NIS-2: Bin ich betroffen? — Der Selbst-Check für die Geschäftsleitung

1. Was bedeutet „betroffen sein“ unter NIS-2/BSIG?

„Betroffen sein“ bedeutet in diesem Artikel nicht: „Mein Betrieb kann Opfer eines Cyberangriffs werden.“ Das kann jede Einrichtung. Gemeint ist ein rechtlicher Status nach dem BSI-Gesetz (BSIG): Entweder ist die eigene Einrichtung eine besonders wichtige Einrichtung oder eine wichtige Einrichtung nach § 28 BSIG [N-BSIG-28]. Für den Standardpfad besonders wichtiger und wichtiger Einrichtungen löst diese Einordnung die in diesem Artikel behandelten Kernpflichten aus, etwa Registrierung, Risikomanagement, Meldepflichten und Leitungspflichten. Daneben kennt das BSIG eigenständige oder anders gelagerte Pflichtenpfade, insbesondere für Domain-Name-Registry-Diensteanbieter nach § 33 Abs. 1 BSIG [N-BSIG-33], besondere digitale Registrierungen nach § 34 BSIG [N-BSIG-34] sowie das Bundesverwaltungsregime nach § 29 BSIG [N-BSIG-29].

Für die Geschäftsleitung ist die Einordnung kein technisches Randthema. Sie entscheidet darüber, ob Compliance-Schulden entstehen, ob das BSI Adressat der Einrichtung wird und — soweit keine Bereichs-Ausnahme oder kein Spezialregime die betreffende Pflicht suspendiert — ob Schulungen der Geschäftsleitung nach § 38 Abs. 3 BSIG [N-BSIG-38] einzuplanen sind und ob bei einem Sicherheitsvorfall die Meldekaskade nach § 32 BSIG [N-BSIG-32] läuft. Der Selbst-Check besteht nach einer Vorfrage aus drei Stufen. Vorfrage: Welche Einrichtung als Rechtsträger oder rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft wird geprüft? Betriebsstätten und Niederlassungen werden als Tätigkeits-, Zuständigkeits- und EU-Standortfakten mitgeführt; sie ersetzen aber nicht die Statusprüfung der Einrichtung. Bei digitalen Einrichtungsarten ist zusätzlich zu prüfen, welcher Mitgliedstaat beziehungsweise welche Behörde nach § 60 BSIG [N-BSIG-60] zuständig ist. Danach folgen Sektor, Größe oder Sondertatbestand, Bereichs-Ausnahme.

Die NIS-2-Richtlinie [EU-NIS2] spricht in der englischen Fassung von „essential entities“ und „important entities“, in der amtlichen deutschen Fassung von „wesentlichen Einrichtungen“ und „wichtigen Einrichtungen“. Das deutsche BSIG verwendet die Kategorien besonders wichtige Einrichtungen und wichtige Einrichtungen. Dieser Artikel verwendet ab hier die BSIG-Terminologie. Die EU-Begriffe sind wichtig für die Herkunft, aber die deutsche Einordnung erfolgt nach § 28 BSIG.

Die deutsche Umsetzung enthält eigenständige und in einzelnen Punkten strengere Formulierungen gegenüber der Richtlinie. Ein Beispiel ist § 38 BSIG: Die Geschäftsleitung hat die nach § 30 BSIG [N-BSIG-30] zu ergreifenden Risikomanagementmaßnahmen „umzusetzen und ihre Umsetzung zu überwachen“. Das ist der deutsche Gesetzeswortlaut. Eine verkürzende Umschreibung der Richtlinienvorgabe aus Art. 20 Abs. 1 NIS-2 mit „Billigung und Überwachung“ ist für diesen Artikel kein Ersatz für den BSIG-Wortlaut.

Hinweis: Der Artikel führt den Selbst-Check eigenständig durch. Die Vertiefungsartikel Sektoren (Anlage 1 + 2 BSIG), Schwellenwerte (250 MA / 50 Mio. €), Sondertatbestände + KRITIS und DORA oder BSIG? sind für Detailfragen vorgesehen, ersetzen aber nicht die Prüfung in diesem Artikel.

2. Rechtliche Grundlage und Stand

Die Grundlage ist ein Dreiklang aus EU-Richtlinie, deutschem Umsetzungsgesetz und Resilienzgesetzgebung. Die NIS-2-Richtlinie [EU-NIS2] ist die europäische Vorgabe. Das NIS2UmsuCG hat das BSIG neu gefasst und ist für die operative Einordnung maßgeblich. Das KRITIS-Dachgesetz [N-KRITISDachG] wirkt seit März 2026 in die KRITIS-Begriffe hinein, wird im BSIG aber durch § 66 BSIG [N-BSIG-66] für bestimmte neue Verweise zeitlich abgefedert.

2.1 Maßgebliche Rechtsakte

Die Richtlinie (EU) 2022/2555 wurde im Amtsblatt der Europäischen Union am 27. Dezember 2022 veröffentlicht. Sie regelt unionsrechtlich, welche Einrichtungen erfasst werden, welche Sicherheitsanforderungen bestehen und welche Aufsicht vorgesehen ist. Für deutsche Einrichtungen ist aber die Richtlinie nicht der letzte Schritt. Entscheidend ist die deutsche Umsetzung im BSIG.

Das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung wurde als BGBl. 2025 I Nr. 301 am 5. Dezember 2025 verkündet. Das BSIG in der NIS2UmsuCG-Fassung gilt seit dem 6. Dezember 2025.

Das KRITIS-Dachgesetz wurde als BGBl. 2026 I Nr. 66 am 16. März 2026 verkündet und gilt seit dem 17. März 2026. Es führt eine Resilienz-Spur für kritische Anlagen ein. Für die Selbstprüfung nach § 28 BSIG [N-BSIG-28] ist wichtig: § 66 BSIG suspendiert bestimmte neue KRITIS-DachG-Verweise bis zur Geltung der zugehörigen Rechtsverordnung.

2.2 BSI als zuständige Bundesoberbehörde

Der Ausgangspunkt ist § 1 BSIG [N-BSIG-1]. Er erklärt, wer auf Bundesebene zuständig ist:

Das Bundesamt für Sicherheit in der Informationstechnik (Bundesamt) ist eine Bundesoberbehörde im Geschäftsbereich des Bundesministeriums des Innern. Es ist die zentrale Stelle für Informationssicherheit auf nationaler Ebene. Seine Aufgaben führt das Bundesamt auf Grundlage wissenschaftlich-technischer Erkenntnisse durch.
— § 1 BSIG

Damit ist das BSI nicht eine freiwillige Branchenstelle. Es ist die zentrale staatliche Stelle für Informationssicherheit. Für besonders wichtige Einrichtungen und wichtige Einrichtungen wird diese Rolle in den Registrierungs-, Melde-, Aufsichts- und Durchsetzungsnormen konkret.

2.3 Die aktuelle Nummerierung bei „kritische Anlage“

Nach der aktuellen, seit dem KRITIS-Dachgesetz maßgeblichen Fassung definiert § 2 Nr. 22 BSIG [N-BSIG-2-22] die „kritische Anlage“ und § 2 Nr. 23 BSIG die „kritischen Komponenten“.

22. „kritische Anlage“ eine Anlage im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes;

23. „kritische Komponenten“ IKT-Produkte, die in einer Rechtsverordnung aufgrund von § 56 Absatz 7 und 8 als kritische Komponenten bestimmt werden.
— § 2 Nr. 22 und Nr. 23 BSIG, Fassung nach KRITIS-DachG

Für den Selbst-Check ist diese Nummerierung relevant, weil § 28 Abs. 1 Satz 1 Nr. 1 BSIG Betreiber kritischer Anlagen als besonders wichtige Einrichtungen einordnet. Gleichzeitig bestimmt § 66 BSIG, dass § 2 Nr. 22 und Nr. 24 sowie § 33 Abs. 2 BSIG [N-BSIG-33] erst anzuwenden sind, wenn eine Rechtsverordnung nach KRITIS-Dachgesetz gilt. Bis dahin ist § 2 Nr. 22 und Nr. 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden. Für § 33 Abs. 2 enthält § 66 BSIG dagegen nur die Nichtanwendung der neuen Fassung bis zur Geltung der einschlägigen Rechtsverordnung; die Erreichbarkeits-Verweisung in § 65 Abs. 2 Nr. 7 bleibt deshalb gesondert zu markieren.

2.4 Definitionen: Geschäftsleitung und erheblicher Sicherheitsvorfall

Die Geschäftsleitung wird im BSIG eigenständig definiert. Das ist wichtig, weil § 38 BSIG [N-BSIG-38] an die Geschäftsleitung anknüpft und nicht an beliebige Führungskräfte.

„Geschäftsleitung“ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung;
— § 2 Nr. 13 BSIG

Ein erheblicher Sicherheitsvorfall ist ebenfalls gesetzlich definiert. Der Wortlaut enthält eine Besonderheit: § 2 Nr. 11 BSIG [N-BSIG-2-11] verweist auf § 56 Abs. 5 BSIG [N-BSIG-56], obwohl die Ermächtigung zur Konkretisierung erheblicher Sicherheitsvorfälle materiell in § 56 Abs. 4 BSIG steht. Bei der Krankenhaus-Schonfrist verweist § 61 Abs. 3 Satz 5 BSIG [N-BSIG-61] auf § 56 Abs. 6 BSIG, während die Krankenhaus-Vorzeit-Rechtsverordnung materiell in § 56 Abs. 5 BSIG steht. Zusätzlich verweist § 2 Nr. 23 BSIG für kritische Komponenten auf § 56 Abs. 7 und 8 BSIG, obwohl § 56 BSIG in der aktuellen Fassung nur sieben Absätze hat und kritische Komponenten in § 56 Abs. 6 BSIG geregelt sind.

„erheblicher Sicherheitsvorfall“ ein Sicherheitsvorfall, der
a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder
b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann,
sofern durch die Rechtsverordnung nach § 56 Absatz 5 keine konkretisierende Begriffsbestimmung erfolgt;
— § 2 Nr. 11 BSIG

Die drei Verweisungsbrüche betreffen die Norm-Anatomie, nicht die Grundlogik des Selbst-Checks. Für die Selbstprüfung genügt: Der Begriff des erheblichen Sicherheitsvorfalls ist gesetzlich angelegt; Details können durch Rechtsverordnung oder EU-Durchführungsrechtsakt konkretisiert werden. Bei kritischen Komponenten und Krankenhaus-Nachweisen bleibt der amtliche Wortlaut zu zitieren und der Bruch transparent zu markieren.

3. Der dreistufige Selbst-Check

Der Selbst-Check folgt einer einfachen Reihenfolge. Vor die drei Stufen tritt eine Vorfrage: Welche Einrichtung als Rechtsträger oder rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft wird geprüft? Betriebsstätten und Niederlassungen sind als Tätigkeits-, Zuständigkeits- und EU-Standortfakten mitzuerfassen; sie ersetzen aber nicht die Statusprüfung der Einrichtung. Bei digitalen Einrichtungsarten ist zusätzlich die §-60-BSIG-Zuständigkeitslogik nach Hauptniederlassung, Durchführung der Cybersicherheitsmaßnahmen, beschäftigungsstärkster EU-Niederlassung oder EU-Vertreter zu prüfen. Erst danach wird der sachliche Anwendungsbereich geprüft. Danach wird die Kategorie bestimmt. Danach werden Bereichs-Ausnahmen und Sonderregime betrachtet.

Für Geschäftsführer bedeutet das: Die Prüfung beginnt nicht mit der Mitarbeiterzahl. Eine Bäckerei mit 25 Mitarbeitern und 8 Mio. Euro Umsatz ist nicht deshalb außerhalb des BSIG, weil sie klein ist; sie ist außerhalb, weil sie keiner Einrichtungsart in Anlage 1 oder Anlage 2 BSIG zuzuordnen ist. Umgekehrt kann ein kleiner DNS-Diensteanbieter oder qualifizierter Vertrauensdiensteanbieter unabhängig von den allgemeinen Schwellen erfasst sein.

Für Aufsichtsräte ergibt sich daraus eine klare Berichtslinie. Der Bericht der Geschäftsleitung sollte mindestens vier Kernanlagen enthalten: erstens die Sektor-Matrix mit Zuordnung oder Negativabgrenzung, zweitens die Schwellenwertberechnung nach der KMU-Empfehlung [EU-KMU], drittens die Sondertatbestände, viertens die Bereichs-Ausnahmen. Je nach Lage kommen weitere Anlagen hinzu, insbesondere §-60-/§-34-EU-Zuständigkeit bei digitalen Einrichtungsarten, Registrierungs- und Portalstatus, §-66-/RVO-Monitoring bei KRITIS-Nähe, DORA [EU-DORA]-/EnWG-/TK-/Telematik-Mapping und eine Aktualisierungsnotiz für neue Behörden- oder Verordnungsstände. Ohne diese Zusatzbausteine kann die Enthaftungsdokumentation in Grenzfällen lückenhaft bleiben.

Praxis-Hinweis: Die Selbstprüfung sollte als Vorstandsvorlage oder Geschäftsleitungsbeschluss dokumentiert werden. Es geht nicht darum, einen juristischen Aufsatz zu schreiben. Es geht darum, die Entscheidungsgrundlagen nachvollziehbar festzuhalten: Rechtsform, Legal Entity, Tätigkeiten, Anlage-Zuordnung, Mitarbeiterzahl, Umsatz, Bilanzsumme, Konzernbezug, Sonderpfade, Bereichs-Ausnahmen.

3.1 § 28 Abs. 3 BSIG — vernachlässigbare Geschäftstätigkeiten

§ 28 Abs. 3 BSIG [N-BSIG-28] enthält eine wichtige Entlastungsklausel für Mischunternehmen:

Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.
— § 28 Abs. 3 BSIG

Diese Klausel wirkt auf Schritt 1, also auf die Zuordnung zu Anlage 1 oder 2. Sie ist kein Freifahrtschein und keine pauschale Umsatzgrenze. Die Geschäftsleitung sollte dokumentieren, warum eine Nebentätigkeit im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar ist. Geeignete Dokumentationspunkte sind Umsatzanteil, Personalbindung, strategische Bedeutung, Zahl der Kunden, Kritikalität der betroffenen IT-Systeme, Abhängigkeit der Hauptleistung und vertragliche Sichtbarkeit gegenüber Dritten.

Beispiel: Ein Maschinenbauer betreibt nebenbei einen kleinen Cloud-Dienst für Wartungssoftware. Wenn dieser Dienst tatsächlich nur untergeordnet ist, kann § 28 Abs. 3 BSIG bei der Anlage-Zuordnung helfen. Wird daraus aber eine eigenständige, relevante Geschäftslinie mit eigenen Kunden, Betriebsprozessen und IT-Abhängigkeiten, sollte die Einrichtung die Cloud- oder MSP-/MSSP-Einordnung risikokonservativ prüfen.

4. Schritt 1 — Sektor-Zugehörigkeit (Anlage 1 oder Anlage 2 BSIG)

Der erste Schritt ist die Zuordnung zu Anlage 1 oder Anlage 2 BSIG. Deutschland arbeitet im BSIG mit 14 Sektoren, nämlich sieben Sektoren in Anlage 1 und sieben Sektoren in Anlage 2. Das darf nicht mit der NIS-2-Richtlinie [EU-NIS2] verwechselt werden, die unionsrechtlich mit Anhängen und Sektoren arbeitet und die öffentliche Verwaltung anders strukturiert. Im deutschen BSIG ist die Bundesverwaltung in § 29 BSIG [N-BSIG-29] gesondert geregelt.

4.1 Sektoren-Übersicht Anlage 1 und Anlage 2

4.2 Anlage 1: besonders relevante Sektoren für hohe Mittelständler

Anlage 1 ist für die besonders wichtige Einrichtung über die Standard-Schwelle zentral. § 28 Abs. 1 Satz 1 Nr. 4 BSIG verweist bei sonstigen Einrichtungen ausdrücklich auf Anlage 1. Das bedeutet: Ein Energieversorger, Betreiber digitaler Infrastruktur oder Pharmahersteller kann über die 250-Mitarbeiter-Schwelle oder über Umsatz plus Bilanzsumme zur besonders wichtigen Einrichtung werden.

Für den hohen Mittelstand sind besonders häufig die Sektoren Energie, Gesundheit, Digitale Infrastruktur und Wasser relevant. Ein Cloud-Anbieter mit 260 Mitarbeitern, ein Rechenzentrumsbetreiber mit 70 Mio. Euro Umsatz und 50 Mio. Euro Bilanzsumme oder ein pharmazeutischer Hersteller mit 300 Mitarbeitern kann deshalb in die Kategorie besonders wichtige Einrichtung fallen, sofern keine Bereichs-Ausnahme greift.

Wasserstofferzeugung, -speicherung und -fernleitung stehen in Anlage 1 Nr. 1.4.8 BSIG innerhalb des Untersektors Gasversorgung. Das ist nicht dasselbe wie der EnWG-Sonderpfad für Energieversorgungsnetze, Energieanlagen und digitale Energiedienste in § 28 Abs. 5 BSIG [N-BSIG-28]. Digitale Energiedienste können unter die EnWG-Ausnahme fallen, wenn sie den §§ 5c bis 5e EnWG [N-EnWG-5c-5e] unterliegen. Wasserstoff- und Speicheraktivitäten außerhalb dieses Spezialpfads bleiben deshalb zunächst normal über Anlage 1 und § 28 BSIG zu prüfen.

4.3 Anlage 2: wichtige Einrichtungen, auch bei sehr großer Größe

Anlage 2 ist kein „kleiner“ Anhang. Viele große industrielle Einrichtungen finden sich dort, etwa Chemie, Lebensmittel, Maschinenbau, Kfz-Zulieferung und sonstiger Fahrzeugbau. Der juristische Effekt ist aber anders: § 28 Abs. 2 Satz 1 Nr. 3 BSIG ordnet sonstige Einrichtungen aus Anlage 1 und Anlage 2 bei Erreichen der mittleren Schwelle als wichtige Einrichtungen ein. § 28 Abs. 1 Satz 1 Nr. 4 BSIG nennt für die besonders wichtige Einrichtung dagegen Anlage 1.

Ein reiner Anlage-2-Chemiebetrieb wird nach dem Wortlaut nicht allein wegen 300 Mitarbeitern zur besonders wichtigen Einrichtung. Er kann als wichtige Einrichtung erfasst sein. Eine Einordnung als besonders wichtige Einrichtung kommt bei Anlage-2-Tätigkeiten nur in Betracht, wenn ein anderer Pfad greift, etwa Betreiber kritischer Anlagen oder ein anderer Sondertatbestand. Das korrigiert eine verbreitete Fehlannahme in Checklisten.

4.4 Enger Begriff „Anbieter digitaler Dienste“

Der Sektor „Anbieter digitaler Dienste“ in Anlage 2 umfasst nach dem BSIG genau drei Einrichtungsarten:

6.1.1 Anbieter von Online-Marktplätzen
6.1.2 Anbieter von Online-Suchmaschinen
6.1.3 Anbieter von Plattformen für Dienste sozialer Netzwerke
— Anlage 2 Nr. 6 BSIG

Damit ist nicht jede „Plattform“ gemeint. Ein B2B-Kundenportal eines Maschinenbauers, ein Händlerportal eines Kfz-Zulieferers oder eine interne HR-Plattform ist nicht automatisch ein Online-Marktplatz, eine Online-Suchmaschine oder eine Plattform für Dienste sozialer Netzwerke. Dagegen stehen Managed Services Provider und Managed Security Services Provider in Anlage 1 Nr. 6.1.10 und 6.1.11.

Für digitale Infrastruktur mit EU-Bezug ist außerdem § 60 BSIG [N-BSIG-60] früh mitzudenken. DNS-Diensteanbieter, Top Level Domain Name Registries, Domain-Name-Registry-Dienstleister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen oder Plattformen für Dienste sozialer Netzwerke haben eine zentrale EU-Zuständigkeitslogik: Entscheidend kann sein, wo in der EU die Cybersicherheits-Risikomanagemententscheidungen überwiegend getroffen werden, wo die Cybersicherheitsmaßnahmen durchgeführt werden oder wo die beschäftigungsstärkste EU-Niederlassung liegt. Für hohe Mittelständler mit EU-Niederlassungen ist das kein Randdetail, sondern Teil der Betroffenheits- und Registrierungsakte.

Eine vertiefte Sektoren-Übersicht mit allen Einrichtungsarten und Branchen-Beispielen findet sich in Sektoren (Anlage 1 + 2 BSIG).

5. Schritt 2a — Schwellenwerte für besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG)

Die Kategorie besonders wichtige Einrichtung ist in § 28 Abs. 1 BSIG [N-BSIG-28] geregelt. Der Wortlaut ist die zentrale Norm des Selbst-Checks.

(1) Als besonders wichtige Einrichtung gelten

1. Betreiber kritischer Anlagen,
2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter,
3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
   a) mindestens 50 Mitarbeiter beschäftigen oder
   b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen,
4. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in Anlage 1 bestimmten Einrichtungsarten zuzuordnen sind, und
   a) mindestens 250 Mitarbeiter beschäftigen oder
   b) einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.
   Davon ausgenommen sind Einrichtungen der Bundesverwaltung, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind.
   — § 28 Abs. 1 BSIG

Für die Standardprüfung ist der vierte Pfad der wichtigste. Eine sonstige Einrichtung wird besonders wichtige Einrichtung, wenn sie anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbietet, einer Einrichtungsart in Anlage 1 zuzuordnen ist und die große Schwelle erreicht.

Die Schwelle lautet: mindestens 250 Mitarbeiter ODER (Jahresumsatz von mehr als 50 Millionen Euro UND Jahresbilanzsumme von mehr als 43 Millionen Euro). Die Mitarbeiter-Schwelle wirkt alternativ zur Umsatz-/Bilanz-Kombination. Die Umsatz- und Bilanzwerte müssen gemeinsam überschritten sein.

5.1 Die vier Pfade in § 28 Abs. 1 BSIG

5.2 Schwellenwert-Vergleich besonders wichtig vs. wichtig

5.3 ODER/UND-Logik ohne Verkürzung

Die Mitarbeiter-Schwelle ist ein eigener Pfad. Eine Einrichtung mit 260 Mitarbeitern und 20 Mio. Euro Umsatz kann die Mitarbeiter-Schwelle erfüllen, auch wenn Umsatz und Bilanzsumme die große Schwelle nicht gemeinsam überschreiten. Umgekehrt kann eine Einrichtung mit 180 Mitarbeitern, 70 Mio. Euro Umsatz und 50 Mio. Euro Bilanzsumme die Umsatz-/Bilanz-Kombination erfüllen, sofern sie eine Anlage-1-Einrichtungsart ist.

Die Umsatz-/Bilanz-Kombination ist kumulativ. Bei der besonders wichtigen Einrichtung reicht ein Umsatz von 60 Mio. Euro nicht aus, wenn die Bilanzsumme bei 30 Mio. Euro liegt und die Mitarbeiterzahl unter 250 bleibt. Bei der wichtigen Einrichtung reicht ein Umsatz von 15 Mio. Euro nicht aus, wenn die Bilanzsumme bei 8 Mio. Euro liegt und die Mitarbeiterzahl unter 50 bleibt.

5.4 KMU-Empfehlung 2003/361/EG und § 28 Abs. 4 BSIG

§ 28 Abs. 4 BSIG verweist für Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme auf die Empfehlung 2003/361/EG [EU-KMU] der Kommission. Eine Besonderheit steht im deutschen Wortlaut: Artikel 3 Absatz 4 des Anhangs der Empfehlung ist ausgenommen. Diese Ausnahme ist praktisch vor allem für öffentlich beteiligte Unternehmen wichtig. Art. 3 Abs. 4 der KMU-Empfehlung enthält eine öffentliche-Beteiligungsregel, nach der ein Unternehmen unter bestimmten Voraussetzungen nicht als KMU gilt, wenn öffentliche Stellen oder Körperschaften des öffentlichen Rechts mindestens 25 Prozent des Kapitals oder der Stimmrechte kontrollieren. § 28 Abs. 4 BSIG übernimmt diese Regel gerade nicht pauschal. Öffentliche Beteiligung bleibt deshalb nicht bedeutungslos, wird aber im BSIG-Kontext über die übrigen Partner-/verbundene-Unternehmen-Regeln, die IT-Unabhängigkeitsklausel, § 28 Abs. 8 BSIG und gegebenenfalls § 29 BSIG [N-BSIG-29] gesondert geprüft.

(4) Bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme nach den Absätzen 1 und 2 ist außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft die Empfehlung der Kommission (2003/361/EG) mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden.
Die Daten von Partner- oder verbundenen Unternehmen im Sinne der Empfehlung der Kommission (2003/361/EG) sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist.
— § 28 Abs. 4 BSIG

Die KMU-Empfehlung arbeitet mit Jahresarbeitseinheiten (Annual Work Units, AWU). Vollzeitbeschäftigte, die das ganze Jahr gearbeitet haben, zählen als eine Einheit. Teilzeitbeschäftigte, Saisonkräfte und Beschäftigte, die nicht das ganze Jahr gearbeitet haben, werden anteilig berücksichtigt. Auszubildende und Studierende in Berufsausbildung werden nach der Empfehlung nicht als Mitarbeiter gezählt; Mutterschutz und Elternurlaub bleiben bei der Berechnung unberücksichtigt.

Für Mitarbeiterzahl und finanzielle Schwellenwerte beziehen sich die Angaben nach Art. 4 Abs. 1 des Anhangs der Empfehlung 2003/361/EG auf den letzten Rechnungsabschluss, werden auf Jahresbasis berechnet und werden vom Stichtag des Rechnungsabschlusses an berücksichtigt. Die Höhe des herangezogenen Umsatzes wird abzüglich der Mehrwertsteuer und sonstiger indirekter Steuern oder Abgaben berechnet. Bei einem neu gegründeten Unternehmen, das noch keinen Jahresabschluss vorlegen kann, werden die entsprechenden Daten im Laufe des Geschäftsjahres nach Treu und Glauben geschätzt.

Die Partner- und verbundenen-Unternehmen-Logik ist für Konzerne entscheidend. Grundsätzlich kann die Empfehlung dazu führen, dass Daten anteilig oder vollständig hinzugerechnet werden. § 28 Abs. 4 Satz 2 BSIG enthält aber eine eigenständige deutsche IT-Unabhängigkeitsklausel. Wenn die Einrichtung unter Berücksichtigung rechtlicher, wirtschaftlicher und tatsächlicher Umstände mit Blick auf IT-Systeme, IT-Komponenten und IT-Prozesse unabhängig von Partner- oder verbundenen Unternehmen ist, werden deren Daten nicht hinzugerechnet.

Diese Unabhängigkeitsprüfung ist nicht mit bilanzieller Konsolidierung gleichzusetzen. Ein Konzernabschluss allein entscheidet die BSIG-Schwelle nicht. Die Geschäftsleitung sollte dokumentieren, welche IT-Systeme gemeinsam genutzt werden, wer sie betreibt, welche Sicherheitsprozesse verbunden sind und ob operative Abhängigkeiten bestehen. Die Detail-Logik der Schwellenwerte inklusive Sonderfälle in Konzern-Konstellationen ist in Schwellenwerte (250 MA / 50 Mio. €) ausgeführt.

6. Schritt 2b — Schwellenwerte für wichtige Einrichtungen (§ 28 Abs. 2 BSIG)

Die Kategorie wichtige Einrichtung ist in § 28 Abs. 2 BSIG [N-BSIG-28] geregelt. Sie ist kein Auffangbegriff für „nicht so relevante“ Organisationen. Für viele Industrie- und Digital-Einrichtungen ist sie die maßgebliche Kategorie.

(2) Als wichtige Einrichtungen gelten

1. Vertrauensdiensteanbieter,
2. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die
   a) weniger als 50 Mitarbeiter beschäftigen und
   b) einen Jahresumsatz oder eine Jahresbilanzsumme von jeweils 10 Millionen Euro oder weniger aufweisen,
3. sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind und
   a) mindestens 50 Mitarbeiter beschäftigen oder
   b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.
   Davon ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung.
   — § 28 Abs. 2 BSIG

Die Standard-Schwelle lautet: mindestens 50 Mitarbeiter ODER (Jahresumsatz und Jahresbilanzsumme jeweils mehr als 10 Millionen Euro). Auch hier wirkt die Mitarbeiter-Schwelle alternativ. Umsatz und Bilanzsumme müssen gemeinsam über 10 Mio. Euro liegen, wenn die Mitarbeiterzahl unter 50 bleibt.

6.1 Drei Beispiele zur Schwellenlogik

6.2 Anlage 1 plus Anlage 2 bei wichtigen Einrichtungen

§ 28 Abs. 2 Satz 1 Nr. 3 BSIG verweist auf Anlagen 1 und 2. Das ist die zentrale Regel für den Mittelstand: Maschinenbau, Kfz-Zulieferung, Chemie, Lebensmittelindustrie, elektronische Erzeugnisse, Post- und Kurierdienste, Abfallbewirtschaftung und Forschung können als wichtige Einrichtungen erfasst sein, wenn die mittlere Schwelle erreicht wird.

Ein Maschinenbauer mit 180 Mitarbeitern fällt daher nicht wegen seiner Umsätze in die Prüfung, sondern bereits wegen der Mitarbeiterzahl. Ein Kfz-Zulieferer mit 55 Mitarbeitern und 9 Mio. Euro Umsatz ist bei Anlage-2-Zuordnung ebenfalls wichtige Einrichtung, weil die Mitarbeiter-Schwelle erreicht wird. Ein Chemieunternehmen mit 300 Mitarbeitern ist nach dem Wortlaut des Standardpfads eine wichtige Einrichtung, wenn kein Sonderpfad zur besonders wichtigen Einrichtung greift.

6.3 Abgrenzung zur besonders wichtigen Einrichtung

Die wichtige Einrichtung unterscheidet sich nicht dadurch, dass ihre Cybersicherheitsrisiken belanglos wären. Der Unterschied liegt in der normativen Einordnung, der Aufsichtssystematik und den Bußgeldrahmen. Besonders wichtige Einrichtungen werden nach § 61 BSIG [N-BSIG-61] proaktiver beaufsichtigt. Wichtige Einrichtungen unterliegen nach § 62 BSIG einer reaktiveren Aufsicht, wenn Tatsachen die Annahme rechtfertigen, dass Verpflichtungen nicht oder nicht richtig umgesetzt werden.

Für die Geschäftsleitung ist die praktische Konsequenz trotzdem erheblich. § 30, § 32, § 33 und § 38 BSIG [N-BSIG-38] gelten auch für wichtige Einrichtungen, sofern keine Bereichs-Ausnahme greift. Damit entstehen Registrierungs-, Risikomanagement-, Melde- und Leitungspflichten.

7. Schritt 2c — Größenunabhängige Sondertatbestände

Nicht jede Einordnung hängt an Mitarbeiterzahl, Umsatz und Bilanzsumme. § 28 Abs. 1 und Abs. 2 BSIG enthalten mehrere Sonderpfade. Sie sind für Geschäftsleitungen besonders wichtig, weil ein kleines Team bei bestimmter Tätigkeit dennoch erfasst sein kann.

7.1 Betreiber kritischer Anlagen

§ 28 Abs. 1 Satz 1 Nr. 1 BSIG ordnet Betreiber kritischer Anlagen als besonders wichtige Einrichtungen ein. Nach aktueller Nummerierung verweist § 2 Nr. 22 BSIG [N-BSIG-2-22] auf § 2 Nr. 3 KRITIS-Dachgesetz [N-KRITISDachG]. Gleichzeitig verschiebt § 66 BSIG [N-BSIG-66] die Anwendung der neuen Verweise bis zur Geltung der Rechtsverordnung nach KRITIS-Dachgesetz.

§ 2 Nummer 22 und 24 und § 33 Absatz 2 sind erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.
— § 66 BSIG

Nach Stand 28. Mai 2026 ist für die KRITIS-DachG-Übergangslogik keine geltende Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG dokumentiert. Soweit § 56 BSIG [N-BSIG-56] eigenständige Verordnungsermächtigungen enthält, sind diese getrennt zu prüfen; sie ersetzen nicht den §-66-BSIG-Auslöser für § 2 Nr. 22 und Nr. 24 sowie § 33 Abs. 2 BSIG [N-BSIG-33]. Die BSI-KritisV ist weiterhin als geltende Verordnung auffindbar und wurde durch Art. 9 KRITIS-DachG angepasst. Ein am 26. Mai 2026 bekannt gewordener KritisV-Referentenentwurf ist als Monitoring-Ereignis zu vermerken, aber noch kein geltendes Recht. Textlich spricht deshalb viel dafür, bis zur Geltung der neuen Rechtsverordnung mit der fortgeltenden Schwellen- und Anlagenlogik zu arbeiten. Eine behördlich konsolidierte, abschließende Praxis sollte fortlaufend überprüft werden.

Für die Geschäftsleitung bedeutet das: Wer bisher KRITIS-Betreiber war oder nahe an den KRITIS-Schwellen liegt, sollte den Sonderpfad gesondert prüfen. Die Standardgröße nach 250/50 Mitarbeitern ersetzt die KRITIS-Anlagenprüfung nicht. Wird die Einrichtung Betreiber kritischer Anlagen, sind zusätzlich die KRITIS-spezifischen Folgepflichten zu mappen: § 31 BSIG [N-BSIG-31] mit besonderen Anforderungen an Risikomanagementmaßnahmen für kritische Anlagen und § 39 BSIG [N-BSIG-39] mit Nachweis-, Audit-, Prüfungs- oder Zertifizierungslogik. Wegen § 66 BSIG ist dabei gesondert zu markieren, welche Pflichten bereits aus der fortgeltenden BSI-KritisV-/Altlogik folgen und welche an die neue KRITIS-DachG-Rechtsverordnung anknüpfen. Die volle Pflichten-Tiefe gehört in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG); für diesen Artikel genügt die Warnung, dass der KRITIS-Sonderpfad nicht beim Status endet.

Zusätzlich ist § 41 BSIG [N-BSIG-41] bei Betreibern kritischer Anlagen nur als spezielle Komponenten- und Sicherheitsinteressen-Schiene mitzudenken. Das Bundesministerium des Innern kann gegenüber dem Betreiber kritischer Anlagen den Einsatz kritischer Komponenten eines Herstellers untersagen oder Anordnungen dazu erlassen, wenn der Einsatz die öffentliche Ordnung oder Sicherheit der Bundesrepublik Deutschland voraussichtlich beeinträchtigt. § 41 BSIG ist damit betroffenheitsrelevant für Energie-, Wasser-, Gesundheits- und andere KRITIS-nahe Geschäftsleitungen, aber keine allgemeine Aufsichtslandkarte für sämtliche NIS-2-Pflichten.

7.2 Qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter

§ 28 Abs. 1 Satz 1 Nr. 2 BSIG erfasst qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter als besonders wichtige Einrichtungen. Der Pfad ist größenunabhängig. Ein kleiner DNS-Diensteanbieter kann daher besonders wichtige Einrichtung sein, wenn der Tatbestand erfüllt ist.

Bei Vertrauensdiensten differenziert das BSIG: Qualifizierte Vertrauensdiensteanbieter stehen in § 28 Abs. 1 Satz 1 Nr. 2 BSIG. Vertrauensdiensteanbieter stehen in § 28 Abs. 2 Satz 1 Nr. 1 BSIG und gelten als wichtige Einrichtungen. Der Unterschied folgt aus dem Wortlaut und sollte im Selbst-Check nicht verwischt werden.

7.3 Öffentlich zugängliche Telekommunikationsdienste und öffentliche Telekommunikationsnetze

TK-Anbieter haben eigene Schwellenpfade. Nach § 28 Abs. 1 Satz 1 Nr. 3 BSIG gelten Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze als besonders wichtige Einrichtungen, wenn sie mindestens 50 Mitarbeiter beschäftigen oder Umsatz und Bilanzsumme jeweils über 10 Mio. Euro aufweisen.

Nach § 28 Abs. 2 Satz 1 Nr. 2 BSIG gelten kleinere Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze als wichtige Einrichtungen, wenn sie weniger als 50 Mitarbeiter beschäftigen und einen Jahresumsatz oder eine Jahresbilanzsumme von jeweils 10 Mio. Euro oder weniger aufweisen. Die TK-Pfade sind deshalb nicht identisch mit den allgemeinen Anlage-1/2-Pfaden.

7.4 Sonstige Vertrauensdiensteanbieter bei wichtigen Einrichtungen

§ 28 Abs. 2 Satz 1 Nr. 1 BSIG ordnet Vertrauensdiensteanbieter als wichtige Einrichtungen ein. Für diese Gruppe ist die Größe nicht das erste Auswahlkriterium. Die Einrichtung sollte prüfen, ob sie qualifiziert ist. Bei Qualifikation wechselt der Pfad zu § 28 Abs. 1 Satz 1 Nr. 2 BSIG.

7.5 Krankenhaus-Schonfrist als eigene Prüfbox

Die Krankenhaus-Schonfrist betrifft nicht die Erfassung als solche, sondern den frühesten Zeitpunkt, zu dem das BSI gegenüber zugelassenen Krankenhäusern Nachweise nach § 61 Abs. 3 BSIG [N-BSIG-61] anfordern kann.

Abweichend von Satz 1 kann das Bundesamt gegenüber zugelassenen Krankenhäusern nach § 108 des Fünften Buches Sozialgesetzbuch frühestens fünf Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen, soweit nicht durch Rechtsverordnung nach § 56 Absatz 6 ein früherer Zeitpunkt bestimmt wird.
— § 61 Abs. 3 Satz 5 BSIG

Hinweis zum Verweisungsbruch: Die amtliche Verweisung auf § 56 Abs. 6 BSIG ist transparent zu übernehmen, aber materiell auffällig. § 56 Abs. 6 BSIG regelt kritische Komponenten; die Krankenhaus-Vorzeit-Rechtsverordnung steht materiell in § 56 Abs. 5 BSIG. Sachlich gemeint ist die Rechtsverordnung, die für zugelassene Krankenhäuser einen früheren Nachweiszeitpunkt bestimmen kann. Der Artikel bleibt beim amtlichen Wortlaut und markiert den Bruch offen.

Das BSIG ist am 6. Dezember 2025 in Kraft getreten. Fünf Jahre danach ist der 6. Dezember 2030. Damit kann das BSI gegenüber zugelassenen Krankenhäusern nach § 108 SGB V Nachweise nach dieser Vorschrift frühestens ab dem 6. Dezember 2030 anfordern, soweit nicht durch Rechtsverordnung nach § 56 Abs. 6 BSIG — siehe Verweisungsbruch-Hinweis oben — ein früherer Zeitpunkt bestimmt wird.

Die Schonfrist verschiebt nicht die Einordnung und nicht die Existenz anderer Pflichten. Sie betrifft den frühesten Zeitpunkt der Nachweisanforderung nach § 61 Abs. 3 Satz 5 BSIG.

Die größenunabhängigen Sondertatbestände nach § 28 Abs. 1 Nr. 1–3 BSIG, die Krankenhaus-Schonfrist und die KRITIS-DachG-Abgrenzung sind in Sondertatbestände + KRITIS vertieft.

8. Schritt 3 — Bereichs-Ausnahmen (§ 28 Abs. 5–8 BSIG)

Nach Sektor und Schwelle ist die Prüfung nicht beendet. § 28 Abs. 5 bis 8 BSIG enthält Bereichs-Ausnahmen. Diese Normen nehmen nicht jede Einrichtung vollständig aus dem BSIG. Teilweise werden einzelne BSIG-Pflichten ausgeschlossen, weil Spezialrecht greift. Teilweise findet das BSIG nicht Anwendung.

8.1 § 28 Abs. 5 BSIG — Telekommunikation und Energie

(5) Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 gelten nicht für besonders wichtige Einrichtungen und wichtige Einrichtungen, die

1. ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen oder
2. Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen.
   Satz 1 gilt nicht für die dort aufgeführten besonders wichtigen und wichtigen Einrichtungen, soweit sie über die in Satz 1 Nummer 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nummer 22 betreiben oder aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 bestimmten Einrichtungsarten zuzuordnen sind. Satz 2 gilt für alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind. Im Fall, dass der Betrieb einer Energieanlage nach Satz 1 Nummer 2 einer in Satz 1 aufgeführten besonders wichtigen und wichtigen Einrichtung im Hinblick auf die gesamte Geschäftstätigkeit dieser Einrichtung eine Nebentätigkeit darstellt, findet dieser Absatz keine Anwendung.
   — § 28 Abs. 5 BSIG

Die Ausnahme betrifft nur die ausdrücklich genannten Vorschriften: §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG. Sie löscht die Einrichtung nicht automatisch aus dem BSIG und ersetzt nicht jede Registrierungs- oder Statusprüfung. Sie greift bei öffentlichen TK-Netzen, öffentlich zugänglichen TK-Diensten sowie bestimmten Energieversorgungsnetzen, Energieanlagen und digitalen Energiediensten, wenn diese den EnWG-Regeln der §§ 5c bis 5e EnWG [N-EnWG-5c-5e] unterliegen.

Die Rückausnahme ist wichtig. Satz 1 gilt nicht, soweit dieselbe Einrichtung über die in Satz 1 Nr. 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen betreibt oder aufgrund weiterer Tätigkeiten einer Anlage-1- oder Anlage-2-Einrichtungsart zuzuordnen ist. Bei weiteren kritischen Anlagen erfasst Satz 3 alle IT-Systeme, die für den Betrieb dieser weiteren kritischen Anlagen erforderlich sind. Die Geschäftsleitung sollte deshalb nicht nur das Hauptsystem, sondern auch gemeinsam genutzte Identitäts-, Netzwerk-, Leitstellen-, Backup-, Monitoring- und Administrationssysteme prüfen, soweit sie für den Betrieb der weiteren kritischen Anlage erforderlich sind.

Stellt der Betrieb einer Energieanlage nach Satz 1 Nr. 2 im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung eine Nebentätigkeit dar, findet § 28 Abs. 5 BSIG [N-BSIG-28] nach Satz 4 keine Anwendung. Dann wird die Einrichtung nicht über diese Energie-Spezialausnahme entlastet, sondern muss den normalen §-28-Pfad weiter prüfen.

8.2 § 28 Abs. 6 Nr. 1 BSIG — DORA-Finanzunternehmen

(6) Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für

1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,
   — § 28 Abs. 6 Nr. 1 BSIG

Die DORA [EU-DORA]-Ausnahme ist eine Spezialrechts-Ausnahme. Sie nimmt Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 sowie Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten, von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus.

Wichtig ist die Verweisung auf Artikel 2 Absatz 2 DORA, nicht auf Artikel 2 Absatz 1. Art. 2 Abs. 2 DORA fasst die in Art. 2 Abs. 1 Buchstaben a bis t genannten Unternehmen als „Finanzunternehmen“ zusammen. Art. 2 Abs. 1 Buchstabe u DORA nennt IKT-Drittdienstleister. Diese stehen nicht in Art. 2 Abs. 2 DORA und sind daher nicht über § 28 Abs. 6 Nr. 1 BSIG ausgenommen.

Ebenso wichtig: § 28 Abs. 6 Nr. 1 BSIG nimmt nicht pauschal „alle BSIG-Pflichten“ weg. Die Norm nennt die suspendierten Paragraphen abschließend. Registrierung, Statusfeststellung und Schnittstellenfragen sind deshalb separat zu prüfen, soweit die Einrichtung als besonders wichtige oder wichtige Einrichtung gilt.

Die DORA-lex-specialis-Wirkung suspendiert die genannten BSIG-Pflichten. Sie beseitigt nicht die Organpflichten aus dem Gesellschaftsrecht. § 43 GmbHG [N-GmbHG-43] und § 93 AktG [N-AktG-93] bleiben als Maßstab für Leitung, Organisation, Überwachung und Risikovorsorge relevant.

Die vollständige DORA-Abgrenzung mit Lex-specialis-Logik und Folge-Pflichten für Finanzunternehmen findet sich in DORA oder BSIG?.

8.3 § 28 Abs. 6 Nr. 2 BSIG — Telematik-Infrastruktur

2. die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.
— § 28 Abs. 6 Nr. 2 BSIG

Die Telematik-Ausnahme ist eng. Sie betrifft die Gesellschaft für Telematik und bestimmte Betreiber von Diensten der Telematikinfrastruktur. Die Norm ersetzt keine Prüfung des Gesundheitssektors insgesamt. Ein Krankenhaus, ein MedTech-Hersteller oder ein Pharmahersteller kann nicht allein wegen Gesundheitsnähe in § 28 Abs. 6 Nr. 2 BSIG eingeordnet werden.

8.4 § 28 Abs. 7 BSIG — § 32-Ausnahme für KRITIS-Anlagen-Betreiber bei Finanzunternehmen

(7) § 32 gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben.
— § 28 Abs. 7 BSIG

Diese Ausnahme betrifft die Meldepflicht nach § 32 BSIG [N-BSIG-32]. Sie ist auf Betreiber kritischer Anlagen beschränkt, soweit sie eine Anlage für Unternehmen nach § 28 Abs. 6 Nr. 1 BSIG betreiben. Die Norm verhindert Überschneidungen mit DORA-Finanzunternehmen, ersetzt aber keine Gesamtprüfung der Einrichtung.

8.5 § 28 Abs. 8 BSIG — bestimmte Gebietskörperschafts-Dienstleister

(8) Dieses Gesetz findet keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften, ausgenommen der Bund, beteiligt sind, wenn sie

1. zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und
2. durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden.
   — § 28 Abs. 8 BSIG

Diese Ausnahme ist kein pauschales Kommunalprivileg. Sie verlangt eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft oder eine juristische Person, an der ausschließlich Gebietskörperschaften außer dem Bund beteiligt sind. Zusätzlich muss der Errichtungszweck auf Leistungen für Verwaltungen im öffentlichen Auftrag gerichtet sein, und es müssen vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf § 28 Abs. 8 BSIG bestehen.

8.6 § 37 BSIG — Ausnahmebescheid nur für Sicherheits- und Behördennähe

§ 37 BSIG [N-BSIG-37] ist für die normale Mittelstandsprüfung kein Standardpfad. Die Norm erlaubt einen einfachen oder erweiterten Ausnahmebescheid nur für eng begrenzte Konstellationen, insbesondere Tätigkeiten oder Dienste in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung oder Tätigkeiten ausschließlich für Behörden in diesen Bereichen. Voraussetzung ist, dass gleichwertige Vorgaben eingehalten werden und die IT-Sicherheit anderweitig gewährleistet und beaufsichtigt wird.

Für den klassischen Industrie-, Handels-, Energie-, Gesundheits- oder Digitalmittelstand sollte § 37 BSIG nicht als Entlastungsinstrument eingeplant werden. Er gehört in die Prüfakte nur, wenn ein echter Sicherheits-, Verteidigungs-, Strafverfolgungs- oder Behördennähe-Fall vorliegt. Vertiefung kann in einem späteren Sektor- oder Behördencluster erfolgen.

9. Wer fällt NICHT unter NIS-2

Die Negativprüfung ist für Geschäftsleitungen ebenso wichtig wie die Positivprüfung. Wer außerhalb des sachlichen Anwendungsbereichs steht, sollte das begründen und dokumentieren. Eine sauber begründete Negativentscheidung reduziert das Risiko späterer Compliance-Schulden und schafft eine Verteidigungsdokumentation. Sie verhindert spätere Pflichten nur, wenn Tatsachenlage, Rechtslage und Bewertung weiterhin tragen; Wachstum, neue Tätigkeiten, M&A, neue Behörden- oder Verordnungsstände und geänderte Konzern-IT können eine erneute Prüfung auslösen.

9.1 Der Bäckerei-Test

Eine Bäckerei mit 25 Mitarbeitern, 8 Mio. Euro Umsatz, 3 Mio. Euro Bilanzsumme und überwiegend B2C-Geschäft ist im Regelfall keiner Einrichtungsart in Anlage 1 oder Anlage 2 BSIG zuzuordnen. Sie ist kein Energieversorger, kein Wasserunternehmen, kein Betreiber digitaler Infrastruktur, kein Post- oder Kurierdienst, kein industrielles Lebensmittelunternehmen im Sinne der Anlage 2 Nr. 4.1.1 und kein Anbieter digitaler Dienste.

Der Selbst-Check endet deshalb bereits in Schritt 1 mit einem negativen Ergebnis, sofern kein Sondertatbestand greift. Die Größe ist dann nicht entscheidend. Auch eine größere Bäckereikette muss zunächst sachlich einer Einrichtungsart zugeordnet werden.

Bei industrieller Lebensmittelproduktion oder Lebensmittelgroßhandel kann die Bewertung anders ausfallen. Normanker ist Anlage 2 Nr. 4.1.1 BSIG: Lebensmittelunternehmen nach Art. 3 Nr. 2 VO (EG) Nr. 178/2002, die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind. NACE-Codes können intern als Orientierung helfen, sind hier aber nicht der gesetzliche Tatbestandsanker. Wird diese Einrichtungsart erfüllt und die mittlere Schwelle erreicht, kommt eine Einordnung als wichtige Einrichtung in Betracht.

9.2 Reine interne Organisationseinheiten und Konzern-Innenleistungen

§ 28 Abs. 1 Satz 1 Nr. 4 und § 28 Abs. 2 Satz 1 Nr. 3 BSIG verlangen, dass sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten. Diese Entgeltlichkeits-Voraussetzung ist ein eigenständiges Tatbestandsmerkmal.

Ein interner Geschäftsbereich innerhalb derselben juristischen Person, der keine Waren oder Dienstleistungen gegenüber anderen natürlichen oder juristischen Personen anbietet, fällt nicht über diesen Pfad in § 28 BSIG [N-BSIG-28]. Bei rechtlich selbstständigen Konzern-IT-Gesellschaften ist die Analyse anspruchsvoller. Wenn die IT-Tochter gegenüber anderen Konzerngesellschaften auf vertraglicher Grundlage entgeltliche Leistungen erbringt, spricht der Wortlaut „anderen juristischen Personen“ für eine Erfassung, sofern Sektor und Schwelle vorliegen. Ein Drittmarkt außerhalb des Konzerns steht nicht im Gesetzeswortlaut.

Zusätzlich ist § 28 Abs. 4 Satz 2 BSIG mitzudenken. Ist die IT-Tochter mit Blick auf Beschaffenheit und Betrieb ihrer informationstechnischen Systeme, Komponenten und Prozesse nicht unabhängig von Mutter, Schwestern oder anderen verbundenen Unternehmen, können deren Daten nach der KMU-Empfehlung [EU-KMU] hinzuzurechnen sein. Nur bei nachweisbarer IT-Unabhängigkeit unterbleibt die Hinzurechnung. Zu dokumentieren sind insbesondere gemeinsam genutzte Netze, IAM, SOC/SIEM, ERP, Backup, Administrationsmodelle, Sicherheitsprozesse, Weisungsrechte und Betreiberverantwortung.

Die rein konzerninterne IT-Tochter ohne externen Drittmarkt sollte nicht vorschnell als außerhalb des BSIG behandelt werden. Entscheidend ist, ob sie eine eigene juristische Person ist, welche Leistungen sie entgeltlich anbietet, ob die Anlage-1/2-Einrichtungsart erfüllt ist, ob sie die Schwellen selbst erreicht und ob § 28 Abs. 4 Satz 2 BSIG eine Hinzurechnung fremder Daten ausschließt oder gerade nicht ausschließt. Bei bloßer Kostenstelle innerhalb derselben Legal Entity fehlt regelmäßig der externe Rechtsträgerbezug.

9.3 Bundesverwaltung: eigenes Regime nach § 29 BSIG

Einrichtungen der Bundesverwaltung sind nicht über § 28 Abs. 1 und 2 BSIG wie gewöhnliche wichtige Einrichtungen zu behandeln. § 29 BSIG [N-BSIG-29] enthält ein eigenes Regime. Nach § 2 Nr. 13 BSIG [N-BSIG-2-13] gelten Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 nicht als Geschäftsleitung im Sinne des BSIG.

(1) Einrichtungen der Bundesverwaltung im Sinne dieses Gesetzes sind, mit Ausnahme der Institutionen der Sozialen Sicherung und der Deutschen Bundesbank,

1. Bundesbehörden,
2. öffentlich-rechtlich organisierte IT-Dienstleister der Bundesverwaltung sowie
3. weitere Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts sowie ihre Vereinigungen, ungeachtet ihrer Rechtsform, auf Bundesebene, soweit durch das Bundesamt im Einvernehmen mit dem jeweils zuständigen Ressort angeordnet.
   — § 29 Abs. 1 BSIG

Die Bundesverwaltung ist deshalb nicht „außen vor“. Sie ist anders geregelt. Für private und kommunale Einrichtungen ist § 29 BSIG vor allem eine Abgrenzungsnorm.

10. Schnittstellen zu anderen Rechtsakten

NIS-2/BSIG steht nicht allein. Für Geschäftsleitungen ist die Schnittstelle zu DORA [EU-DORA], CER, KI-VO [EU-KIVO], DSGVO [EU-DSGVO], KRITIS-DachG [N-KRITISDachG] und — bei produktbezogenen Wirtschaftsakteuren wie Herstellern, Bevollmächtigten, Einführern, Händlern sowie Verwaltern quelloffener Software — zur Cyberresilienz-Verordnung [EU-CRA] (Cyber Resilience Act, CRA) entscheidend. Der CRA ist kein Einrichtungsstatus nach § 28 BSIG [N-BSIG-28], kann aber produktbezogene Cybersecurity-, Vulnerability-Handling-, Melde-, Dokumentations- und CE-/Konformitätspflichten auslösen. Unternehmen, die digitale Produkte lediglich betreiben oder beschaffen, sind für den CRA gesondert auf ihre konkrete Rolle zu prüfen; Betreiberbegriffe aus BSIG, KRITIS-Recht oder KI-VO dürfen nicht ungeprüft in den CRA übertragen werden. Eine Einrichtung kann in mehreren Regimen stehen. Die Folge ist nicht automatisch doppelte Pflichtenerfüllung, sondern eine Spezialrechtsprüfung.

10.1 DORA — Finanzsektor als Spezialregime

DORA, die Verordnung (EU) 2022/2554, regelt die digitale operationale Resilienz im Finanzsektor. § 28 Abs. 6 Nr. 1 BSIG nimmt Finanzunternehmen nach Art. 2 Abs. 2 DORA und bestimmte KWG-/VAG-Unternehmen von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus.

Die Ausnahme ist eng an den DORA-Anwendungsbereich gekoppelt. IKT-Drittdienstleister nach Art. 2 Abs. 1 Buchstabe u DORA sind nicht Finanzunternehmen nach Art. 2 Abs. 2 DORA. Ein IT-Dienstleister einer Bank kann daher nicht allein aus der DORA-Pflicht der Bank ableiten, selbst aus § 28 BSIG herauszufallen.

§ 28 Abs. 6 Nr. 1 BSIG suspendiert die dort genannten BSIG-Pflichten. Er suspendiert nicht die gesellschaftsrechtliche Sorgfaltspflicht der Geschäftsleitung nach § 43 GmbHG [N-GmbHG-43] oder § 93 AktG [N-AktG-93] und nicht die aufsichtsrechtlichen Maßstäbe nach KWG, VAG, MaRisk oder einschlägigen Aufsichtsanforderungen. DORA wirkt für den digitalen Resilienzanteil als Spezialregime; das Gesellschaftsrecht und das Finanzaufsichtsrecht bleiben parallel anwendbar.

Trotz DORA bleibt daher auch die Selbst-Check-Dokumentation relevant. Der Aufsichtsrat sollte nicht die Formel „DORA statt NIS-2“ akzeptieren, sondern eine Zuordnung verlangen: Welche BSIG-Pflichten sind nach § 28 Abs. 6 Nr. 1 ausgenommen, welche Registrierungs- oder Statusfragen bleiben, und welche DORA-/KWG-/VAG-/gesellschaftsrechtlichen Pflichten tragen dieselbe Risikofunktion?

10.2 CER-Richtlinie und KRITIS-DachG — Resilienz-Spur

Die CER-Richtlinie [EU-CER] (EU) 2022/2557 und das deutsche KRITIS-DachG betreffen die Resilienz kritischer Einrichtungen und kritischer Anlagen. Diese Spur ist breiter als reine IT-Sicherheit. Sie umfasst physische und organisatorische Resilienz, etwa Schutz vor Sabotage, Naturereignissen, Ausfall von Versorgungsinfrastruktur und anderen nicht ausschließlich digitalen Gefahren.

NIS-2/BSIG ist die Cyber-Spur. CER/KRITIS-DachG ist die Resilienz-Spur. Eine Einrichtung kann von beiden erfasst sein. Ein Energieversorger oder Wasserunternehmen sollte deshalb nicht fragen, welches Gesetz „gewinnt“, sondern welche Pflichten aus welchem Regime für welche Anlagen, Prozesse und Meldungen gelten.

10.3 KI-VO — produkt- und anwendungsbezogene Sicherheit

Die KI-Verordnung (EU) 2024/1689 regelt Künstliche Intelligenz. Sie enthält Anforderungen an Hochrisiko-KI-Systeme, darunter Genauigkeit, Robustheit und Cybersicherheit. Das ist nicht dasselbe wie das unternehmensweite Cybersicherheits-Risikomanagement nach § 30 BSIG [N-BSIG-30].

Ein Maschinenbauer, der ein Hochrisiko-KI-System entwickelt oder einsetzt, kann daher KI-VO-Pflichten haben und zugleich als wichtige Einrichtung nach § 28 BSIG erfasst sein. Die KI-VO prüft das KI-System und seine Rolle im Verkehr. Das BSIG prüft die Einrichtung, ihre Einrichtungsart, ihre Größe, ihre IT-Systeme und ihre Dienste.

10.4 DSGVO — Datenschutzvorfall und Sicherheitsvorfall

Die DSGVO bleibt für personenbezogene Daten relevant. Ein Sicherheitsvorfall nach BSIG kann zugleich eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 DSGVO sein. Dann müssen die DSGVO-Meldewege nach Art. 33 und 34 DSGVO gesondert geprüft werden.

§ 65 Abs. 11 BSIG enthält eine Sperre gegen doppelte Geldbußen für dasselbe Verhalten, wenn die Datenschutzaufsicht bereits nach Art. 58 Abs. 2 Buchstabe i DSGVO eine Geldbuße verhängt hat:

Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 eine Geldbuße, so darf eine weitere Geldbuße für einen Verstoß nach diesem Gesetz, der sich aus demselben Verhalten ergibt wie jener Verstoß, der Gegenstand der Geldbuße nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 war, nicht verhängt werden.
— § 65 Abs. 11 BSIG

Die Reihenfolge ist wichtig: Die Sperre setzt an einer bereits verhängten DSGVO-Geldbuße an. Sie ersetzt nicht die Sachprüfung und nicht die parallelen Meldepflichten. Die Abgrenzung zwischen Sicherheitsvorfall und Datenschutzvorfall ist im Krisenfall zu dokumentieren. Für die DSGVO-Schnittstelle ist der künftige DSGVO-Datenpanne (Art. 33 / 34) vorgesehen.

11. Übergangsregelungen und Stand 28.5.2026 — kompletter Zeit-Kalender

Der Stand dieses Artikels ist der 28. Mai 2026. Das Datum ist wichtig, weil BSIG, KRITIS-DachG [N-KRITISDachG], BSI-Portal [B-BSI], Rechtsverordnungen und aktuelle Referentenentwürfe nicht auf denselben Tag fallen.

11.1 KRITIS-DachG-Rechtsverordnung, § 56 BSIG und § 66 BSIG

Für die neue KRITIS-DachG-Systematik ist die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG entscheidend. § 66 BSIG [N-BSIG-66] bestimmt, dass § 2 Nr. 22 und Nr. 24 sowie § 33 Abs. 2 erst anzuwenden sind, wenn eine auf dieser Grundlage erlassene Rechtsverordnung gilt. Bis dahin gilt § 2 Nr. 22 und Nr. 24 in der bis einschließlich 16. März 2026 geltenden Fassung weiter. Soweit § 56 BSIG [N-BSIG-56] eigene Verordnungsermächtigungen enthält, sind diese getrennt zu prüfen und nicht mit dem §-66-Auslöser gleichzusetzen.

Für die Selbstprüfung bedeutet das: Die allgemeinen Adressatenkreise nach § 28 BSIG [N-BSIG-28] und den Anlagen 1 und 2 sind materiell zu prüfen. Bei KRITIS-Anlagen ist die Verordnungsentwicklung eng zu beobachten. Einrichtungen, die bisher KRITIS-Schwellen berührt haben, sollten nicht darauf vertrauen, dass Unklarheit die Prüfung ersetzt.

11.2 Aufsichtspraxis-Stand am 28. Mai 2026

Das BSI stellt seit Inkrafttreten des BSIG Informationen zur NIS-2-Betroffenheitsprüfung, FAQ, Registrierung und zum MUK-Portal bereit. Diese Veröffentlichungen helfen bei der Praxisumsetzung. Nach hier geprüftem Stand gibt es aber keine vollständig konsolidierte sektorspezifische Behördenauslegung für sämtliche Anlage-1- und Anlage-2-Einrichtungsarten.

Stand 28. Mai 2026 ist für die KRITIS-DachG-Übergangslogik keine geltende Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG dokumentiert; § 66 BSIG suspendiert § 2 Nr. 22 und 24 sowie § 33 Abs. 2 BSIG [N-BSIG-33] bis zur Geltung der einschlägigen KRITIS-DachG-Rechtsverordnung. Soweit § 56 BSIG eigenständige Verordnungsermächtigungen enthält, sind diese getrennt zu prüfen; sie ersetzen nicht den §-66-BSIG-Auslöser. Nach derzeit noch nicht amtlich fundstellenfest belegten Sekundärhinweisen soll das Bundesministerium des Innern am 26. Mai 2026 einen Referentenentwurf einer „Verordnung zur Bestimmung kritischer Anlagen“ (KritisV) vorgelegt haben; nach denselben Hinweisen soll eine Stellungnahmefrist bis zum 16. Juni 2026 vorgesehen sein. Der Entwurf ist kein geltendes Recht; die §-66-BSIG-Suspendierung gilt unverändert weiter, bis eine einschlägige, auf § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG gestützte Rechtsverordnung gilt. Inhaltliche Aussagen zum KritisV-Entwurf sind bis zur amtlichen BMI-Fundstelle oder einer konkret zitierten Sekundärquelle nur als vorläufiger Monitoring-Vermerk zu behandeln: Nach noch zu verifizierenden Sekundärhinweisen soll sich der Entwurf an der bisherigen BSI-KritisV orientieren; Einzelheiten wie Weltraum-Sektor und 500.000er-Schwellenlogik sind erst nach Abgleich mit einer belastbaren Fundstelle als gesicherte Aussage zu übernehmen. Die Geschäftsleitung sollte Grenzfälle nicht mit einem pauschalen „Aufsicht offen“ parken, sondern risikobasiert und zusätzlich bei neuen BSI-, BMI-, BNetzA-, BaFin-, Länder- oder KRITIS-DachG-Veröffentlichungen gegenprüfen. Bei Grenzfällen kann ein quartalsweiser Review praktisch sinnvoll sein; er ist aber als Governance-Empfehlung und nicht als gesetzlicher Takt zu dokumentieren. Zu prüfen ist jeweils: Hat sich Sektorzuordnung, Registrierung, Meldeweg, KRITIS-Schwelle oder Sonderregime geändert? Ergebnis und Fundstellen gehören in die Selbst-Check-Akte.

12. Praktische Konsequenz nach Selbst-Check

Nach dem Selbst-Check gibt es im Standardpfad drei mögliche Ergebnisse: außerhalb des sachlichen Anwendungsbereichs, wichtige Einrichtung, besonders wichtige Einrichtung. Zusätzlich ist ein Sonderergebnis zu dokumentieren, wenn die Einrichtung zwar nicht als besonders wichtige oder wichtige Einrichtung nach § 28 BSIG [N-BSIG-28] eingeordnet wird, aber als Domain-Name-Registry-Diensteanbieter oder über eine sonstige Spezialnorm eigenständige Registrierungs-, Daten- oder Mitwirkungspflichten auslöst. Diese Sonderpfade sind nicht mit „außerhalb“ gleichzusetzen. Für jedes Ergebnis sollte die Geschäftsleitung einen dokumentierten Beschluss oder eine dokumentierte Entscheidungsvorlage erzeugen. Das ist keine Formalie. Es ist eine erste Schicht der Haftungsprävention und Verteidigungsdokumentation, weil die Leitung zeigen kann, dass sie die Erfassung strukturiert geprüft hat. Eine sichere persönliche Enthaftung folgt daraus nicht; bei unzutreffender Bewertung, späterer Tatsachenänderung oder verletzten Umsetzungs- oder Überwachungspflichten bleibt die Haftungsprüfung nach § 38 Abs. 2 BSIG [N-BSIG-38] und den gesellschaftsrechtlichen Regeln offen.

12.1 Registrierung nach § 33 BSIG, Sonderregistrierung nach § 34 BSIG und EU-Zuständigkeit nach § 60 BSIG

§ 33 Abs. 1 BSIG [N-BSIG-33] regelt die allgemeine Registrierungspflicht:

Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln:

1. Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer,
2. Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern,
3. relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche,
4. Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, und
5. die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder.
   — § 33 Abs. 1 BSIG

Für Einrichtungen, die bereits am 6. Dezember 2025 erfasst waren, lief die Drei-Monats-Frist am 6. März 2026 ab. Stand 28. Mai 2026 bedeutet das: Eine nicht erfolgte Registrierung ist unverzüglich nachzuholen; die Nachholung beseitigt aber nicht automatisch einen historischen Fristverstoß. Die Akte sollte deshalb zusätzlich dokumentieren, seit wann die Erfassung bestand, warum die Registrierung unterblieb, wann nachregistriert wurde und welches Bußgeld- oder Aufsichtsrisiko nach § 65 Abs. 2 Nr. 6 BSIG verbleibt. Wer erst später in den Anwendungsbereich fällt, etwa durch Wachstum, Erwerb, neue Tätigkeit oder Sektorwechsel, hat drei Monate ab erstmaligem oder erneutem Eintreten als Adressat.

Das BSI-Portal für die NIS-2-Registrierung ist seit dem 6. Januar 2026 verfügbar. Vorgelagert ist die Anmeldung über „Mein Unternehmenskonto“ (MUK) mit ELSTER-Organisationszertifikat. Wenn noch kein ELSTER-Organisationszertifikat oder MUK-Zugang eingerichtet ist, kann die Vorbereitung mehrere Wochen beanspruchen. Diese Vorlaufzeit sollte in die Fristplanung einbezogen werden.

§ 33 Abs. 5 BSIG ergänzt die laufende Pflegepflicht. Geänderte Versorgungskennzahlen sowie Änderungen der bei Betreibern kritischer Anlagen zum Einsatz kommenden Typen von kritischen Komponenten sind einmal jährlich zu übermitteln. Alle anderen Änderungen der Angaben nach § 33 Abs. 1 oder 2 BSIG sind unverzüglich, spätestens jedoch zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln. Die Registrierungsakte ist deshalb kein einmaliger Upload, sondern ein lebendes Compliance-Dokument.

Bei § 33 Abs. 2 BSIG ist der Übergang nach § 66 BSIG [N-BSIG-66] sauber zu markieren. Die ab Geltung der einschlägigen KRITIS-DachG [N-KRITISDachG]-Rechtsverordnung anwendbare Kurzfassung ordnet die Registrierung von Betreibern kritischer Anlagen über § 8 KRITIS-DachG an und enthält keinen sichtbaren Satz 2 mehr. § 65 Abs. 2 Nr. 7 BSIG verweist aber weiterhin auf eine Erreichbarkeit nach § 33 Abs. 2 Satz 2. Praktisch ist die Erreichbarkeitsstruktur deshalb mitzudenken; dogmatisch bleibt die Verweisung bis zur Übergangsbereinigung ein erklärungsbedürftiger, derzeit schlummernder Verweisungsbruch. Dieser Punkt gehört als Übergangs- und Verweisungsbruch in die Prüfakte, nicht als unkommentierte Standardpflicht.

Für bestimmte digitale Einrichtungsarten kommt § 34 BSIG [N-BSIG-34] hinzu. Einrichtungen der in § 60 Abs. 1 Satz 1 genannten Einrichtungsart müssen spätestens drei Monate nach Eintritt in diese Kategorie zusätzliche Angaben übermitteln, unter anderem Hauptniederlassung in der EU oder EU-Vertreter, aktuelle Kontaktdaten, Mitgliedstaaten der Diensterbringung und öffentliche IP-Adressbereiche. Zu den Einrichtungsarten nach § 60 Abs. 1 Satz 1 BSIG gehören DNS-Diensteanbieter, Top Level Domain Name Registries, Domain-Name-Registry-Dienstleister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen oder Plattformen für Dienste sozialer Netzwerke. Änderungen nach § 34 Abs. 2 BSIG sind unverzüglich, spätestens innerhalb von drei Monaten ab Änderungseintritt zu melden.

§ 60 BSIG [N-BSIG-60] ist für hohe Mittelständler mit EU-Niederlassungen besonders wichtig. Das BSI ist für die genannten digitalen Einrichtungsarten nur dann zentral zuständig, wenn die Hauptniederlassung in der EU in Deutschland liegt. Hauptniederlassung ist grundsätzlich der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden. Wenn das nicht bestimmbar ist, kommt es auf die Durchführung der Cybersicherheitsmaßnahmen an; wenn auch das nicht bestimmbar ist, auf die beschäftigungsstärkste EU-Niederlassung. Ohne EU-Niederlassung ist ein EU-Vertreter zu benennen; sitzt dieser in Deutschland, ist das BSI zuständig. Für Digitalgruppen ist deshalb nicht nur „sind wir betroffen?“, sondern auch „welcher Mitgliedstaat ist zuständig?“ zu prüfen.

12.2 Risikomanagement nach § 30 BSIG

§ 30 BSIG [N-BSIG-30] gilt seit dem 6. Dezember 2025, soweit keine Bereichs-Ausnahme greift. Maßgeblich ist der amtliche Dreiklang:

Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
— § 30 Abs. 1 Satz 1 BSIG

Die Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Für den Selbst-Check genügt eine wortlautnahe Kurzliste der zehn Mindestbereiche aus § 30 Abs. 2 BSIG:

1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
2. Bewältigung von Sicherheitsvorfällen,
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Für DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter ist der konkrete Durchführungsrechtsakt zu benennen: die Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] der Kommission vom 17. Oktober 2024. Nach § 30 Abs. 3 BSIG geht dieser Rechtsakt den §-30-Abs.-2-Maßnahmen vor, soweit er entgegenstehende Anforderungen enthält. Für diese Gruppen gehört neben der §-30-Roadmap auch ein Mapping des Anhangs der Verordnung und der dort präzisierten erheblichen Sicherheitsvorfälle in das §-32-Meldeplaybook. Die Aufzählung folgt hier der nationalen BSIG-Terminologie; die deutsche NIS-2-Fassung verwendet teilweise andere Übersetzungen, ohne dass dadurch die für deutsche Adressaten maßgeblichen BSIG-Begriffe ersetzt werden. Weitere Durchführungsrechtsakte nach Art. 21 Abs. 5 Unterabsatz 2 können den §-30-Abs.-2-Maßnahmen ebenfalls vorgehen, soweit Anforderungen entgegenstehen (§ 30 Abs. 4 BSIG).

§ 30 Abs. 6 BSIG betrifft die Beschaffung: Besonders wichtige Einrichtungen und wichtige Einrichtungen dürfen bestimmte IKT-Produkte, IKT-Dienste und IKT-Prozesse nur verwenden, wenn eine Rechtsverordnung nach § 56 Abs. 3 BSIG [N-BSIG-56] eine Cybersicherheitszertifizierung nach europäischen Schemata gemäß Art. 49 der Verordnung (EU) 2019/881 verlangt. Das ist kein sofortiger allgemeiner Zertifizierungszwang für jedes Produkt, aber ein wichtiger Beschaffungs- und Vertragsvorbehalt für KRITIS-nahe Systeme.

Die Mindestmaßnahmen-Tiefe ist in Umsetzung — § 30 BSIG, zehn Mindestmaßnahmen ausgeführt. Für die Geschäftsleitung genügt an dieser Stelle: Ein positiver Selbst-Check muss in eine Risikomanagement-Roadmap übersetzt werden. Ein bloßer Betroffenheitsvermerk ohne Maßnahmenplan erzeugt Compliance-Schulden.

12.3 Geschäftsleitungspflichten nach § 38 BSIG

§ 38 BSIG ist die Leitungsnorm:

(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
(2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
(3) Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
— § 38 BSIG

Satz 2 in Absatz 2 macht die BSIG-eigene Haftung subsidiär. Für GmbH und AG greift praktisch Satz 1: Haftung nach den auf die Rechtsform anwendbaren gesellschaftsrechtlichen Regeln, insbesondere § 43 GmbHG [N-GmbHG-43] und § 93 AktG [N-AktG-93]. Eine eigene Haftung „nach diesem Gesetz“ kommt nur in Betracht, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine entsprechende Innenhaftungsregel nach Satz 1 enthalten.

Die Geschäftsleitung kann operative Aufgaben an Fachbereiche, CISO, IT-Leitung, Datenschutz, Einkauf und externe Berater verteilen. Die gesetzliche Leitungspflicht bleibt aber ein eigener Kontroll- und Umsetzungsmaßstab. Die besondere Schulungspflicht nach § 38 Abs. 3 BSIG ist in Schulungspflicht der Geschäftsleitung ausgeführt. Welche Pflichten die Geschäftsleitung nach § 38 BSIG trifft, ist in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) systematisch dargestellt.

12.4 Meldepflicht nach § 32 BSIG

§ 32 BSIG [N-BSIG-32] enthält eine Meldekaskade bei erheblichen Sicherheitsvorfällen. Auslöser der 24- und 72-Stunden-Fristen ist die Kenntniserlangung von einem erheblichen Sicherheitsvorfall, nicht der objektive Eintritt des Vorfalls. Die Selbst-Check-Akte sollte deshalb nicht nur den Meldewegstatus, sondern auch einen Clock-Start-Prozess festlegen: Eingangskanäle, interne Verdachtseskalation, Stellvertretung, Entscheidung über Erheblichkeit, Dokumentation der Kenntniserlangung und Legal-/CISO-Freigabe. Die Verpflichtung gilt frühestens ab Einrichtung des Meldewegs. Für die Selbst-Check-Akte ist außerdem gesondert zu dokumentieren, ob und seit wann der einschlägige §-32-Meldeweg tatsächlich eingerichtet ist; die bloße Registrierungsvorbereitung über MUK/ELSTER ersetzt diese Meldeweg-Statusprüfung nicht.

Dieser Artikel vertieft das Krisenregime nicht. Im Krisenfall — etwa bei Angriff, Ausfall, Integritätsstörung, schwerwiegender Betriebsstörung, erheblichem finanziellen Verlust oder relevanter Drittbeeinträchtigung — gibt Cyber-Vorfall: die ersten 72 Stunden den Stunden-für-Stunden-Plan. Die Detaildarstellung der 24-/72-Stunden-Kaskade und der Abgrenzung zu § 35 BSIG [N-BSIG-35] folgt im künftigen A4-02.

12.5 Haftung, Sanktionen und persönliche Konsequenzen

Die Bußgeldrahmen des § 65 BSIG [N-BSIG-65] knüpfen an Pflichtverstöße im Einrichtungsregime an; eine eigenständige organspezifische BSIG-Sonderbuße allein wegen der Geschäftsführerstellung gibt es nicht. Der Text darf aber nicht als Ausschluss jeder individuellen ordnungswidrigkeitenrechtlichen Verantwortlichkeit oder jeder Verbandsgeldbußen-Zurechnung gelesen werden. In einem konkreten Verfahren sind die allgemeinen OWiG-Regeln gesondert zu prüfen, insbesondere § 9 OWiG [N-OWiG-9] für Handeln für einen anderen, § 30 OWiG [N-OWiG-30] für Verbandsgeldbußen und § 130 OWiG [N-OWiG-130] für Aufsichtspflichtverletzungen; daneben sind Tatbeitrag, Zuständigkeit und Verschulden gesondert zu bewerten. Davon getrennt bleiben Innenhaftung nach § 38 Abs. 2 BSIG, § 43 GmbHG oder § 93 AktG sowie aufsichtsrechtliche Maßnahmen nach § 61 Abs. 9 BSIG [N-BSIG-61]. Bei besonders wichtigen Einrichtungen ist zusätzlich § 61 Abs. 9 BSIG mitzudenken: Kommt die Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel unter engen Voraussetzungen unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind, vorübergehend untersagen. Das ist kein persönliches Bußgeld, aber eine erhebliche persönliche Aufsichtsfolge.

§ 65 BSIG sanktioniert nicht die bloße „Betroffenheit“, sondern konkrete Pflichtverletzungen. Für die Geschäftsleitungsakte ist deshalb eine Matrix sinnvoll: Welche Pflicht besteht, wer verantwortet sie operativ, welcher Nachweis existiert und welcher Bußgeldtatbestand kann bei Verletzung ausgelöst werden? Besonders relevant sind § 65 Abs. 2 Nr. 2 für nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergriffene §-30-Maßnahmen, Nr. 3 für fehlende Dokumentation nach § 30 Abs. 1 Satz 3, Nr. 4 und 5 für §-32-Meldungen und Abschlussmeldungen, Nr. 6 für Erstangaben nach § 33 Abs. 1 oder Abs. 2 Satz 1 sowie § 34 Abs. 1, Nr. 7 für die Erreichbarkeit nach § 33 Abs. 2 Satz 2 mit dem in Sektion 12.1 markierten Übergangsproblem, Nr. 8 für Änderungsunterrichtungen nach § 34 Abs. 2 sowie Nr. 9 für bestimmte Mitteilungen nach § 35 Abs. 2 BSIG.

Für die in § 65 Abs. 5 Satz 1 Nr. 1 BSIG genannten schwereren Verstöße — also die Fälle des § 65 Abs. 2 Nr. 1 Buchst. d, Nr. 2 bis 5 und Nr. 9 — kann die Geldbuße bei besonders wichtigen Einrichtungen bis zu 10 Mio. Euro und bei wichtigen Einrichtungen bis zu 7 Mio. Euro betragen. Daneben enthält § 65 Abs. 5 BSIG niedrigere Stufen bis 5 Mio. Euro, 2 Mio. Euro, 1 Mio. Euro, 500.000 Euro und 100.000 Euro; die Detailmatrix gehört in Haftung und Sanktionen — Überblick. Bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Mio. Euro kann für dieselben Tatbestände des § 65 Abs. 2 Nr. 1 Buchst. d, Nr. 2 bis 5 und Nr. 9 die umsatzbezogene Obergrenze greifen: bis zu 2 Prozent bei besonders wichtigen Einrichtungen und bis zu 1,4 Prozent bei wichtigen Einrichtungen. Gesamtumsatz ist nach § 65 Abs. 8 BSIG die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat.

Zur Veranschaulichung: Bei 1 Mrd. Euro weltweitem Gesamtumsatz können 2 Prozent 20 Mio. Euro und 1,4 Prozent 14 Mio. Euro betragen. Diese Rechnung ist eine Bußgeldobergrenzen-Veranschaulichung, keine Prognose für einen Einzelfall.

Hinweis zur Bußgeldhöhe: § 65 Abs. 9 BSIG schließt § 17 Abs. 2 OWiG in den Fällen des § 65 Abs. 5 Satz 1 Nr. 1 sowie der Absätze 6 und 7 aus. Die übliche Halbierung des gesetzlichen Höchstrahmens bei fahrlässiger Begehung greift für diese großen Bußgeldgruppen daher nicht. Das bedeutet nicht, dass Fahrlässigkeit und Vorsatz für die konkrete Zumessung egal wären; es bedeutet nur, dass der gesetzliche Höchstrahmen nicht automatisch halbiert wird.

Wenn der Selbst-Check positiv ausfällt, lautet die persönliche Kausalkette für die Geschäftsleitung: Die Einrichtung ist besonders wichtige oder wichtige Einrichtung; daraus folgen unter anderem Registrierung, §-30-Risikomanagement, §-38-Umsetzung und Überwachung, Schulung sowie §-32-Meldewege; bei schuldhafter Verletzung der Leitungs- und Überwachungspflichten kommt Innenhaftung nach den gesellschaftsrechtlichen Regeln in Betracht. Die fünf Schichten der Haftung — von Bußgeld über Innenhaftung bis Tätigkeitsverbot — sind in Haftung und Sanktionen — Überblick systematisch dargestellt. Die Innenhaftung der Geschäftsleitung nach § 38 Abs. 2 BSIG ist in Innenhaftung der Geschäftsleitung vertieft.

12.6 D&O, Banken, Lieferantenverträge und Marktrealität

Nicht alle Folgen stehen im Gesetz. Außerhalb des Gesetzes können D&O-Versicherer, Cyber-Versicherer, Banken und große Auftraggeber [M-AVB-OFFEN] NIS-2-/BSIG-Themen in Underwriting, Verlängerung, Kreditprüfung, Lieferanten-Audit oder Vertragsverhandlungen aufgreifen. Davon zu trennen ist die gesetzliche Lieferkettenpflicht aus § 30 Abs. 2 Nr. 4 BSIG gegenüber unmittelbaren Anbietern oder Diensteanbietern. Die Pflichtenakte sollte daher zwei Register führen: gesetzliche Lieferkettensteuerung nach § 30 Abs. 2 Nr. 4 BSIG und Markt-/Vertragsanforderungen von Versicherern, Banken und Kunden. Ob aus diesen Markt-/Vertragsanforderungen Nachfragen, Ausschlüsse, Prämienanpassungen, Covenants oder Vertragsauflagen entstehen, hängt von den konkreten Bedingungen, Fragebögen und Vertragswerken ab.

Das ist keine gesetzliche Sanktion und ohne konkrete Policen-, Kredit- oder Vertragsunterlagen nicht als pauschale Markttatsache zu behaupten. Für die Geschäftsleitungsakte sollten diese Marktfolgen mit Aktenbelegen getrennt werden: Cyber-Versicherung einschließlich Antrags- oder Risikofragebogen und Obliegenheiten, D&O einschließlich Ausschluss- und Wissentlichkeitsklauseln, Kredit- oder Covenant-Unterlagen sowie Kunden- und Lieferanten-Auditfragen. Ohne konkrete Unterlagen bleibt die Aussage anwaltliche Marktbeobachtung. Die D&O-Versicherbarkeit und die Cyber-Police-Architektur sind in Cyber-Versicherungs-Architektur dargestellt.

12.7 Sonderkonstellationen Konzern und Insolvenz

Im Konzern ist jede rechtlich selbstständige Einheit eigenständig zu prüfen. Eine Holding ist nicht automatisch erfasst, weil eine Tochter erfasst ist. Eine IT-Tochter ist nicht automatisch frei, weil sie im Konzern steht. Entscheidend sind Tätigkeit, Einrichtungsart, Entgeltlichkeit, Schwelle und IT-Unabhängigkeit nach § 28 Abs. 4 Satz 2 BSIG.

Die Schwellenprüfung folgt zunächst der KMU-Empfehlung [EU-KMU] 2003/361/EG. Partner- und verbundene Unternehmen können danach anteilig oder vollständig einzubeziehen sein. § 28 Abs. 4 Satz 2 BSIG enthält jedoch eine eigenständige IT-Unabhängigkeitsklausel: Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn die Einrichtung unter Berücksichtigung rechtlicher, wirtschaftlicher und tatsächlicher Umstände mit Blick auf Beschaffenheit und Betrieb der IT-Systeme, Komponenten und Prozesse unabhängig ist. Das ist keine bloße Bilanzfrage. Gemeinsame Netze, zentrale Identitätsdienste, gemeinsamer SOC, einheitliche Betriebsprozesse oder zentrale Weisungsrechte können gegen Unabhängigkeit sprechen.

Holding-Fälle brauchen deshalb zwei Prüffragen. Erstens: Bietet die Holding selbst entgeltlich Waren oder Dienstleistungen an oder erfüllt sie einen Sondertatbestand? Zweitens: Werden Schwellenwerte nur durch Hinzurechnung aus Partner- oder verbundenen Unternehmen erreicht, und greift die IT-Unabhängigkeitsklausel oder nicht? Für operative Töchter gilt spiegelbildlich: Eine Tochter kann selbst erfasst sein, obwohl die Mutter nur Beteiligungs- oder Steuerungsfunktion hat.

Bei Insolvenz oder Krise bleibt der Selbst-Check relevant. Geschäftsleiter in Eigenverwaltung, vorläufige Insolvenzverwalter mit Verwaltungs- und Verfügungsbefugnis, Insolvenzverwalter und Aufsichtsorgane müssen wissen, ob Registrierung, Meldewege und Risikomanagementpflichten bestehen. Dabei ist aber gesondert zu dokumentieren, wer im konkreten Verfahrensstadium BSIG-Geschäftsleitung, organschaftlicher Pflichtenträger, Vertreter oder insolvenzrechtlicher Verwalter ist. Die insolvenzrechtliche Funktion darf nicht ungeprüft mit der BSIG-Geschäftsleitung nach § 2 Nr. 13 BSIG [N-BSIG-2-13] gleichgesetzt werden. Cyberpflichten verschwinden nicht, nur weil Liquidität, Personal und Lieferfähigkeit unter Druck stehen. Konzern, DORA [EU-DORA]-Finanz, Insolvenz — die Sonderkonstellationen sind in Konzern, DORA & Insolvenz — Sonderfälle systematisch.

12.8 Drei konkrete Schritte für heute

Für die anwaltliche oder interne Beratung lässt sich der Selbst-Check auf drei sofortige Schritte verdichten:

1. Legal-Entity- und EU-Niederlassungsliste erstellen: Jede rechtlich selbstständige Gesellschaft, jede wesentliche Betriebsstätte, jede Sonderrolle und bei digitalen Einrichtungsarten jede EU-Niederlassung erfassen. Dazu gehören Holding, operative Gesellschaften, IT-Tochter, Servicegesellschaften, ausländische EU-Niederlassungen und gegebenenfalls EU-Vertreter nach § 60 Abs. 3 BSIG.
2. Sektor- und Schwellenmatrix ausfüllen: Für jede Einheit Anlage 1, Anlage 2 oder keine Zuordnung dokumentieren; vernachlässigbare Tätigkeiten nach § 28 Abs. 3 BSIG begründen; Mitarbeiterzahl, Umsatz und Bilanzsumme nach KMU-Empfehlung berechnen; Partner-/verbundene-Unternehmen-Logik und IT-Unabhängigkeit nach § 28 Abs. 4 Satz 2 BSIG prüfen.
3. Pflichtenakte anlegen: Registrierung nach § 33, Sonderregistrierung nach § 34, § 60-Zuständigkeit, § 30-Roadmap, § 35-Unterrichtungs- und Empfängerkommunikationslogik einschließlich der Frage, ob eine BSI-Anordnung zur Unterrichtung von Empfängern nach § 35 Abs. 1 BSIG oder eine eigenständige Empfängerinformation über erhebliche Cyberbedrohungen nach § 35 Abs. 2 BSIG vorbereitet werden muss, Verantwortliche, Freigabeweg, Textbausteine, DSGVO-Schnittstelle, § 38-Geschäftsleitungsbeschluss, Schulungen, Incident-Meldeprozess, D&O-/Cyber-Versicherung, Lieferantenanforderungen und Vorher/Nachher-Prüfung in eine nachweisbare Compliance-Architektur überführen.

12.9 Selbst-Check-Beispiele pro Größenklasse

Beispiel 1: Bäckerei mit 25 Mitarbeitern

Die Bäckerei ist der Bäckerei-Test. Sie ist klein, aber die Größe ist nicht der Hauptgrund. Maßgeblich ist, dass der Betrieb keiner Anlage-1- oder Anlage-2-Einrichtungsart zugeordnet wird. Die industrielle Lebensmittelproduktion oder der Lebensmittelgroßhandel nach Anlage 2 Nr. 4.1.1 ist etwas anderes als der lokale B2C-Handwerksbetrieb. NACE kann bei der internen Plausibilisierung helfen, ersetzt aber nicht den Normanker. Ergebnis: keine Einordnung nach § 28 BSIG, sofern keine besonderen digitalen oder KRITIS-Tätigkeiten hinzukommen.

Beispiel 2: Mittelständischer Maschinenbauer mit 180 Mitarbeitern

Der Maschinenbauer fällt in Anlage 2 Sektor 5.4 Maschinenbau, wenn er eine Wirtschaftstätigkeit nach Abschnitt C Abteilung 28 NACE Rev. 2 ausübt. Mit 180 Mitarbeitern überschreitet er die 50-Mitarbeiter-Schwelle. Umsatz und Bilanzsumme müssen für dieses Ergebnis nicht gemeinsam über 10 Mio. Euro liegen, weil die Mitarbeiter-Schwelle eigenständig wirkt. Ergebnis: wichtige Einrichtung.

Folge: Registrierung nach § 33 BSIG, Risikomanagement nach § 30 BSIG, Geschäftsleitungspflichten nach § 38 BSIG, Schulungen und Meldewege nach § 32 BSIG, soweit keine Bereichs-Ausnahme greift. Die Geschäftsleitung sollte eine Beschlussvorlage nach NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) erstellen.

Beispiel 3: Chemie-Großmittelstand mit 300 Mitarbeitern

Der Chemiebetrieb fällt in Anlage 2 Sektor 3, wenn die REACH- und NACE-Voraussetzungen der Anlage erfüllt sind. Trotz 300 Mitarbeitern führt der Standardpfad nicht zu § 28 Abs. 1 Satz 1 Nr. 4 BSIG, weil dieser Pfad bei sonstigen Einrichtungen Anlage 1 voraussetzt. Ergebnis: wichtige Einrichtung nach § 28 Abs. 2 Satz 1 Nr. 3 BSIG, sofern kein anderer Sonderpfad greift.

Das ist ein wichtiger Korrekturpunkt für die Geschäftsleitung. Die Kategorie ist nicht frei wählbar. Sie folgt dem Normpfad. Trotzdem bleiben die operativen Pflichten erheblich: Registrierung, Risikomanagement, Leitungspflichten, Schulungen und Meldeprozess.

Beispiel 4: Familienbank mit 120 Mitarbeitern

Die Familienbank ist dem Finanzwesen zuzuordnen. Ohne Spezialrecht würde die Schwellenprüfung zur Erfassung führen. § 28 Abs. 6 Nr. 1 BSIG nimmt Finanzunternehmen nach Art. 2 Abs. 2 DORA jedoch von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus. Deshalb liegt die operative Cybersicherheitsarchitektur primär in DORA.

Das bedeutet nicht, dass die Geschäftsleitung keine Verantwortung trägt. DORA, KWG/VAG, MaRisk/aufsichtliche Vorgaben und Gesellschaftsrecht bleiben. Für GmbH-Geschäftsleiter ist § 43 GmbHG und für Vorstände § 93 AktG der gesellschaftsrechtliche Sorgfaltsanker. Der Aufsichtsrat sollte nicht fragen, ob „NIS-2 oder DORA“ gilt, sondern welche Pflichten unter DORA, Finanzaufsicht und Gesellschaftsrecht zu dokumentieren sind.

Beispiel 5: DAX-Konzern mit 50.000 Mitarbeitern

Der DAX-Konzern überschreitet sämtliche Größenwerte. Die Kategorie hängt deshalb zuerst an der Sektor-Zuordnung. Eine Anlage-1-Tätigkeit mit Standardpfad kann zur besonders wichtigen Einrichtung führen. Eine Anlage-2-Tätigkeit kann als wichtige Einrichtung erfasst sein. Sonderpfade, KRITIS-Anlagen und Bereichs-Ausnahmen sind gesondert zu prüfen.

Bei Konzernen ist die Legal-Entity-Prüfung entscheidend. Eine Konzernmutter, eine Vertriebsgesellschaft, eine IT-Tochter und eine Produktionsgesellschaft können unterschiedliche Ergebnisse haben. Die Geschäftsleitung der jeweiligen Einheit sollte eine eigene Einordnungsakte führen.

Beispiel 6: Energie-Konzern mit IT-Tochter

Die Muttergesellschaft ist Anlage 1 Energie zuzuordnen und überschreitet die große Schwelle. Sie ist regelmäßig besonders wichtige Einrichtung. Danach ist § 28 Abs. 5 BSIG zu prüfen, weil EnWG-Spezialregeln für Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste greifen können.

Die IT-Tochter ist eigenständig zu prüfen. Wenn sie Managed Services Provider oder Managed Security Services Provider ist, steht sie in Anlage 1 Digitale Infrastruktur. Mit 200 Mitarbeitern überschreitet sie jedenfalls die mittlere Schwelle und ist mindestens als wichtige Einrichtung zu prüfen. Die Hinzurechnung von Mutter- oder Konzernwerten bleibt aber nicht nur Dokumentationsfrage: Ist die IT-Tochter mit Blick auf Beschaffenheit und Betrieb ihrer informationstechnischen Systeme, Komponenten und Prozesse nicht unabhängig von Mutter, Schwestern oder anderen verbundenen Unternehmen, kann § 28 Abs. 4 Satz 2 BSIG die Hinzurechnung gerade nicht ausschließen. Bei Anlage-1-Tätigkeit kann diese Hinzurechnung die große Schwelle des § 28 Abs. 1 Satz 1 Nr. 4 BSIG auslösen; dann ist zusätzlich die Einordnung als besonders wichtige Einrichtung zu prüfen. Die Aussage „wichtige Einrichtung“ ist in solchen Fällen nur das Mindestergebnis aus den Eigenwerten, nicht die Endkategorie. Drittumsatz von 8 Mio. Euro spricht zusätzlich für entgeltliches Anbieten an andere Rechtsträger. Auch konzerninterne entgeltliche Leistungen können nach dem Wortlaut relevant sein, wenn sie gegenüber anderen juristischen Personen erbracht werden.

13. Kurzantworten auf die 24 Lese-Fragen

1. Bin ich betroffen, nur weil ich Cyberrisiken habe? Nein. „Betroffen“ meint hier den rechtlichen Status als besonders wichtige Einrichtung oder wichtige Einrichtung nach § 28 BSIG oder einen eigenständigen Sonderpflichtpfad, nicht das allgemeine Risiko, Opfer eines Angriffs zu werden.
2. Womit beginnt der Selbst-Check? Vor Sektor und Größe steht die Vorfrage, welche Einrichtung geprüft wird: Rechtsträger, natürliche oder juristische Person oder rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft. Betriebsstätten und Niederlassungen sind Standort- und Zuständigkeitsfakten, ersetzen aber nicht die Statusprüfung.
3. Welche drei Prüfschritte führen zum Ergebnis? Zuerst wird die Einrichtungsart in Anlage 1 oder Anlage 2 geprüft, dann Schwelle oder Sondertatbestand, danach Bereichs-Ausnahme oder Spezialregime. Wer diese Reihenfolge umdreht, kann zu früh auf die Mitarbeiterzahl schauen und den sachlichen Anwendungsbereich übersehen.
4. Welche Rolle spielen Anlage 1 und Anlage 2 BSIG? Anlage 1 und Anlage 2 bestimmen die deutschen BSIG-Sektoren und Einrichtungsarten. Für deutsche Adressaten ist diese BSIG-Systematik führend; die NIS-2-Richtlinie erklärt die Herkunft, ersetzt aber nicht die deutsche Einordnung.
5. Warum ist Anlage 1 nicht dasselbe wie Anlage 2? Bei sonstigen Einrichtungen kann Anlage 1 im Standardpfad zur besonders wichtigen Einrichtung führen, wenn die große Schwelle erreicht wird. Anlage 2 führt im Standardpfad regelmäßig zur wichtigen Einrichtung; eine besonders wichtige Einrichtung entsteht dort nur über einen anderen Pfad, etwa als Betreiber kritischer Anlagen oder über einen Sondertatbestand.
6. Welche Schwelle gilt für besonders wichtige Einrichtungen? Im Standardpfad nach § 28 Abs. 1 Satz 1 Nr. 4 BSIG gilt: mindestens 250 Mitarbeiter oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Jahresbilanzsumme. Die Mitarbeiter-Schwelle ist alternativ, Umsatz und Bilanzsumme sind kumulativ.
7. Welche Schwelle gilt für wichtige Einrichtungen? Im Standardpfad nach § 28 Abs. 2 Satz 1 Nr. 3 BSIG gilt: mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro. Auch hier reicht die Mitarbeiter-Schwelle allein; bei den finanziellen Werten müssen Umsatz und Bilanzsumme gemeinsam überschritten sein.
8. Wie werden Mitarbeiterzahl, Umsatz und Bilanzsumme berechnet? § 28 Abs. 4 BSIG verweist auf die KMU-Empfehlung 2003/361/EG, nimmt aber Art. 3 Abs. 4 des Anhangs aus. Partner- und verbundene Unternehmen sind nur dann nicht hinzuzurechnen, wenn die IT-Unabhängigkeit nach § 28 Abs. 4 Satz 2 BSIG trägt.
9. Können Nebentätigkeiten ignoriert werden? Ja, aber nur eng. § 28 Abs. 3 BSIG erlaubt, bei der Zuordnung zu Anlage 1 oder 2 solche Geschäftstätigkeiten unberücksichtigt zu lassen, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind; das muss dokumentiert werden.
10. Welche Sondertatbestände sind größenunabhängig besonders wichtig? Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter können unabhängig von den allgemeinen Schwellen besonders wichtige Einrichtungen sein. Für Telekommunikationsdienste und Telekommunikationsnetze gelten eigene Schwellenpfade.
11. Was gilt bei kritischen Anlagen und KRITIS-Nähe? Betreiber kritischer Anlagen sind ein eigener besonders-wichtig-Pfad. Wegen § 66 BSIG bleiben die neuen KRITIS-DachG-Verweise aber bis zur Geltung der einschlägigen Rechtsverordnung gesondert zu behandeln; bloße Verkündung oder Entwurfsstand genügt nicht.
12. Welche Bereichs-Ausnahmen können Pflichten verdrängen? § 28 Abs. 5 bis 8 BSIG enthält Ausnahmen und Spezialregime, etwa für Telekommunikation, bestimmte Energie-Sachverhalte, DORA-Finanzunternehmen, Telematik und bestimmte Gebietskörperschafts-Dienstleister. Wichtig ist, ob nur einzelne BSIG-Pflichten zurücktreten oder ob das BSIG insgesamt nicht anwendbar ist.
13. Was bedeutet die DORA-Ausnahme? § 28 Abs. 6 Nr. 1 BSIG nimmt bestimmte Finanzunternehmen von den dort genannten BSIG-Pflichten aus. Das ersetzt aber nicht die DORA-, KWG-/VAG-, Aufsichts- und gesellschaftsrechtliche Organisationsverantwortung der Geschäftsleitung.
14. Wann ist eine Negativentscheidung belastbar? Eine Negativentscheidung ist belastbar, wenn sie Sektor, Einrichtungsart, Schwellen, Sondertatbestände, Bereichs-Ausnahmen und Konzernbezug dokumentiert. Sie bleibt nur tragfähig, solange Tatsachenlage, Rechtslage und Geschäftsmodell gleich bleiben.
15. Warum ist die Konzernprüfung besonders gefährlich? Jede Legal Entity ist eigenständig zu prüfen, aber § 28 Abs. 4 BSIG kann Daten von Partner- oder verbundenen Unternehmen relevant machen. Eine IT-Tochter kann bei entgeltlichen Leistungen, Anlage-1-/2-Zuordnung und fehlender IT-Unabhängigkeit anders einzuordnen sein als eine bloße interne Kostenstelle.
16. Welche Sonderrolle haben digitale Einrichtungsarten mit EU-Bezug? Bei bestimmten digitalen Einrichtungsarten ist § 60 BSIG früh mitzudenken. Die Zuständigkeit kann an Hauptniederlassung, Ort der Cybersicherheitsmaßnahmen, beschäftigungsstärkste EU-Niederlassung oder EU-Vertreter anknüpfen.
17. Was folgt nach einem positiven Selbst-Check? Ein positives Ergebnis muss in eine Pflichtenakte überführt werden: Registrierung, Risikomanagement-Roadmap, Meldewege, Geschäftsleitungsbeschluss, Schulungen, Verantwortliche, Nachweise und Aktualisierungspflichten. Ein bloßer Betroffenheitsvermerk reicht nicht.
18. Welche Registrierungspflichten sind zentral? Besonders wichtige Einrichtungen, wichtige Einrichtungen und Domain-Name-Registry-Diensteanbieter müssen die Registrierung nach § 33 BSIG prüfen. Bestimmte digitale Einrichtungsarten brauchen zusätzlich die Sonderregistrierung nach § 34 BSIG und die §-60-Zuständigkeitsprüfung.
19. Was bedeutet verspätete Registrierung? Die Registrierung ist unverzüglich nachzuholen, wenn sie pflichtwidrig unterblieben ist. Die Nachholung beseitigt aber nicht automatisch einen historischen Fristverstoß; Erfassungszeitpunkt, Unterlassungsgrund, Nachregistrierung und verbleibendes §-65-Risiko gehören in die Akte.
20. Welche Risikomanagementpflicht steht im Zentrum? § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Die zehn Mindestbereiche aus § 30 Abs. 2 BSIG sind kein optionaler Katalog, sondern der Startpunkt der Roadmap.
21. Was muss die Geschäftsleitung persönlich beachten? § 38 BSIG verlangt, dass die Geschäftsleitung die §-30-Maßnahmen umsetzt und ihre Umsetzung überwacht; außerdem bestehen Schulungspflichten. Haftung folgt nicht automatisch, aber bei schuldhafter Pflichtverletzung greifen die gesellschaftsrechtlichen Innenhaftungsregeln.
22. Wann beginnt die Meldekaskade nach § 32 BSIG? Die 24- und 72-Stunden-Fristen knüpfen an die Kenntniserlangung von einem erheblichen Sicherheitsvorfall an. Deshalb braucht die Einrichtung nicht nur einen Meldeweg, sondern einen Clock-Start-Prozess mit Eskalation, Stellvertretung, Erheblichkeitsentscheidung und Dokumentation.
23. Treffen Bußgelder persönlich die Geschäftsleitung? § 65 BSIG ist im Ausgangspunkt ein Einrichtungsregime und sanktioniert konkrete Pflichtverletzungen, nicht die bloße Betroffenheit. Eine organspezifische BSIG-Sonderbuße allein wegen Geschäftsführerstellung gibt es nicht; allgemeine OWiG-Fragen und Innenhaftung sind davon getrennt zu prüfen.
24. Was sollte die Geschäftsleitung heute tun? Erstens Legal-Entity- und EU-Niederlassungsliste erstellen, zweitens Sektor- und Schwellenmatrix ausfüllen, drittens Pflichtenakte anlegen. Diese drei Schritte machen den Selbst-Check entscheidungsfähig und verhindern, dass Betroffenheit, Spezialregime und Nachweise nebeneinander herlaufen.

14. Quellen

Der Quellenapparat bündelt die im Text mit sichtbaren Quellenankern (zum Beispiel [N-BSIG-38], [EU-NIS2]) gekennzeichneten Belege. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt; im Folgenden sind sie den amtlichen Fundstellen zugeordnet.

14.1 Nationale Normen

• [N-BSIG-1] § 1 BSIG — Aufgaben und Rolle des BSI. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__1.html
• [N-BSIG-2-11] § 2 Nummer 11 BSIG — erheblicher Sicherheitsvorfall. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-13] § 2 Nummer 13 BSIG — Geschäftsleitung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-22] § 2 Nummer 22/23 BSIG — kritische Anlage / kritische Komponenten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen (Abs. 1–8). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-29] § 29 BSIG — Einrichtungen der Bundesverwaltung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__29.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-31] § 31 BSIG — besondere Anforderungen für Betreiber kritischer Anlagen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__31.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-34] § 34 BSIG — besondere Registrierungspflicht digitaler Einrichtungsarten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__34.html
• [N-BSIG-35] § 35 BSIG — Unterrichtungspflichten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__35.html
• [N-BSIG-37] § 37 BSIG — Ausnahmebescheid. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__37.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-39] § 39 BSIG — Nachweispflichten für Betreiber kritischer Anlagen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__39.html
• [N-BSIG-41] § 41 BSIG — kritische Komponenten / Untersagung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__41.html
• [N-BSIG-56] § 56 BSIG — Verordnungsermächtigungen (Erheblichkeit, Krankenhaus, kritische Komponenten). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__56.html
• [N-BSIG-60] § 60 BSIG — zentrale EU-Zuständigkeit, Hauptniederlassung, EU-Vertreter. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__60.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen; Krankenhaus-Schonfrist (Abs. 3 Satz 5), Leitungsuntersagung (Abs. 9). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-BSIG-66] § 66 BSIG — Anwendungs- und Übergangsbestimmungen (KRITIS-DachG-Suspendierung). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__66.html
• [N-OWiG-9] § 9 OWiG — Handeln für einen anderen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__9.html
• [N-OWiG-30] § 30 OWiG — Geldbuße gegen juristische Personen/Verbände. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__30.html
• [N-OWiG-130] § 130 OWiG — Verletzung der Aufsichtspflicht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__130.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-EnWG-5c-5e] §§ 5c bis 5e EnWG — IT-Sicherheit, Melde- und Leitungspflichten Energie. Fundstelle: https://www.gesetze-im-internet.de/enwg_2005/
• [N-KRITISDachG] KRITIS-Dachgesetz — BGBl. 2026 I Nr. 66 vom 16.3.2026. Fundstelle: https://www.recht.bund.de/bgbl/1/2026/66/VO
• [N-BSIG-49-51] §§ 49–51 BSIG — Domain-Name-Registrierungsdaten, Zugang, Kooperation. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__49.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-TKG-165] § 165 TKG — technische und organisatorische Schutzmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/__165.html (ergänzende Quelle, im Body nicht eigens verankert)

14.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• [EU-DVO-2690] Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17.10.2024. Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-KIVO] Verordnung (EU) 2024/1689 (KI-Verordnung). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• [EU-CRA] Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, CRA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
• [EU-CER] Richtlinie (EU) 2022/2557 (CER-Richtlinie). Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2557/oj
• [EU-KMU] Empfehlung 2003/361/EG der Kommission (KMU-Definition), ABl. L 124 vom 20.5.2003, S. 36. Fundstelle: https://eur-lex.europa.eu/eli/reco/2003/361/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); Berichtigung ABl. L 74 vom 4.3.2021. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj (ergänzende Quelle, im Body nicht eigens verankert)

14.3 Rechtsprechung

In diesem Selbst-Check-Artikel werden keine Gerichtsentscheidungen als tragende Anker zitiert; die haftungs- und rechtsprechungsbezogene Vertiefung erfolgt in den Pflichten- und Haftungs-Artikeln des Korpus.

14.4 Behörden und amtliche Praxis

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Anleitung zu Registrierung und Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/

14.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

14.6 Prüfstatus und Quellenbasis

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

BSI-KritisV-Status nach KRITIS-DachG: Die BSI-KritisV ist weiterhin als geltende Verordnung auffindbar und wurde durch Art. 9 KRITIS-DachG geändert. § 66 BSIG ordnet eine Fortgeltung der bisherigen § 2 Nummer 22/24-Verweise bis zur Geltung der Rechtsverordnung nach KRITIS-DachG an; bis dahin wird bei KRITIS-Anlagen mit der fortgeltenden Schwellen- und Anlagenlogik gearbeitet. Eine abschließende Behördenpraxis bleibt zu beobachten.

15. CyberSchutzEngel-Hinweis

Plattes Group bietet im Rahmen des CyberSchutzEngel-Pakets einen geführten NIS-2-Selbst-Check für die Geschäftsleitung sowie eine begleitende Compliance-Architektur an.