Kurzdefinition: Eine besonders wichtige Einrichtung ist die höchste der beiden NIS-2-Kategorien des BSIG. § 28 Abs. 1 BSIG zählt sie abschließend auf: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter sowie große Unternehmen der Anlage-1-Sektoren oberhalb bestimmter Größenschwellen. An die Einstufung knüpfen die strengsten Pflichten und die proaktive Aufsicht. [N-BSIG-28]
Der Normwortlaut
§ 28 Abs. 1 BSIG bestimmt, als besonders wichtige Einrichtung gelten unter anderem „Betreiber kritischer Anlagen“, „qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter“ sowie — bei den Anlage-1-Sektoren — Einrichtungen, die „mindestens 250 Mitarbeiter beschäftigen oder … einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen“. [N-BSIG-28]
Welche Unternehmen sind besonders wichtige Einrichtungen?
Vier Gruppen nennt § 28 Abs. 1 BSIG. Erstens die Betreiber kritischer Anlagen. Zweitens qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter. Drittens Anbieter öffentlicher Telekommunikation ab 50 Beschäftigten oder mit jeweils über 10 Millionen Euro Umsatz und Bilanzsumme. Viertens sonstige Unternehmen eines Anlage-1-Sektors, die mindestens 250 Beschäftigte haben oder über 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme aufweisen. [N-BSIG-28]
Worin liegt der Unterschied zur wichtigen Einrichtung?
In der Größe und im Sektor. Vereinfacht: Große Unternehmen der Anlage-1-Sektoren sind besonders wichtige, mittlere Unternehmen sind wichtige Einrichtungen. Der Unterschied entscheidet über die Intensität der Aufsicht — besonders wichtige Einrichtungen unterliegen der proaktiven Aufsicht nach § 61 BSIG, wichtige Einrichtungen der ex-post-Aufsicht nach § 62 BSIG. Die materiellen Pflichten aus § 30, § 32 und § 38 BSIG treffen grundsätzlich beide, soweit keine Bereichs- oder Vorrangausnahme aus § 28 Abs. 5 bis 7 BSIG eingreift. [N-BSIG-28]
Gibt es Ausnahmen von der Einstufung?
Ja. § 28 Abs. 5 BSIG nimmt bestimmte Telekommunikations- und Energie-Anbieter von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 aus, soweit die dort genannten Voraussetzungen vorliegen. § 28 Abs. 6 BSIG regelt den Vorrang anderer Aufsichtsregime, etwa für Finanzunternehmen unter DORA. Die Einstufung als besonders wichtige Einrichtung bedeutet also nicht automatisch, dass alle Pflichten gelten. [N-BSIG-28]
Was bedeutet die proaktive Aufsicht?
Kontrolle ohne konkreten Anlass. Besonders wichtige Einrichtungen unterliegen der Aufsicht nach § 61 BSIG: Das Bundesamt kann Audits und Prüfungen auch ohne konkreten Anlass anordnen. Das ist der wesentliche Unterschied zur ex-post-Aufsicht über wichtige Einrichtungen nach § 62 BSIG. [N-BSIG-28]
Welche Rolle spielt § 28 Abs. 6 BSIG?
Er regelt den Vorrang anderer Aufsichtsregime. So können etwa Finanzunternehmen vorrangig dem DORA-Regime unterliegen. Die Einstufung als besonders wichtige Einrichtung bedeutet deshalb nicht automatisch, dass alle Pflichten des BSIG gelten — die Vorrang- und Bereichsausnahmen sind gesondert zu prüfen. [N-BSIG-28]
Häufige Fehlannahmen
- „Wer groß ist, ist automatisch besonders wichtige Einrichtung.“ Nein. Es kommt zusätzlich auf die Zugehörigkeit zu einem der Anlage-1-Sektoren an. [N-BSIG-28]
- „Die Größenschwelle ist beliebig.“ Nein. Für sonstige Anlage-1-Einrichtungen gilt: mindestens 250 Mitarbeiter oder ein Jahresumsatz von über 50 Millionen Euro und zugleich eine Jahresbilanzsumme von über 43 Millionen Euro. [N-BSIG-28]
- „Betreiber kritischer Anlagen müssen erst eine bestimmte Größe erreichen.“ Nein. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe besonders wichtige Einrichtungen. [N-BSIG-28]
- „Die Kategorie entscheidet über die Pflichten.“ Nur teilweise. Die materiellen Kernpflichten treffen beide Kategorien grundsätzlich; Bereichs- und Vorrangausnahmen bleiben gesondert zu prüfen. Die Kategorie steuert vor allem die Aufsichtsintensität. [N-BSIG-28]
- „Für besonders wichtige Einrichtungen gelten immer alle Paragrafen.“ Nein. § 28 Abs. 5 und 6 BSIG enthalten Bereichs- und Vorrangausnahmen. [N-BSIG-28]
- „Die proaktive Aufsicht braucht immer einen Anlass.“ Nein. Nach § 61 BSIG kann das Bundesamt Audits auch ohne konkreten Anlass anordnen. [N-BSIG-28]
- „Finanzunternehmen unterliegen zusätzlich stets vollständig dem BSIG.“ Nicht unbedingt. § 28 Abs. 6 BSIG regelt den Vorrang anderer Aufsichtsregime. [N-BSIG-28]
Was die Geschäftsleitung tun sollte
- Sektor prüfen. Gehört das Unternehmen zu einem Anlage-1-Sektor?
- Schwellen berechnen. Beschäftigtenzahl, Umsatz und Bilanzsumme sauber ermitteln.
- Ausnahmen prüfen. § 28 Abs. 5 und 6 BSIG können Pflichten verschieben.
- Einstufung dokumentieren. Die Selbsteinordnung sollte nachvollziehbar begründet sein.
Für die Geschäftsleitung
Die Einstufung als besonders wichtige Einrichtung ist der Eingang in das strengste NIS-2-Regime — mit proaktiver Aufsicht. Sie folgt aus Sektor und Größe, nicht aus dem Bauchgefühl. Und sie ist nicht das Ende der Prüfung: Die Bereichs- und Vorrangausnahmen des § 28 Abs. 5 und 6 BSIG können einzelne Pflichten wieder herausnehmen. Wer Sektor, Schwellen und Ausnahmen sauber prüft und dokumentiert, hat die Grundlage für alles Weitere.
Quellen
- [N-BSIG-28] § 28 BSIG (Besonders wichtige Einrichtungen und wichtige Einrichtungen), Abs. 1, Abs. 5 und Abs. 6. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__28.html
