuständigen Behörde und etwaigen Bereichsausnahmen ab.

DORA [EU-DORA]-Sonderfall: Finanzunternehmen nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 sowie die in § 28 Abs. 6 Nr. 1 BSIG zusätzlich genannten KWG-/VAG-Konstellationen bleiben für die Einordnung nicht unsichtbar. Die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG treten zurück, weil die digitale operationale Resilienz in diesem Bereich über DORA reguliert wird. § 33 BSIG bleibt aber gesondert zu prüfen.

Welche Abteilung welchen Teil operativ trägt, hängt von Struktur, Branche, IT-Betriebsmodell und Aufsicht ab. Die Einordnung sollte deshalb in ein Verantwortlichkeitsmodell übersetzt werden: Geschäftsleitung, Informationssicherheit, Recht/Compliance, Datenschutz, Operations, Einkauf, Krisenmanagement und Kommunikation.

9. Wie erfolgt die Einordnung in der Praxis

Die Einordnung erfolgt zuerst als Selbsteinordnung. Es gibt für die Eingangskategorie keinen allgemeinen behördlichen Einordnungsbescheid, auf den die Geschäftsleitung warten kann. Die Einrichtung muss selbst prüfen, dokumentieren und bei positiver Einordnung die Registrierung und Folgepflichten anstoßen.

9.1 Der praktische Entscheidungsbaum

Schritt 1: Rechtsträger und Einrichtung bestimmen. Nicht der Konzern als Gefühl, sondern die einzelne natürliche oder juristische Person oder rechtlich unselbstständige Organisationseinheit ist zu prüfen. Bei Gruppen wird jede relevante Einheit einzeln betrachtet, anschließend werden Partner- und verbundene Unternehmen nach § 28 Abs. 4 BSIG [N-BSIG-28] mitgedacht.

Schritt 2: Einrichtungsart prüfen. Die Einrichtung erfasst ihre entgeltlichen Waren und Dienstleistungen und ordnet sie den Einrichtungsarten in Anlage 1 [N-BSIG-Anl1] und Anlage 2 [N-BSIG-Anl2] zu. Nicht die Sektorüberschrift entscheidet allein. Die konkrete Einrichtungsart entscheidet.

Schritt 3: Vernachlässigbare Tätigkeiten prüfen. Nebentätigkeiten können nach § 28 Abs. 3 BSIG unberücksichtigt bleiben, wenn sie im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind. Das muss dokumentiert werden.

Schritt 4: Sondertatbestände parallel prüfen. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries, DNS-Diensteanbieter und Vertrauensdiensteanbieter können unabhängig von den allgemeinen Größenschwellen erfasst sein.

Schritt 5: Telekommunikationsroute prüfen. Öffentlich zugängliche Telekommunikationsdienste und öffentliche Telekommunikationsnetze haben eigene Schwellen. Die TK-Sonderroute darf nicht mit der allgemeinen Anlage-1-Route vermischt werden.

Schritt 6: Schwellen nach § 28 Abs. 4 BSIG berechnen. Mitarbeiterzahl in JAE, Jahresumsatz, Jahresbilanzsumme, Partnerunternehmen, verbundene Unternehmen und IT-Unabhängigkeits-Rückausnahme werden geprüft. Das Ergebnis wird pro Rechtsträger dokumentiert.

Schritt 7: Kategorie festlegen. Die Einrichtung wird als besonders wichtige Einrichtung, wichtige Einrichtung oder nicht erfasst eingeordnet. Wenn mehrere Routen greifen, ist die höhere oder speziellere Einordnung sauber zu begründen.

Schritt 8: Bereichsausnahmen prüfen. Erst nach der Einordnung werden § 28 Abs. 5, 6 und 7 BSIG geprüft. Diese Normen ändern die Einordnung nicht schon aufgrund ihrer Überschrift, sondern lassen bestimmte Pflichten zurücktreten.

Schritt 9: Registrierung und Folgepflichten anstoßen. § 33 BSIG [N-BSIG-33], § 34 BSIG [N-BSIG-34] und bei kritischen Anlagen § 8 KRITIS-DachG [N-KRITISDachG] [N-KRITISDachG-8] werden geprüft. Für § 33 Abs. 1 laufen Fristen aus dem erstmaligen oder erneuten Gelten als Einrichtung oder dem Anbieten von Domain-Name-Registry-Diensten. Für kritische Anlagen ist zusätzlich § 66 BSIG [N-BSIG-66] zu prüfen; die §-8-KRITIS-DachG-Frist knüpft daran an, wann eine Anlage nach der jeweils anwendbaren Rechtslage als kritische Anlage gilt.

9.2 Registrierung nach § 33 BSIG

§ 33 BSIG ist praktisch einer der wichtigsten Anschlussfehler. Viele Prüfungen enden bei „wir sind eine wichtige Einrichtung oder eine besonders wichtige Einrichtung“ und übersehen, dass die Registrierung eigenständig zu organisieren ist.

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln:

1. Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer,
2. Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern,
3. relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche,
4. Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, und
5. die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder.
   (2) Die Registrierung von Betreibern kritischer Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.
   (3) Die Registrierung von besonders wichtigen Einrichtungen und wichtigen Einrichtungen und Domain-Name-Registry-Diensteanbietern kann das Bundesamt im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird.
   (4) Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Pflicht zur Registrierung nach Absatz 1 oder 2 nicht erfüllt, so hat diese Einrichtung dem Bundesamt auf Verlangen die aus Sicht des Bundesamtes für die Bewertung erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen und Auskunft zu erteilen, soweit nicht Geheimschutzinteressen oder überwiegende Sicherheitsinteressen entgegenstehen.
   (5) Bei Änderungen der nach Absatz 1 oder 2 zu übermittelnden Angaben sind dem Bundesamt geänderte Versorgungskennzahlen sowie Änderungen der bei Betreibern kritischer Anlagen zum Einsatz kommenden Typen von kritischen Komponenten einmal jährlich zu übermitteln und alle anderen Angaben unverzüglich, spätestens jedoch zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln.
   (6) 1 Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Registrierungsverfahrens im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest. 2 Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.
   — § 33 BSIG.

Die Worte „erstmals oder erneut“ sind wichtig. Eine Einrichtung kann aus dem Anwendungsbereich herausfallen und später erneut hineingeraten, etwa durch Wachstum, Akquisition, Tätigkeitsänderung oder neue Struktur. Die Registrierungspflicht ist deshalb ein Lifecycle-Thema. Für den Stand 9. Juni 2026 ist zusätzlich zu trennen: Bestandsfälle, die bereits mit Inkrafttreten der neuen BSIG-Fassung als besonders wichtige oder wichtige Einrichtung galten, können ihre Anfangsfrist bereits ausgelöst haben; spätere Wachstums-, Struktur- oder Tätigkeitsänderungen lösen dagegen eine neue oder erneute Fristprüfung aus. Betreiber kritischer Anlagen laufen daneben über § 33 Abs. 2 BSIG, § 66 BSIG und die jeweils anwendbare §-8-KRITIS-DachG-Schiene.

§ 33 Abs. 2 BSIG verweist für Betreiber kritischer Anlagen auf § 8 KRITIS-DachG. Wegen § 66 BSIG muss aber geprüft werden, ob diese neue Verweiskette bereits anzuwenden ist. § 33 Abs. 3 BSIG erlaubt eine Registrierung durch das Bundesamt, wenn die Pflicht nicht erfüllt wird; das geschieht nicht frei, sondern im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden. § 33 Abs. 5 BSIG verpflichtet zu Änderungsmitteilungen: geänderte Versorgungskennzahlen sowie Änderungen der bei Betreibern kritischer Anlagen zum Einsatz kommenden Typen von kritischen Komponenten einmal jährlich; alle anderen Angaben unverzüglich, spätestens zwei Wochen ab Kenntnis der Änderung. § 33 Abs. 6 BSIG verweist die Ausgestaltung des Registrierungsverfahrens in eine öffentliche Mitteilung des Bundesamtes.

9.3 Besondere Registrierung nach § 34 BSIG

§ 34 BSIG enthält eine besondere Registrierungspflicht für Einrichtungen der in § 60 Abs. 1 Satz 1 genannten Einrichtungsart. Diese Spezialpflicht sollte nicht mit der allgemeinen Registrierung nach § 33 BSIG verwechselt werden. § 60 Abs. 1 Satz 1 BSIG nennt unter anderem DNS-Diensteanbieter, Top Level Domain Name Registries, Domain-Name-Registry-Dienstleister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen oder Plattformen für Dienste sozialer Netzwerke. Außerdem sind die Hauptniederlassungs- und Vertreterlogik aus § 60 Abs. 2 und 3 BSIG mitzudenken. Für A1-03 genügt: Wenn eine Einrichtung zu diesen §-60-Einrichtungsarten gehört, ist § 34 als zusätzliche Registrierungsschiene in die Checkliste aufzunehmen. Diese Schiene hat eine eigene Drei-Monats-Frist, die daran anknüpft, dass die Einrichtung als eine der vorgenannten Einrichtungen gilt. Der Angabenkatalog ist nicht der §-33-Katalog: § 34 Abs. 1 verlangt insbesondere Name, Sektor, Branche und Einrichtungsart nach Anlage 1, die Anschrift der Hauptniederlassung in der Europäischen Union nach § 60 Abs. 2 samt sonstiger EU-Niederlassungen oder — falls keine Niederlassung in der Europäischen Union besteht — die Anschrift des nach § 60 Abs. 3 benannten Vertreters, Kontaktdaten, die Mitgliedstaaten der Diensterbringung und die öffentlichen IP-Adressbereiche. Änderungen sind unverzüglich, spätestens innerhalb von drei Monaten ab dem Tag ihres Eintritts zu übermitteln; die ENISA-Weiterleitung erfolgt mit Ausnahme der öffentlichen IP-Adressbereiche. Bei grenzüberschreitenden digitalen Diensten ist § 34 daher nicht nur ein Register-Nachsatz, sondern ein eigenes Zuständigkeits- und Lebenszyklus-Gate.

9.4 Dokumentationspaket für die Geschäftsleitung

Ein belastbares Einordnungsmemo sollte mindestens enthalten:

• geprüfte Rechtsträger und Organisationseinheiten,
• Tätigkeiten, Waren und Dienstleistungen je Einheit,
• Zuordnung zu Anlage 1 oder Anlage 2 mit konkreter Einrichtungsart,
• Negativbegründung für nicht einschlägige Einrichtungsarten,
• Mitarbeiterzahl in JAE,
• Jahresumsatz und Jahresbilanzsumme,
• Partnerunternehmen und verbundene Unternehmen,
• Prüfung der IT-Unabhängigkeits-Rückausnahme,
• Prüfung der größenunabhängigen Sondertatbestände,
• Prüfung von TK/TKG, Energie/EnWG, DORA [EU-DORA], Telematik, §-34-/§-60-Digitaldiensten und kritischen Anlagen,
• Ergebnis der Kategorie,
• Prüfung der Bereichsausnahmen,
• Registrierungspflichten und Fristen,
• offene Rechtsfragen mit Sicherheitsgrad.

Dieses Memo ist kein Formalismus. Es ist die Grundlage dafür, dass Vorstand oder Geschäftsführung die weiteren Pflichten sachgerecht priorisieren können.

10. Zeitlicher Geltungsstand

Das NIS2UmsuCG ist das Gesetz vom 2. Dezember 2025, BGBl. 2025 I Nr. 301; das BSIG gilt in dieser neuen Fassung seit dem 6. Dezember 2025. Der hier behandelte § 28 BSIG [N-BSIG-28] ist seitdem die zentrale Anwendungsbereichsnorm. Zum 17. März 2026 wurde das BSIG durch Artikel 4 des Gesetzes vom 11. März 2026, BGBl. 2026 I Nr. 66, weiter geändert.

Das KRITIS-Dachgesetz [N-KRITISDachG] ist als Artikel 1 des Gesetzes vom 11. März 2026, BGBl. 2026 I Nr. 66, seit dem 17. März 2026 in Kraft. Die Änderungen am BSIG stehen in Artikel 4 dieses Umsetzungsgesetzes. Für die Begriffe der kritischen Anlage und der kritischen Dienstleistung sowie für § 33 Abs. 2 BSIG [N-BSIG-33] ist § 66 BSIG [N-BSIG-66] maßgeblich.

Stand 9. Juni 2026: Die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG muss tagesaktuell geprüft werden. Nach öffentlich auffindbarem Stand liegt ein Referentenentwurf zur KRITIS-Verordnung 2026 vor; eine geltende Rechtsverordnung ist für diese Erstfassung nicht als in Kraft festgestellt. Deshalb wird der § 66-Übergang in dieser Fassung aktiv gehalten.

Für bestehende Compliance-Projekte bedeutet das: Die NIS-2-/BSIG-Einordnung kann nicht bis zur finalen KRITIS-Verordnung insgesamt verschoben werden. Der allgemeine § 28 BSIG gilt. Nur die in § 66 ausdrücklich genannten Begriffe und § 33 Abs. 2 folgen der Übergangslogik.

11. Schnittstellen

Die NIS-2-Gesamtübersicht steht im Pillar Selbst-Check für Geschäftsführer.

Die größenunabhängigen Sondertatbestände und die KRITIS-DachG [N-KRITISDachG]-Abgrenzung sind in Sondertatbestände + KRITIS.

Die DORA [EU-DORA]-oder-BSIG-Grundabgrenzung ist in DORA oder BSIG?.

Die Navigation durch Sonderkonstellationen, insbesondere Konzern, DORA und Insolvenz, ist im Hub Konzern, DORA & Insolvenz — Sonderfälle.

Die Konzern-Schwellenberechnung ist in Konzern: Größenklassen & IT-Tochter.

Die Pflichten, die aus der Einordnung folgen, sind in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

Haftung und Sanktionen sind in Haftung und Sanktionen — Überblick.

12. Kurzantworten auf die 24 Lese-Fragen

1. Gilt NIS-2 automatisch für unser Unternehmen? Nein. Über die Erfassung entscheidet § 28 BSIG mit zwei Kategorien — besonders wichtige Einrichtung und wichtige Einrichtung. Ohne erfüllten Tatbestand keine Erfassung; die Antwort ist aber nur über die dokumentierte Prüfkette belastbar, nicht über Branchengefühl.
2. Worin unterscheiden sich die zwei Kategorien? Besonders wichtige Einrichtungen (§ 28 Abs. 1) treffen das dichtere Aufsichts- und Durchsetzungsregime und die Anlage-1-Basis; wichtige Einrichtungen (§ 28 Abs. 2) arbeiten auf der Basis der Anlagen 1 und 2 mit niedrigeren Schwellen und weniger dichtem, aber verbindlichem Regime.
3. Reicht ein Blick auf die Sektorüberschrift? Nein. Die Anlagen arbeiten mit Sektor, Branche und Einrichtungsart — entscheidend ist die konkrete Einrichtungsart, geprüft an den tatsächlich entgeltlich angebotenen Waren und Dienstleistungen.
4. Welche Schwellen gelten für die allgemeine Route zur besonders wichtigen Einrichtung? Einrichtungsart der Anlage 1 plus mindestens 250 Mitarbeiter ODER Jahresumsatz über 50 Millionen Euro UND zudem Jahresbilanzsumme über 43 Millionen Euro. Umsatz allein reicht nicht, Bilanzsumme allein auch nicht.
5. Und für die wichtige Einrichtung? Einrichtungsart der Anlage 1 oder 2 plus mindestens 50 Mitarbeiter ODER Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro.
6. Wer ist größenunabhängig erfasst? Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter als besonders wichtige Einrichtungen; Vertrauensdiensteanbieter und bestimmte kleine TK-Anbieter als wichtige Einrichtungen.
7. Ist ein nicht qualifizierter Vertrauensdiensteanbieter immer nur wichtige Einrichtung? Nein. Er ist es größenunabhängig nach § 28 Abs. 2 Nr. 1 — kann aber über die allgemeine Anlage-1-Hochschwelle des § 28 Abs. 1 Nr. 4 in die Kategorie der besonders wichtigen Einrichtungen aufrücken.
8. Wir betreiben eine Top Level Domain nur für eigene Zwecke — sind wir Registry? Nein. § 2 Nr. 42 BSIG nimmt Register, die TLD-Namen nur für eigene Zwecke verwenden, ausdrücklich aus der Definition aus.
9. Wie wird die Mitarbeiterzahl gezählt? Nicht als Kopfzahl an einem Stichtag, sondern in Jahresarbeitseinheiten (JAE) nach Art. 5 des Anhangs der Empfehlung 2003/361/EG; Teilzeit, Saison- und unterjährige Beschäftigung zählen anteilig.
10. Welche Daten sind die Referenz? Nach der Empfehlung grundsätzlich der letzte Rechnungsabschluss; bei Neugründung nach Treu und Glauben geschätzte Jahresdaten. Ein Statuswechsel wirkt nach der Empfehlung typischerweise erst bei Über- oder Unterschreitung in zwei aufeinander folgenden Geschäftsjahren; die Übertragung dieser Periodenlogik auf die BSIG-Prüfung ist zu dokumentieren.
11. Zählt der Konzern mit? Grundsätzlich ja: Daten von Partner- und verbundenen Unternehmen im Sinne der Empfehlung 2003/361/EG sind nach § 28 Abs. 4 Satz 1 BSIG einzubeziehen — die einzelne GmbH darf nicht isoliert gelesen werden.
12. Gibt es eine Konzern-Rückausnahme? Ja. § 28 Abs. 4 Satz 2 BSIG lässt die Hinzurechnung entfallen, wenn die Einrichtung mit Blick auf ihre IT-Systeme, -Komponenten und -Prozesse unabhängig ist — eine begründungs- und dokumentationsbedürftige Prüfung, keine Organigrammfolie.
13. Gilt die EU-Staatsbeteiligungs-Klausel der KMU-Empfehlung? Nein. § 28 Abs. 4 Satz 1 BSIG wendet die Empfehlung ausdrücklich mit Ausnahme von Art. 3 Abs. 4 des Anhangs an; das darf nicht mit der Gebietskörperschafts-Ausnahme des § 28 Abs. 8 BSIG vermischt werden.
14. Was gilt für die Bundesverwaltung und Gebietskörperschaften? Einrichtungen der Bundesverwaltung sind aus der Kategorie ausgenommen, sofern sie nicht Betreiber kritischer Anlagen sind, und laufen über § 29 BSIG; rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft haben Sonderregeln in Abs. 4 und Abs. 8 — keine pauschale „nicht erfasst“-Aussage treffen.
15. Dürfen Nebentätigkeiten unberücksichtigt bleiben? Ja, nach § 28 Abs. 3 BSIG, wenn sie im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind — mit Dokumentation.
16. Wir sind DORA-Finanzunternehmen — sind wir aus dem BSIG raus? Nein. § 28 Abs. 6 BSIG lässt nur die §§ 30, 31, 32, 35, 36, 38 und 39 zurücktreten. Die Einordnung selbst, § 33 und die besondere Registrierung nach § 34 stehen nicht in der Rücktrittsliste.
17. Was regeln die Bereichsausnahmen der Absätze 5 und 7? Abs. 5 lässt für bestimmte TK-/Energie-Konstellationen die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 zurücktreten — mit eigenen Rückausnahmen; Abs. 7 nimmt nur § 32 für bestimmte Betreiber kritischer Anlagen aus. Beides ändert die Kategorie nicht.
18. Was bedeutet die kritische Anlage für die Prüfung? Eine eigene größenunabhängige Route plus doppelte Prüfspur: digitale Sicherheit nach BSIG, physische Resilienz nach KRITIS-DachG. Die Begriffe der kritischen Anlage und Dienstleistung laufen über § 2 Nr. 22 und 24 BSIG und den Übergang des § 66 BSIG.
19. Gilt die neue KRITIS-Verordnungslage schon? Stand 9. Juni 2026 liegt nur ein Referentenentwurf vor. Bis die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG gilt, bleiben die in § 66 BSIG genannten Begriffe in der bis 16. März 2026 geltenden Fassung anwendbar; § 26 KRITIS-DachG schaltet Teile des §-8-Angabenkatalogs gesondert.
20. Wer registriert sich wo und in welcher Frist? Nach § 33 BSIG spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut als erfasste Einrichtung gilt oder Domain-Name-Registry-Dienste anbietet. Betreiber kritischer Anlagen laufen über § 33 Abs. 2 in Verbindung mit § 8 KRITIS-DachG und § 66 BSIG.
21. Was verlangt die besondere Registrierung nach § 34 BSIG? Für die §-60-Einrichtungsarten einen eigenen Angabenkatalog (Nr. 1–6 bis zu den öffentlichen IP-Adressbereichen), Änderungen unverzüglich, spätestens drei Monate ab Eintritt, und die ENISA-Weiterleitung durch das Bundesamt mit Ausnahme der IP-Adressbereiche.
22. Können wir auf einen Bescheid warten? Nein. Die Einordnung ist Selbsteinordnung; einen allgemeinen Einordnungsbescheid gibt es nicht. Wer nicht registriert, riskiert die Registrierung durch das Bundesamt (§ 33 Abs. 4); der Ausnahmebescheid nach § 37 BSIG ist ein nachgelagerter Befreiungsmechanismus, kein Anwendungsbereichs-Ausgang.
23. Welche Pflichten folgen aus der Einordnung? Risikomanagement (§ 30), gegebenenfalls KRITIS-Anforderungen (§ 31), Meldepflichten (§ 32), Registrierung (§§ 33, 34), Unterrichtung (§§ 35, 36), Geschäftsleitungspflichten (§ 38), Nachweise (§ 39) und die Aufsicht der §§ 61, 62 — die Pflichten-Tiefe steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).
24. Was gehört ins Einordnungsmemo für die Geschäftsleitung? Geprüfte Einrichtungsarten samt Negativbegründung, JAE-Berechnung mit Referenzdaten, Verbund- und IT-Unabhängigkeits-Prüfung, Sondertatbestände, Bereichsausnahmen, Registrierungsfristen getrennt nach § 33, § 34 und KRITIS-Schiene sowie offene Rechtsfragen mit Sicherheitsgrad — als Grundlage sauberer Priorisierung statt späterer Compliance-Schulden.

13. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

13.1 Nationale Normen

• [N-BSIG-2-22] § 2 Nummer 22/23 BSIG — kritische Anlage / kritische Komponenten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-8] § 2 Nummer 8 BSIG — DNS-Diensteanbieter. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-9] § 2 Nummer 9 BSIG — Domain-Name-Registry-Dienstleister. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-34] § 2 Nummer 34 BSIG — qualifizierter Vertrauensdiensteanbieter. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-42] § 2 Nummer 42 BSIG — Top Level Domain Name Registry. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-44] § 2 Nummer 44 BSIG — Vertrauensdiensteanbieter. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-Anl1] Anlage 1 BSIG — Sektoren besonders wichtiger und wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html
• [N-BSIG-Anl2] Anlage 2 BSIG — Sektoren wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_2.html
• [N-KRITISDachG-8] § 8 KRITIS-DachG — Registrierung kritischer Anlagen (Frist- und Angabenkatalog). Fundstelle: https://www.gesetze-im-internet.de/kritisdachg/__8.html
• [N-KRITISDachG-26] § 26 KRITIS-DachG — Anwendungsbestimmung und Übergangsregelung zum § 8-Angabenkatalog. Fundstelle: https://www.gesetze-im-internet.de/kritisdachg/__26.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-29] § 29 BSIG — Einrichtungen der Bundesverwaltung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__29.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-31] § 31 BSIG — besondere Anforderungen für Betreiber kritischer Anlagen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__31.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-34] § 34 BSIG — besondere Registrierungspflicht digitaler Einrichtungsarten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__34.html
• [N-BSIG-35] § 35 BSIG — Unterrichtungspflichten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__35.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-BSIG-36] § 36 BSIG — Rückmeldungen des Bundesamtes. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__36.html
• [N-BSIG-37] § 37 BSIG — Ausnahmebescheid. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__37.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-39] § 39 BSIG — Nachweispflichten für Betreiber kritischer Anlagen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__39.html
• [N-BSIG-60] § 60 BSIG — zentrale EU-Zuständigkeit, Hauptniederlassung, EU-Vertreter. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__60.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-BSIG-66] § 66 BSIG — Anwendungs- und Übergangsbestimmungen (KRITIS-DachG-Suspendierung). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__66.html
• [N-KRITISDachG] KRITIS-Dachgesetz — BGBl. 2026 I Nr. 66 vom 16.3.2026. Fundstelle: https://www.recht.bund.de/bgbl/1/2026/66/VO
• [N-NIS2UmsuCG] NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz vom 2. Dezember 2025 — BGBl. 2025 I Nr. 301 (BSIG-Neufassung, in Kraft 6.12.2025). Fundstelle: https://www.recht.bund.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [N-BSIKritisV] BSI-KritisV in der für den § 66-BSIG-Übergang maßgeblichen Fassung (Anlagenkategorien und Schwellenwerte). Fundstelle: https://www.gesetze-im-internet.de/bsi-kritisv/ (ergänzende Quelle, im Body nicht eigens verankert)
• [N-TKG] Telekommunikationsgesetz, insbesondere § 3 (Begriffe) und § 165 TKG, soweit die TK-Sonderroute des § 28 BSIG auf öffentlich zugängliche Telekommunikationsdienste und öffentliche Telekommunikationsnetze Bezug nimmt. Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/ (ergänzende Quelle, im Body nicht eigens verankert)
• [N-EnWG-5c-5e] Energiewirtschaftsgesetz, §§ 5c bis 5e und Begriffe des § 3 EnWG, soweit § 28 Abs. 5 BSIG auf Energieversorgungsnetze, Energieanlagen und digitale Energiedienste verweist. Fundstelle: https://www.gesetze-im-internet.de/enwg_2005/ (ergänzende Quelle, im Body nicht eigens verankert)
• [N-KWG-1a] § 1a KWG — Geltung der DORA-Anforderungen für Institute (Bezug aus § 28 Abs. 6 Nr. 1 BSIG). Fundstelle: https://www.gesetze-im-internet.de/kredwg/__1a.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-VAG-293] § 293 Abs. 5 VAG — DORA-Erstreckung im Versicherungsaufsichtsrecht (Bezug aus § 28 Abs. 6 Nr. 1 BSIG). Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__293.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-SGBV-TI] § 306 SGB V — Gesellschaft für Telematik / Telematikinfrastruktur (Bezug aus § 28 Abs. 6 Nr. 2 BSIG). Fundstelle: https://www.gesetze-im-internet.de/sgb_5/ (ergänzende Quelle, im Body nicht eigens verankert)

13.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-KMU] Empfehlung 2003/361/EG der Kommission (KMU-Definition). Fundstelle: https://eur-lex.europa.eu/eli/reco/2003/361/oj
• [EU-CER] Richtlinie (EU) 2022/2557 (CER-Richtlinie) — Bezug im § 8-KRITIS-DachG-Angabenkatalog. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2557/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-DelVO-2450] Delegierte Verordnung (EU) 2023/2450 — Liste wesentlicher Dienste zur CER-Richtlinie (Bezug im § 8-KRITIS-DachG-Angabenkatalog). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2023/2450/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj

13.3 Rechtsprechung

Für diesen Anwendungsbereichs-Artikel werden keine Gerichtsentscheidungen als tragende Belege geführt; die Haftungs- und Sanktionsrechtsprechung steht in den verlinkten Haftungs-Artikeln.

13.4 Behörden und amtliche Praxis

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/
• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)

13.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage. (ergänzende Quelle, im Body nicht eigens verankert)

13.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

14. CyberSchutzEngel-Hinweis

CyberSchutzEngel behandelt die Einordnung nach § 28 BSIG als Anfang einer belastbaren Compliance-Architektur, nicht als isolierte Rechtsmeinung. Der Wert liegt in der sauberen Kette: Einrichtung bestimmen, Einrichtungsart prüfen, Schwellen berechnen, Sondertatbestände erkennen, Bereichsausnahmen abgrenzen, Registrierung auslösen und die Geschäftsleitung mit einem nachvollziehbaren Entscheidungsstand versorgen.