Die NIS-2-Sektoren — Anlage 1 und Anlage 2 BSIG: Sektor, Branche, Einrichtungsart

1. Worum es geht — die Zuordnungsfrage vor der Größenfrage

Die NIS-2-Prüfung beginnt nicht mit dem Zählen von Mitarbeitenden, sondern mit einem Routenscan: Greift die Anlagenroute nach § 28 Abs. 1 Satz 1 Nr. 4 oder Abs. 2 Satz 1 Nr. 3 BSIG, eine eigenständige Sonderroute des § 28, die Bundesverwaltungsroute des § 29 BSIG oder muss zusätzlich die außerhalb der BSIG-Anlagen liegende Prüfung regionaler beziehungsweise optional einbezogener lokaler öffentlicher Verwaltung eröffnet werden? Nur für die Anlagenroute lautet die erste Sachfrage: Bietet die Einrichtung anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen an, und ist sie einer der Einrichtungsarten in Anlage 1 oder Anlage 2 BSIG zuzuordnen? [N-BSIG-28] [N-BSIG-29]

Eine Einrichtung kann eine natürliche Person, eine juristische Person oder eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft sein. Eine Einrichtungsart ist die konkrete Zeile in Anlage 1 oder Anlage 2, etwa „Betreiber von Elektrizitätsverteilernetzen“, „Managed Services Provider“, „Forschungseinrichtungen“ oder die Anlage-2-Zeile für Unternehmen, die eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 28 NACE Rev. 2 ausüben. „Maschinenbau“ ist in dieser Zeile die Branche, nicht die Einrichtungsart. Ein Sektor ist die große Überschrift, etwa Energie, Gesundheit oder Digitale Infrastruktur. Eine Branche ist eine Zwischenzeile, wo die Anlage sie ausdrücklich vorsieht.

Die Sektorüberschrift öffnet die Tabelle. Sie entscheidet den Fall nicht. Entscheidend ist die konkrete Einrichtungsart samt Halbsätzen, Ausnahmen, Verweisnormen und Rückausnahmen.

Danach kommt bei einer positiven Anlagenzuordnung die Größenroute: Schwellenwerte, Mitarbeiterzahl, Umsatz, Bilanzsumme und Konzernfragen stehen in Schwellenwerte (250 MA / 50 Mio. €). Daneben bestehen eigenständige Sonder- und Anwendungsrouten, etwa Betreiber kritischer Anlagen, bestimmte Vertrauensdienste-/TLD-/DNS-Rollen, die Telekommunikationsroute und die Bundesverwaltung nach § 29 BSIG. Einige dieser Routen sind größenunabhängig. Bei der Telekommunikationsroute ist dagegen zwischen Reichweite und Kategorie zu trennen: Die Kategorie „besonders wichtig“ oder „wichtig“ folgt den Schwellen des § 28 Abs. 1 Satz 1 Nr. 3 bzw. Abs. 2 Satz 1 Nr. 2 BSIG. Die Sonderrouten stehen in Sondertatbestände + KRITIS; für Finanzunternehmen kann zusätzlich die DORA-/BSIG-Schnittstelle in DORA oder BSIG? relevant werden.

Die praktische Konsequenz lautet: Wer sofort mit „50 Mitarbeitende“ oder „kritische Infrastruktur“ beginnt, erzeugt schnell Compliance-Schulden. Das belastbare Zuordnungs-Memo beginnt mit dem dokumentierten Routenscan: Anlagenroute, eigenständige Sonderroute des § 28, Bundesverwaltungsroute des § 29 sowie — soweit einschlägig — die gesonderte Prüfung regionaler oder optional einbezogener lokaler öffentlicher Verwaltung. Erst innerhalb der Anlagenroute folgen Geschäftstätigkeiten, Verträge, Leistungskatalog, Entgeltlichkeit, Anlagenzeile und Negativbegründung.

2. Wie man die Anlagen liest — die Drei-Spalten-Logik

Die Anlagen arbeiten mit Nummer, Sektor, Branche und Einrichtungsart. Die Einrichtungsart ist die juristische Tür. Die Branche hilft beim Lesen, soweit der amtliche Wortlaut eine Branche benennt. Bei Sektoren ohne benannte Branche wird keine Branche erfunden; dort steht in diesem Artikel „keine gesondert benannte Branche im Anlagenwortlaut“.

Das zentrale Scharnier für besonders wichtige Einrichtungen über die Anlagenroute ist § 28 Abs. 1 Satz 1 Nr. 4 BSIG:

4. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in Anlage 1 bestimmten Einrichtungsarten zuzuordnen sind, und a) mindestens 250 Mitarbeiter beschäftigen oder b) einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.

Davon ausgenommen sind Einrichtungen der Bundesverwaltung, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind.

Das parallele Scharnier für wichtige Einrichtungen ist § 28 Abs. 2 Satz 1 Nr. 3 BSIG:

3. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind und a) mindestens 50 Mitarbeiter beschäftigen oder b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.

Davon ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung.

§ 28 Abs. 3 BSIG ist die Bereinigungsvorschrift für die Zuordnung, nicht für die Größenberechnung:

Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.

Entgeltlich bedeutet in dieser Prüfung: Die Einrichtung bietet anderen Personen Waren oder Dienstleistungen gegen Gegenleistung an. Interne Leistungen, konzerninterne Sonderfragen, unentgeltliche Nebenleistungen oder reine Eigennutzung sind deshalb echte Prüfpunkte. Sie sind aber keine pauschale Entwarnung. Der Befund gehört ins Zuordnungs-Memo.

Das Entgeltlichkeitsmerkmal steht in den Anlagen-Nummern des § 28 Abs. 1 Satz 1 Nr. 4 und Abs. 2 Satz 1 Nr. 3 BSIG. Die größenunabhängigen Sonderrollen und die Telekommunikationsroute in den anderen Nummern tragen dieses Merkmal nicht in gleicher Weise. Diese Trennung ist wichtig, weil eine Anlage-1-Zuordnung unterhalb der Schwelle des Abs. 1 über Abs. 2 Satz 1 Nr. 3 zur Kategorie wichtige Einrichtung führen kann. Eine reine Anlage-2-Einrichtungsart führt über die Größenroute dagegen nicht zur Kategorie besonders wichtige Einrichtung; Sondertatbestände bleiben gesondert zu prüfen.

Kausalkette der Anlagenroute: Einrichtung → entgeltliches Angebot an andere → Geschäftstätigkeiten inventarisieren → vernachlässigbare Geschäftstätigkeiten nach § 28 Abs. 3 begründen → verbleibende Tätigkeiten gegen jede passende Einrichtungsart der Anlagen prüfen → Anlage 1, Anlage 2 oder kein positives Anlagen-Ergebnis → Größenroute, Sondertatbestände, Spezialregime und Pflichtenrouting. Gegenprobe: Fehlt Entgeltlichkeit, greift ein Halbsatz-Ausschluss, wird Abs. 3 überdehnt oder ist eine Satz-2-Ausnahme einschlägig, trägt die Anlagenroute das Ergebnis nicht.

Weitere Pflicht-Kausalketten und Gegenproben:

Legaldefinitionen, die bei den Anlagen mitgelesen werden müssen

§ 2 Nr. 12 BSIG ist für Forschung besonders wichtig und wird deshalb zusätzlich als Blockzitat geführt:

„Forschungseinrichtung“ eine Einrichtung, deren primäres Ziel es ist, angewandte Forschung oder experimentelle Entwicklung im Hinblick auf die Nutzung der Ergebnisse dieser Forschung für kommerzielle Zwecke durchzuführen; Bildungseinrichtungen gelten nicht als Forschungseinrichtungen;

3. Anlage 1 vollständig — die sieben Sektoren besonders wichtiger und wichtiger Einrichtungen

Anlage 1 ist die Standardtabelle für Einrichtungsarten, die je nach Schwelle zur besonders wichtigen Einrichtung oder, unterhalb der Abs.-1-Schwelle, zur wichtigen Einrichtung führen können. Die Tabelle ist hier vollständig abgebildet; die Spalte „Einrichtungsart“ bleibt Zitat- und Wortlautraum. [N-BSIG-ANL1]

Anlage 1 · Sektor 1 Energie

Anlage 1 · Sektor 2 Transport und Verkehr

Anlage 1 · Sektor 3 Finanzwesen

Bei Finanzwesen endet A1-02 bei der Einrichtungsart. Ob Pflichten nach BSIG zurücktreten, anders greifen oder durch DORA-Schnittstellen überlagert werden, steht in DORA oder BSIG? und im Pflichtenpfeiler NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

Anlage 1 · Sektor 4 Gesundheit

Anlage 1 · Sektor 5 Wasser

Anlage 1 · Sektor 6 Digitale Infrastruktur

Für die digitale Infrastruktur ist der Alltagsbegriff gefährlich. „Cloud“, „Security“, „Managed Service“ oder „Trust“ reichen als Marketingwörter nicht. Prüfe jede Anlagenzeile gesondert gegen ihre konkrete §-2-Definition und die technische Rolle. Kundenbezug, Verträge, tatsächliche Leistungserbringung und — nur soweit die jeweilige Anwendungsroute es verlangt — Entgeltlichkeit sind rollenbezogen zu dokumentieren. Kriterien der MSP-/MSSP-Definitionen dürfen nicht als allgemeiner Negativtest auf IXP, DNS, TLD, Cloud, Rechenzentrum, CDN, Vertrauensdienste oder Telekommunikation übertragen werden.

Anlage 1 · Sektor 7 Weltraum

4. Anlage 2 vollständig — die sieben Sektoren wichtiger Einrichtungen

Anlage 2 führt Einrichtungsarten, die über die Größenroute zur Kategorie wichtige Einrichtung führen können. Anlage 2 ist keine zweite Liste besonders wichtiger Einrichtungen. Das ist insbesondere für Maschinenbau, Post/Kurier, Lebensmittel, Chemie und Forschung entscheidend. [N-BSIG-ANL2]

Anlage 2 · Sektor 1 Transport und Verkehr

Anlage 2 · Sektor 2 Abfallbewirtschaftung

Anlage 2 · Sektor 3 Produktion, Herstellung und Handel mit chemischen Stoffen

Anlage 2 · Sektor 4 Produktion, Verarbeitung und Vertrieb von Lebensmitteln

Behördenpraxis-Hinweis zur Lebensmittelzeile: Die sektorspezifischen NIS-2-FAQ des BSI behandeln genau die Frage, wie „Großhandel sowie industrielle Produktion und Verarbeitung“ in Anlage 2 Nr. 4.1.1 gelesen werden kann, und lesen „sowie“ aktuell als alternative Verknüpfung. Diese Lesart ist Behördenpraxis und gehört als solche in das Zuordnungs-Memo. Sie ersetzt den Anlagenwortlaut nicht; bei Konflikt oder Unschärfe führt die gesetzliche Zeile, und eine tragende Einzelfallentscheidung braucht eine dokumentierte Rechtsauslegung.

Anlage 2 · Sektor 5 Verarbeitendes Gewerbe/Herstellung von Waren

Der Sektor Verarbeitendes Gewerbe/Herstellung von Waren hat sechs Branchen: Medizinprodukte/In-vitro-Diagnostika sowie die fünf NACE-bezogenen Branchen C 26, C 27, C 28, C 29 und C 30. Diese Zählung ist wichtig, weil die Medizinprodukte-/IVD-Zeile eine Rückausnahme zu Anlage 1 enthält und nicht in den fünf C-26-bis-C-30-Abteilungen aufgeht.

Anlage 2 · Sektor 6 Anbieter digitaler Dienste

Anlage 2 · Sektor 7 Forschung

5. NACE Rev. 2 — was die Statistik-Systematik hier tut

Mehrere Anlagenzeilen verweisen auf die Statistische Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft. Die BSIG-Anlagen schreiben „NACE Rev. 2“. Der amtliche Titel der Stammverordnung spricht von „NACE Revision 2“. Beide Schreibweisen werden im jeweiligen Kontext belassen.

Die NACE-Verweise stehen an diesen Stellen:

Praktische Übersetzung der fünf C-26-bis-C-30-Branchen: Diese Beispiele sind Leserbrücken, keine Erfassungszusagen. Entscheidend bleibt, ob die konkrete Wirtschaftstätigkeit unter die jeweilige NACE-Abteilung fällt.

Die statistische Einstufung eines Unternehmens ist ein Indiz. Sie ersetzt die tatsächliche Tätigkeitsprüfung nicht. Für das Zuordnungs-Memo zählt die reale Wirtschaftstätigkeit, nicht der bequemste Registercode.

Entscheidungskette für NACE-Grenzfälle: Bestimme zuerst die tatsächliche Herstellungs-, Import-, Handels- oder Forschungstätigkeit. Dokumentiere danach Umsatzanteile, Tätigkeitsanteile, Produktportfolio, Verträge und organisatorische Zuordnung. Lies Registercode, Website-Label und Selbstdarstellung nur als Indizien. Prüfe anschließend die positive Einrichtungsart und die wichtigsten negativen Gegenzeilen. Bei C-26-bis-C-30-Fällen bedeutet das: nicht nur „Maschinenbau“ oder „Elektronik“ notieren, sondern festhalten, welche konkrete Wirtschaftstätigkeit die Anlage trägt und welche nahe liegende Zeile gerade nicht trägt.

NACE-Zeitschicht: Die NACE-Stammverordnung wurde durch die Delegierte Verordnung (EU) 2023/137 geändert. Diese Änderungsverordnung ersetzt Anhang I der Stammverordnung und führt die aktualisierte Systematik ein. Die Delegierte Verordnung wurde am 20. Januar 2023 im Amtsblatt veröffentlicht und tritt nach Artikel 3 am zwanzigsten Tag nach ihrer Veröffentlichung in Kraft; rechnerisch ist das der 9. Februar 2023. Artikel 2 Absatz 1 ordnet für Datenübermittlungen an Eurostat den Grundsatz für Bezugszeiträume ab dem 1. Januar 2025 an. Artikel 2 Absatz 2 enthält gestaffelte Abweichungen für einzelne Statistikbereiche, etwa spätere Bezugszeiträume bis 2031. Diese statistischen Übergangsfristen entscheiden nicht, ob der BSIG-Verweis statisch auf den früheren Anhang oder dynamisch auf NACE Rev. 2.1 verweist. Die BSIG-Anlagen nennen weiterhin amtlich „NACE Rev. 2“. A1-02 modernisiert diesen Wortlaut nicht und glättet die offene Verweisungsfrage nicht. Für Grenzfälle sind deshalb beide Klassifikationsstände und eine Korrespondenztabelle zu dokumentieren; die maßgebliche Lesart darf erst auf belastbarer Rechtsauslegung festgelegt werden. Ein automatischer Default zugunsten einer der beiden Fassungen wird nicht behauptet. [EU-NACE-1893] [EU-NACE-2023] [EU-NACE-2471]

6. Drei Zählungen, eine deutsche Prüfung — EU-Herkunft der Sektoren

Für die deutsche NIS-2-Prüfung laufen drei Zählwelten nebeneinander:

Die NIS-2-Richtlinie verwendet in Anhang I die Überschrift „Sektoren mit hoher Kritikalität“ und in Anhang II „Sonstige kritische Sektoren“. Diese EU-Struktur darf nicht ungeprüft in das BSIG kopiert werden. [EU-NIS2]

Zwei EU-Anhang-I-Sektoren sind in den BSIG-Anlagen nicht als eigene deutsche Sektorüberschrift sichtbar:

1. Verwaltung von IKT-Diensten (Business-to-Business) erscheint in der deutschen Anlagenlogik als Einrichtungsarten „Managed Services Provider“ und „Managed Security Services Provider“ im Anlage-1-Sektor Digitale Infrastruktur. Dazu müssen § 2 Nr. 26 und § 2 Nr. 25 BSIG gelesen werden. [N-BSIG-2]
2. Öffentliche Verwaltung ist kein BSIG-Anlagensektor. Für Deutschland sind getrennt zu prüfen: Einrichtungen der Bundesverwaltung nach § 29 BSIG, regionale öffentliche Verwaltung nach der unionsrechtlich vorgesehenen risikobasierten Bestimmung und dem jeweils einschlägigen Landesrecht sowie eine nur optional einbezogene lokale Ebene. Rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft können im Wortlaut von § 28 Abs. 1 Satz 1 Nr. 4 und Abs. 2 Satz 1 Nr. 3 vorkommen. § 28 Abs. 8 ist dabei keine bloße Pflichtenmodifikation: Nur wenn seine beiden Voraussetzungen kumulativ erfüllt sind, ordnet er die Nichtanwendung des BSIG an. Tatbestand und Vollrechtsfolge müssen deshalb vor einer Weiterleitung in Schwellenwerte (250 MA / 50 Mio. €) oder Sondertatbestände + KRITIS dokumentiert werden.

7. Wortlaut-Disziplin — amtliche Schreibweisen-Differenzen offen führen

Die Anlagen enthalten Schreibweisen, die auf den ersten Blick wie Redaktionsunterschiede wirken. A1-02 glättet sie nicht. Im Artikel gilt die Schreibweise der jeweils zitierten Normstelle.

Der gleiche Grundsatz gilt für Vertrauensdienste, aber mit enger Abgrenzung: Anlage 1 führt „Vertrauensdiensteanbieter“. Der qualifizierte Vertrauensdiensteanbieter nach § 2 Nr. 34 ist keine zusätzliche Anlage-1-Einrichtungsart, sondern eine Sonderrolle, die über § 28 Abs. 1 Satz 1 Nr. 2 zu Sondertatbestände + KRITIS geroutet wird. DNS-Diensteanbieter und Top Level Domain Name Registries stehen ebenfalls in § 28 Abs. 1 Satz 1 Nr. 2; sie bleiben zugleich dort Anlagenzeilen, wo Anlage 1 sie ausdrücklich als „DNS-Dienstanbieter“ und „Top Level Domain Name Registry“ führt.

8. Wer fällt nicht darunter — Negativprüfung mit Beispiel-Disziplin

Ein negatives Ergebnis in A1-02 ist kein Bauchgefühl. Es braucht eine Kette:

1. Keine entgeltliche Waren- oder Dienstleistungserbringung an andere im Sinne der Anlagenroute oder keine passende Einrichtungsart der Anlagen 1 und 2.
2. Vernachlässigbare Tätigkeiten werden nach § 28 Abs. 3 im Verhältnis zur gesamten Geschäftstätigkeit dokumentiert.
3. Die Restprüfung für Sondertatbestände, Telekommunikationsroute, Betreiber kritischer Anlagen und Spezialregime bleibt offen, bis Sondertatbestände + KRITIS und DORA oder BSIG? geprüft sind.
4. Erst danach kann das Zuordnungs-Memo sagen: Über die Anlagenroute wurde kein positives Zuordnungsergebnis festgestellt.

Der Bäckerei-Test zeigt die Disziplin: Eine lokale Bäckerei wirkt alltagssprachlich wie Lebensmittel. Anlage 2 verlangt aber ein Lebensmittelunternehmen, das im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig ist. Ob diese Voraussetzungen fehlen oder vorliegen, entscheidet nicht das Etikett „Bäckerei“, sondern die dokumentierte Tätigkeit.

Beispiel-Regel: Jede Beispielaussage ist ein Einordnungsbeispiel. Sie ist kein Bescheid, keine Freistellung und keine endgültige Statusaussage.

9. Branchen-Beispiele je Sektor

Die folgende Tabelle übersetzt Sektoren in typische Unternehmenstypen. Sie ersetzt nicht die Klartext-Spalte der Anlagen-Tabellen in Sektion 3 und 4. Dort wird die einzelne Einrichtungsart erklärt; hier wird eine Leserbrücke für Unternehmenstypen gebaut.

10. Folgen der Zuordnung und Prüfreihenfolge

Nach einem positiven Anlagen-Ergebnis ist die Einrichtung noch nicht am Ende der Prüfung. Die nächste Stufe ist die Kategorieprüfung über Schwellenwerte (250 MA / 50 Mio. €). Danach folgen Sondertatbestände und KRITIS-DachG-Abgrenzung in Sondertatbestände + KRITIS, die DORA-/BSIG-Abgrenzung in DORA oder BSIG?, die Pflichten in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) und die Folgen in Haftung und Sanktionen — Überblick.

Die positive Zuordnung ersetzt nicht die Prüfung spezieller Nichtanwendungs-, Vorrang- oder Schnittstellenregeln. § 28 Abs. 5 bis 7 BSIG kann für Telekommunikations-/Energie-, Finanz-/DORA-, Telematik- und KRITIS-Konstellationen die Anwendbarkeit einzelner Pflichten verändern. § 28 Abs. 8 ist davon zu trennen: Sind seine zwei Voraussetzungen kumulativ erfüllt, ordnet er die Nichtanwendung des BSIG an. Diese Vollrechtsfolge muss vor dem Pflichtenrouting feststehen; die weitere Pflichtentiefe steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).

Prüfreihenfolge für das Zuordnungs-Memo:

1. Routenscan dokumentieren: Anlagenroute, eigenständige Sonderroute des § 28, Bundesverwaltungsroute des § 29 sowie — soweit einschlägig — die gesonderte Prüfung regionaler oder optional einbezogener lokaler öffentlicher Verwaltung.
2. Für die Anlagenroute Geschäftstätigkeiten und Leistungskatalog erfassen.
3. Entgeltlichkeit gegenüber anderen prüfen, soweit die Anlagenroute betroffen ist.
4. Jede relevante Einrichtungsart in Anlage 1 und Anlage 2 gegen den Wortlaut prüfen.
5. Vernachlässigbare Geschäftstätigkeiten nach § 28 Abs. 3 begründen oder verwerfen.
6. Ergebnis je Anlagenzeile dokumentieren: positiv, negativ oder offen.
7. Eine positive Anlage-1- oder Anlage-2-Zuordnung in die Größenroute nach Schwellenwerte (250 MA / 50 Mio. €) überführen.
8. Sondertatbestände, TK-Route und kritische Anlagen nach Sondertatbestände + KRITIS prüfen.
9. Spezialregime, insbesondere DORA, nach DORA oder BSIG? routen.
10. Pflichten und Folgen erst nach dieser Statusprüfung aus NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) und Haftung und Sanktionen — Überblick ableiten.

Vorstandsfazit: Für Geschäftsleitung und Aufsicht genügt keine Tabellenkopie. Das Fazit sollte fünf Punkte enthalten: geprüfte Geschäftstätigkeiten, positive Einrichtungsarten, negative Einrichtungsarten, offene Beweisfragen und nächste Entscheidung.

Compliance-Traceability-Matrix: Jede tragende Aussage bekommt vier Felder: Behauptung, Normstelle, Artikelstelle und Nachweisstatus. So wird aus der Zuordnungsprüfung ein auditierbares Arbeitsprodukt statt einer Meinungsnotiz.

Behördenpraxis im Memo: Die BSI-Betroffenheitsprüfung und die sektorspezifischen NIS-2-FAQ sind als Plausibilitäts- und Arbeitsquellen nützlich. Sie werden im Memo aber nicht als Normtext behandelt. Bei Widerspruch oder Unschärfe führt die konkrete Anlagenzeile des BSIG; BSI-Praxis kann den Prüfweg stützen, aber nicht den gesetzlichen Tatbestand ersetzen. [B-BSI]

11. Zeitlicher Geltungsstand

Dieser Artikel arbeitet mit dem amtlichen BSIG-Stand zum 10. Juni 2026. Das maßgebliche Vollzitat lautet: BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2), geändert durch Artikel 4 des Gesetzes vom 11. März 2026 (BGBl. 2026 I Nr. 66). Die Anlagen 1 und 2 stammen in ihrer NIS-2-Struktur aus dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, BGBl. 2025 I Nr. 301, mit Inkrafttreten am 6. Dezember 2025; der spätere KRITIS-DachG-Bezug betrifft hier nur den Geltungsstand und das Schnittstellenrouting. [N-KRITISDachG-4]

Die NACE-Zeitschicht steht in Sektion 5. KRITIS-DachG-Übergänge und Sondertatbestände stehen in Sondertatbestände + KRITIS. DORA gilt nach Art. 64 der Verordnung (EU) 2022/2554 seit dem 17. Januar 2025; A1-02 nutzt DORA ausschließlich als Routing-Schnittstelle zu DORA oder BSIG?. [EU-DORA]

12. Schnittstellen

• Selbst-Check für Geschäftsführer: Die übergreifende Betroffenheitsprüfung und der Selbst-Check stehen in Selbst-Check für Geschäftsführer.
• Schwellenwerte (250 MA / 50 Mio. €): Schwellenwerte, Größen- und Konzernberechnung stehen in Schwellenwerte (250 MA / 50 Mio. €).
• Sondertatbestände + KRITIS: Größenunabhängige Sondertatbestände und die KRITIS-DachG-Abgrenzung stehen in Sondertatbestände + KRITIS.
• DORA oder BSIG?: Die DORA-oder-BSIG-Abgrenzung für Finanzunternehmen steht in DORA oder BSIG?.
• NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG): Die Pflichten nach der Einordnung stehen in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).
• Haftung und Sanktionen — Überblick: Haftung und Sanktionen stehen in Haftung und Sanktionen — Überblick.

13. Kurzantworten auf die 23 Lese-Fragen

1. Womit beginnt die NIS-2-Prüfung? Nicht mit dem Zählen von Mitarbeitenden, sondern mit einem Routenscan: Anlagenroute nach § 28 Abs. 1 Satz 1 Nr. 4 oder Abs. 2 Satz 1 Nr. 3 BSIG, eigenständige Sonderroute des § 28, Bundesverwaltungsroute des § 29 und — soweit einschlägig — die gesonderte Prüfung regionaler oder optional einbezogener lokaler öffentlicher Verwaltung.
2. Was ist eine Einrichtung? Eine natürliche Person, eine juristische Person oder eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft.
3. Was unterscheidet Einrichtungsart, Sektor und Branche? Die Einrichtungsart ist die konkrete Zeile in Anlage 1 oder 2 — die juristische Tür. Der Sektor ist die Überschrift, die Branche eine Zwischenzeile, soweit der Anlagenwortlaut sie ausdrücklich benennt.
4. Entscheidet die Sektorüberschrift den Fall? Nein. Sie öffnet nur die Tabelle. Entscheidend ist die konkrete Einrichtungsart samt Halbsätzen, Ausnahmen, Verweisnormen und Rückausnahmen.
5. Wie lautet die Anlagenroute für besonders wichtige Einrichtungen? § 28 Abs. 1 Satz 1 Nr. 4 BSIG: entgeltliches Angebot an andere, Zuordnung zu einer Anlage-1-Einrichtungsart und mindestens 250 Mitarbeiter oder über 50 Millionen Euro Jahresumsatz und zudem über 43 Millionen Euro Jahresbilanzsumme. Einrichtungen der Bundesverwaltung sind ausgenommen, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind.
6. Und für wichtige Einrichtungen? § 28 Abs. 2 Satz 1 Nr. 3 BSIG: entgeltliches Angebot an andere, Zuordnung zu einer Einrichtungsart der Anlagen 1 und 2 und mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro. Davon ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung.
7. Was bedeutet „entgeltlich“? Die Einrichtung bietet anderen Personen Waren oder Dienstleistungen gegen Gegenleistung an. Interne Leistungen, konzerninterne Sonderfragen, unentgeltliche Nebenleistungen oder reine Eigennutzung sind echte Prüfpunkte, aber keine pauschale Entwarnung.
8. Was regelt § 28 Abs. 3 BSIG? Die Bereinigung der Zuordnung, nicht die Größenberechnung: vernachlässigbare Geschäftstätigkeiten können bei der Zuordnung unberücksichtigt bleiben. Das ist eine begründungspflichtige Option, kein Automatismus.
9. Führt eine reine Anlage-2-Einrichtungsart zur besonders wichtigen Einrichtung? Über die Größenroute nicht. Anlage 2 ist keine zweite Liste besonders wichtiger Einrichtungen; eine Anlage-1-Zuordnung kann je nach Schwelle besonders wichtig oder wichtig sein. Sondertatbestände bleiben gesondert zu prüfen.
10. Wie viele Anlagenzeilen gibt es? 53 Einrichtungsarten in Anlage 1 und 14 in Anlage 2.
11. Was tut die NACE-Systematik hier? Mehrere Anlagenzeilen verweisen auf die Statistische Systematik der Wirtschaftszweige (etwa C 21, Kategorie 20, C 26 bis C 30). Der Registercode ist nur ein Indiz; maßgeblich ist die tatsächliche Wirtschaftstätigkeit.
12. Verweist das BSIG statisch oder dynamisch auf NACE? Diese Frage ist offen. A1-02 legt keine Lesart fest und behauptet keinen automatischen Default; für Grenzfälle sind beide Klassifikationsstände und eine Korrespondenztabelle zu dokumentieren.
13. Was gilt für digitale Rollen? Jede Anlagenzeile wird gegen ihre konkrete §-2-Definition und die technische Rolle geprüft. Die Kriterien der MSP-/MSSP-Definitionen dürfen nicht als allgemeiner Negativtest auf IXP, DNS, TLD, Cloud, Rechenzentrum, CDN, Vertrauensdienste oder Telekommunikation übertragen werden.
14. Warum sind amtliche Schreibweisen unterschiedlich? Anlage und Legaldefinition weichen ab, etwa „DNS-Dienstanbieter“ (Anlage 1) gegenüber „DNS-Diensteanbieter“ (§ 2/§ 28) oder Plural- gegen Singularformen bei MSP/MSSP. A1-02 glättet das nicht, sondern führt die jeweils zitierte Schreibweise.
15. Was gilt für die Weltraum-Bodeninfrastruktur? Ausgenommen sind Anbieter öffentlicher elektronischer Kommunikationsnetze. Diese Ausnahme ist anbieterbezogen; eine zusätzliche Einschränkung „soweit genau diese Rolle betroffen ist“ enthält der Anlagenwortlaut nicht.
16. Wie ist die Lebensmittelzeile zu lesen? Der Wortlaut verlangt ein Lebensmittelunternehmen, das „im Großhandel sowie in der industriellen Produktion und Verarbeitung“ tätig ist. Die BSI-FAQ liest „sowie“ aktuell als alternative Verknüpfung; das ist Behördenpraxis und im Memo als solche zu kennzeichnen, nicht als bindende Normsemantik.
17. Was bedeutet der TEN-T-Verweis in Anlage 1 Nr. 2.1.2? Das BSIG nennt weiterhin die Verordnung (EU) Nr. 1315/2013; diese ist aufgehoben, Nachfolgerechtsakt ist die Verordnung (EU) 2024/1679. Der BSIG-Wortlaut wird nicht still ersetzt; die Verweiswirkung ist gesondert zu prüfen.
18. Wie viele Sektoren zählen BSIG, NIS-2 und KRITIS-DachG? Das BSIG führt 14 Sektorpositionen aus beiden Anlagen, die NIS-2-Richtlinie 18 Sektoren über Anhang I und II, das KRITIS-DachG zehn Sektoren. Diese drei Zählwelten laufen nebeneinander und werden nicht vermischt.
19. Wo läuft die öffentliche Verwaltung? Sie ist kein BSIG-Anlagensektor. Einrichtungen der Bundesverwaltung laufen über § 29 BSIG; regionale und optional einbezogene lokale Ebenen sind nach Landesrecht und risikobasierter Bestimmung gesondert zu prüfen.
20. Was bewirkt § 28 Abs. 8 BSIG? Sind seine zwei Voraussetzungen kumulativ erfüllt, ordnet er die Nichtanwendung des BSIG an. Diese Vollrechtsfolge ist von der bloßen Pflichtenmodifikation nach § 28 Abs. 5 bis 7 zu trennen.
21. Wann ist ein Negativergebnis belastbar? Erst nach einer dokumentierten Kette: keine Entgeltlichkeit oder keine passende Einrichtungsart nach Abs.-3-Bereinigung, plus offene Restprüfung von Sondertatbeständen, Telekommunikationsroute und Spezialregimen. „Über A1-02 nicht zugeordnet“ ist ein Befund, keine pauschale Freistellung.
22. Was folgt nach einer positiven Zuordnung? A1-02 endet bei der Einrichtungsart. Danach folgen Kategorieprüfung (Schwellenwerte (250 MA / 50 Mio. €)), Sondertatbestände und KRITIS-DachG-Abgrenzung (Sondertatbestände + KRITIS), die DORA-/BSIG-Abgrenzung (DORA oder BSIG?), die Pflichten (NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG)) und die Folgen (Haftung und Sanktionen — Überblick).
23. Was gehört in das Zuordnungs-Memo? Der dokumentierte Routenscan, Geschäftstätigkeiten, Entgeltlichkeit und Anlagenzeilen, das Ergebnis je Zeile, ein Vorstandsfazit aus fünf Punkten und eine Traceability-Matrix. Behördenpraxis ist Prüfhilfe, nicht Normtext.

14. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt; die übrigen Fundstellen sind im Anlagenwortlaut der Anlagen 1 und 2 sowie in den Legaldefinitionen referenziert und hier vollständig geführt.

14.1 Nationale Normen

• [N-BSIG-2] § 2 BSIG — Begriffsbestimmungen, insbesondere die Legaldefinitionen der digitalen und weltraumbezogenen Einrichtungsarten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Anlagenroute (Abs. 1 Satz 1 Nr. 4 / Abs. 2 Satz 1 Nr. 3), TK-Kategorie (Abs. 1 Satz 1 Nr. 3 / Abs. 2 Satz 1 Nr. 2), Bereinigung (Abs. 3) und Voll-Nichtanwendung (Abs. 8). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-29] § 29 BSIG — Einrichtungen der Bundesverwaltung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__29.html
• [N-BSIG-ANL1] Anlage 1 BSIG — Sektoren besonders wichtiger und wichtiger Einrichtungen (53 Einrichtungsarten). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html
• [N-BSIG-ANL2] Anlage 2 BSIG — Sektoren wichtiger Einrichtungen (14 Einrichtungsarten). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_2.html
• [N-BSIG-GES] BSIG, amtliche Gesamtfassung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/BSIG.pdf
• [N-KRITISDachG-4] § 4 Absatz 1 KRITIS-DachG — Abgrenzungsquelle für kritische Anlagen. Fundstelle: https://www.gesetze-im-internet.de/kritisdachg/__4.html

14.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), konsolidierte deutsche Fassung; insbesondere Artikel 2 sowie Anhänge I und II. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02022L2555-20221227
• [EU-NACE-1893] Verordnung (EG) Nr. 1893/2006 — NACE Revision 2. Fundstelle: https://eur-lex.europa.eu/eli/reg/2006/1893/oj/deu
• [EU-NACE-2023] Delegierte Verordnung (EU) 2023/137 — NACE Rev. 2.1, konsolidiert zum 31. März 2025. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02023R0137-20250331
• [EU-NACE-2471] Delegierte Verordnung (EU) 2025/471 — Änderung der NACE-Übergangsregelung. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025R0471
• [EU-VO-300-2008] Verordnung (EG) Nr. 300/2008 — Luftfahrtunternehmen und Luftsicherheit. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32008R0300
• [EU-VO-2019-943] Verordnung (EU) 2019/943, insbesondere Art. 2 Nr. 8 zu nominierten Strommarktbetreibern. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32019R0943
• [EU-RL-2009-119] Richtlinie 2009/119/EG, insbesondere Art. 2 Buchstabe f zu zentralen Bevorratungsstellen. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32009L0119
• [EU-RL-2009-12] Richtlinie 2009/12/EG — Flughafenleitungsorgane und Flughäfen. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32009L0012
• [EU-DVO-2017-373] Durchführungsverordnung (EU) 2017/373 — ATM-/ANS-Rollen. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32017R0373
• [EU-TENT] Verordnung (EU) Nr. 1315/2013, im BSIG weiterhin genannt, sowie Verordnung (EU) 2024/1679 als TEN-T-Nachfolgerechtsakt (1315/2013 aufgehoben). Fundstellen: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32013R1315 · https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1679
• [EU-VO-725-2004] Verordnung (EG) Nr. 725/2004 — Schifffahrts- und Hafenrollen. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32004R0725
• [EU-RL-2005-65] Richtlinie 2005/65/EG — Leitungsorgane von Häfen. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32005L0065
• [EU-RL-2011-24] Richtlinie 2011/24/EU — Erbringer von Gesundheitsdienstleistungen. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32011L0024
• [EU-VO-2022-2371] Verordnung (EU) 2022/2371 — EU-Referenzlaboratorien. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2371
• [EU-VO-2022-123] Verordnung (EU) 2022/123 — kritische Medizinprodukte in Notlagen. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R0123
• [EU-eIDAS] eIDAS, Verordnung (EU) Nr. 910/2014, konsolidierte Fassung; insbesondere Art. 3 Nr. 19 und 20. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02014R0910-20241018
• [EU-VO-2019-1150] Verordnung (EU) 2019/1150 (P2B), insbesondere Art. 2 Nr. 5. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32019R1150
• [EU-REACH] REACH, Verordnung (EG) Nr. 1907/2006, insbesondere Art. 3 Nr. 1, 2, 9 und 11 sowie Art. 6. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32006R1907
• [EU-VO-178-2002] Verordnung (EG) Nr. 178/2002, insbesondere Art. 3 Nr. 2 zur Lebensmittelunternehmensrolle. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32002R0178
• [EU-MDR-2017-745] Verordnung (EU) 2017/745 (MDR) — Medizinprodukt nach Art. 2 Nr. 1. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32017R0745
• [EU-IVDR-2017-746] Verordnung (EU) 2017/746 (IVDR) — In-vitro-Diagnostikum nach Art. 2 Nr. 2. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32017R0746
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA), insbesondere Art. 64 und die Routing-Schnittstelle. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554

14.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung.

14.4 Behörden und amtliche Praxis

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — NIS-2-Betroffenheitsprüfung und sektorspezifische NIS-2-Fragen und Antworten; Behördenpraxis, nicht Normtext. Fundstellen: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html , https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ-sektorspezifisch/NIS-2-Sektorspezifische-FAQ.html

14.5 Markt, Standards und sonstige Praxis

In dieser Fassung werden keine Markt-, Standard- oder sonstigen Praxisquellen als tragende Belege geführt.

14.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex). Bei Konflikt zwischen Behördenpraxis und Anlagenwortlaut führt der Anlagenwortlaut. Die NACE-Verweisungsfrage (statisch auf den früheren Anhang oder dynamisch auf NACE Rev. 2.1) bleibt offen und wird nicht durch einen automatischen Default entschieden. Für historische Abrufnachweise sind Snapshots, Hashes oder Retrieval-Logs separat in der Akte zu führen; der hier angegebene Stand ist ein dokumentierter Redaktionsstand zum 10. Juni 2026.

15. CyberSchutzEngel-Hinweis

CyberSchutzEngel kann das Zuordnungs-Memo entlang dieser Anlagenlogik strukturieren: Geschäftstätigkeit, Anlagenzeile, Negativbegründung, Größenroute und offene Spezialregime. Der Arbeitsstand sollte dabei so geschrieben sein, dass Geschäftsleitung, Rechtsabteilung und Compliance dieselbe Entscheidungsspur sehen.