CyberPediaWissen

Digitale NIS2-Diensteanbieter

Digitale NIS2-Diensteanbieter sind ein redaktioneller Sammelbegriff für Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke im NIS2-/BSIG-Kontext.

Erstveröffentlichung: 14. August 2026 · Letzte Aktualisierung: 14. August 2026
Lesezeit: 8 Min.

Was sind digitale NIS2-Diensteanbieter?

Digitale NIS2-Diensteanbieter sind ein redaktioneller Sammelbegriff für Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke im NIS2-/BSIG-Kontext.

Der Ausdruck selbst ist kein Legalbegriff. Das deutsche BSIG führt die drei Einrichtungsarten in Anlage 2 Nummer 6.1.1 bis 6.1.3. Ob ein konkreter Anbieter als wichtige Einrichtung gilt, entscheidet sich nicht allein nach seinem digitalen Geschäftsmodell, sondern nach sämtlichen Voraussetzungen des § 28 Absatz 2 Nummer 3 BSIG.

Der Normwortlaut

Normtext des § 28 Absatz 2 Nummer 3 und Satz 2 BSIG:

„Als wichtige Einrichtungen gelten […] sonstige natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten und die einer der in den Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen sind und
a) mindestens 50 Mitarbeiter beschäftigen oder
b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.
Besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung sind keine wichtigen Einrichtungen.“

§ 28 Absatz 2 Satz 2 BSIG nimmt besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung von der Kategorie der wichtigen Einrichtungen aus. Anlage 2 Nummer 6.1.1 bis 6.1.3 nennt als einschlägige Einrichtungsarten Anbieter von Online-Marktplätzen, Anbieter von Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke. Der zitierte Ausschnitt ist deshalb nur zusammen mit dieser Anlage und den Ausnahmen zu lesen.

Wann gilt ein Anbieter als wichtige Einrichtung?

Nach dem geltenden deutschen Tatbestand müssen die Voraussetzungen kumulativ vorliegen: Der Anbieter muss anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten, einer Einrichtungsart der Anlage 2 zuzuordnen sein und mindestens 50 Mitarbeiter beschäftigen oder sowohl einen Jahresumsatz von mehr als 10 Millionen Euro als auch eine Jahresbilanzsumme von mehr als 10 Millionen Euro aufweisen. Bei der finanziellen Alternative müssen also beide Werte überschritten sein.

Besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung fallen nicht zusätzlich in diese Kategorie. Nach § 28 Absatz 3 BSIG können vernachlässigbare Geschäftstätigkeiten bei der Zuordnung zu einer Einrichtungsart unberücksichtigt bleiben. Die Einstufung erfordert daher eine Prüfung des konkreten Dienstes und der gesamten Organisation.

Wie werden die drei Diensttypen abgegrenzt?

Für die fachliche Auslegung sind die drei Begriffe in Artikel 6 Nummern 28, 29 und 30 der Richtlinie (EU) 2022/2555 verankert. Für die Online-Suchmaschine verweist Artikel 6 Nummer 29 auf Artikel 2 Nummer 5 der Verordnung (EU) 2019/1150:

  • Online-Marktplatz: Ein Dienst unter Verwendung von Software – einschließlich einer Website, eines Teils einer Website oder einer Anwendung –, die von einem Gewerbetreibenden oder im Namen eines Gewerbetreibenden betrieben wird und Verbrauchern ermöglicht, Fernabsatzverträge mit anderen Gewerbetreibenden oder Verbrauchern abzuschließen. Preisvergleichsdienste und Online-Suchmaschinen sind nicht allein wegen ihrer Vergleichs- oder Suchfunktion Online-Marktplätze.
  • Online-Suchmaschine: Ein Dienst, mit dem Nutzer anhand einer Abfrage grundsätzlich auf allen Websites oder auf Websites in einer bestimmten Sprache suchen und Ergebnisse zu den angeforderten Inhalten erhalten können.
  • Plattform für Dienste sozialer Netzwerke: Eine Plattform, auf der Endnutzer miteinander in Kontakt treten, Inhalte teilen, andere Nutzer entdecken und über mehrere Geräte hinweg miteinander kommunizieren können, insbesondere mittels Chats, Beiträgen, Videos und Empfehlungen.

Die Begriffsmerkmale unterstützen die Auslegung. Für die deutsche Statusentscheidung bleiben jedoch § 28 BSIG und Anlage 2 maßgeblich. Eine Website, App, Cloud-Anwendung oder SaaS-Leistung erfüllt nicht automatisch einen der drei Diensttypen.

Wann ist das BSI für die Aufsicht zuständig?

Für einen in der Union niedergelassenen Anbieter dieser drei Arten ist das BSI nach § 60 Absatz 1 BSIG grundsätzlich nur zuständig, wenn sich seine Hauptniederlassung in der Europäischen Union in Deutschland befindet. Die Vorschrift geht insoweit der allgemeinen Zuständigkeit nach § 59 BSIG vor.

Besteht keine Niederlassung in der Union, muss ein Anbieter, der dort Dienste anbietet, nach Artikel 26 Absatz 3 der Richtlinie (EU) 2022/2555 einen Vertreter in der Union benennen. Für das BSI ist § 60 Absatz 1 BSIG dann maßgeblich: Es ist zuständig, wenn der Vertreter in Deutschland niedergelassen ist; fehlt entgegen der Pflicht ein Vertreter, wenn der Anbieter seine Dienste in Deutschland anbietet. Benennt ein solcher Anbieter keinen Vertreter, kann jeder Mitgliedstaat, in dem der Anbieter Dienste erbringt, wegen eines Verstoßes gegen die Richtlinie rechtliche Schritte gegen ihn einleiten. Die Benennung eines Vertreters lässt rechtliche Schritte gegen den Anbieter selbst unberührt.

Dieses Sonderregime regelt die Behördenzuständigkeit. Es ersetzt weder die materielle Dienst-, Entgelt- und Größenprüfung noch begründet die Darstellung eine darüber hinausgehende Aussage über die Behördenpraxis.

Welche Registrierungsfristen gelten?

Eine wichtige Einrichtung muss sich nach § 33 Absatz 1 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als wichtige Einrichtung gilt, beim BSI registrieren. Änderungen der Registrierungsangaben muss sie nach § 33 Absatz 5 BSIG unverzüglich, spätestens jedoch zwei Wochen nach Kenntnis der Änderung, übermitteln.

Artikel 23 der Richtlinie (EU) 2022/2555 enthält daneben unionsrechtliche Fristen für die Meldung erheblicher Sicherheitsvorfälle. Diese Richtlinienfristen werden hier nicht als unmittelbar geltende deutsche Betreiberfristen dargestellt; dafür ist die jeweils einschlägige BSIG-Meldevorschrift gesondert zu prüfen.

Welche technischen Kriterien sind relevant?

Für Anbieter dieser drei Arten, die als wesentliche oder wichtige Einrichtungen in den NIS2-Anwendungsbereich fallen, trennt die unmittelbar geltende Durchführungsverordnung (EU) 2024/2690 zwei Regelungsebenen. Artikel 2 verweist für die technischen und methodischen Anforderungen an Cybersicherheits-Risikomanagementmaßnahmen auf den Anhang. Diese Anforderungen sind dienst- und organisationsbezogen anhand des Anhangs zu prüfen.

Davon getrennt enthalten die Artikel 11, 12 und 13 die Kriterien erheblicher Sicherheitsvorfälle für Online-Marktplätze, Online-Suchmaschinen beziehungsweise Plattformen für Dienste sozialer Netzwerke. Bei jeder der drei Arten ist eine vollständige Nichtverfügbarkeit des Dienstes für mehr als 30 Minuten ein Kriterium. Eine eingeschränkte Verfügbarkeit für mehr als eine Stunde ist ein weiteres Kriterium, wenn mehr als 5 Prozent der Nutzer des Dienstes in der Union oder mehr als eine Million Nutzer betroffen sind; maßgeblich ist die niedrigere dieser beiden Zahlen.

Diese Nutzerschwelle ist keine Größenbedingung für den BSIG-Anwendungsbereich, sondern ein Kriterium zur Bewertung eines Sicherheitsvorfalls. Weitere Kriterien der jeweils einschlägigen Vorschrift bleiben zu prüfen.

Welche Pflichten hat die Geschäftsleitung?

Bei einer erfassten besonders wichtigen oder wichtigen Einrichtung sind Billigung und Überwachung der Cybersicherheits-Risikomanagementmaßnahmen keine freiwillige Empfehlung: § 30 Absatz 1 BSIG verpflichtet die Geschäftsleitung dazu. Nach § 30 Absatz 2 BSIG muss sie außerdem regelmäßig an Schulungen teilnehmen, die ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken vermitteln.

Diese gesetzlichen Pflichten setzen voraus, dass die Organisation tatsächlich unter § 28 BSIG fällt. Die nachfolgenden Schritte zur belastbaren Prüfung und Dokumentation sind redaktionelle Praxisempfehlungen und keine zusätzlichen gesetzlichen Tatbestände.

Häufige Fehlannahmen

  • „Jeder digitale Dienst fällt darunter.“ Nein. Erfasst sind hier nur die drei ausdrücklich genannten und funktional definierten Anbieterarten.
  • „Eine Listung in Anlage 2 genügt.“ Nein. Für § 28 Absatz 2 Nummer 3 BSIG müssen zusätzlich das entgeltliche Angebot und mindestens eine der beiden Größenalternativen erfüllt sein.
  • „Mehr als 10 Millionen Euro Umsatz reichen aus.“ Nein. Die finanzielle Alternative verlangt sowohl mehr als 10 Millionen Euro Jahresumsatz als auch mehr als 10 Millionen Euro Jahresbilanzsumme; alternativ genügen mindestens 50 Mitarbeiter.
  • „Die drei Anbieterarten sind besonders wichtige Einrichtungen.“ Nicht pauschal. Der hier behandelte Regeltatbestand ordnet sie den wichtigen Einrichtungen zu; wer bereits besonders wichtige Einrichtung ist, wird von dieser Kategorie ausgenommen.
  • „Eine deutsche Niederlassung macht das BSI stets zuständig.“ Nein. Bei einer EU-Niederlassung kommt es grundsätzlich auf die EU-Hauptniederlassung in Deutschland an. Ohne EU-Niederlassung sind der Vertreter und, falls er pflichtwidrig fehlt, das Angebot der Dienste in Deutschland zu prüfen.
  • „Die 5-Prozent- oder Eine-Million-Nutzer-Schwelle bestimmt den NIS2-Scope.“ Nein. Sie betrifft ein Kriterium für erhebliche Sicherheitsvorfälle nach der Durchführungsverordnung, nicht die Größenprüfung des § 28 BSIG.

Was die Geschäftsleitung tun sollte

  1. Jeden digitalen Dienst anhand seiner tatsächlichen Funktionen einer der drei Definitionen zuordnen oder die Nichtzuordnung begründen; bei einem möglichen Online-Marktplatz Software, Betreiberbezug und ermöglichten Vertragsschluss ausdrücklich dokumentieren.
  2. Entgeltlichkeit, Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme mit Stichtag und Berechnungsmethode festhalten sowie besonders wichtige Einrichtungen, Bundesverwaltung und vernachlässigbare Tätigkeiten gesondert prüfen.
  3. Feststellen, ob eine EU-Niederlassung besteht; danach EU-Hauptniederlassung oder bei fehlender EU-Niederlassung Vertreter und maßgebliche Angebotssituation bestimmen. Bei bestätigtem Status die Drei-Monats-Frist für die Registrierung und die Zwei-Wochen-Höchstfrist für bekannte Änderungen organisatorisch überwachen.
  4. Für jeden betroffenen Dienst die Risikomanagementanforderungen aus Artikel 2 in Verbindung mit dem Anhang der Durchführungsverordnung (EU) 2024/2690 in Maßnahmen und Nachweise übersetzen; davon getrennt die jeweils einschlägigen Vorfallkriterien der Artikel 11 bis 13 in Messgrößen und Meldeprozesse überführen.
  5. Nach bestätigter Einstufung die Billigung und Überwachung der Risikomanagementmaßnahmen sowie die regelmäßigen Schulungen der Geschäftsleitung gemäß § 30 BSIG nachweisbar organisieren.

Für die Geschäftsleitung

Die entscheidende Frage lautet nicht, ob das Unternehmen „irgendetwas Digitales“ anbietet. Zu klären ist, ob ein konkreter Dienst funktional Online-Marktplatz, Online-Suchmaschine oder Plattform für Dienste sozialer Netzwerke ist und ob Entgelt- und Größenbedingungen des § 28 BSIG erfüllt sind. Danach sind Ausnahmen, EU-Hauptniederlassung oder Vertreter, Registrierung sowie Risikomanagementanforderungen und Vorfallkriterien getrennt zu prüfen. Ein belastbarer Nachweis verbindet die dokumentierte Scope-Entscheidung mit aktuellen Kennzahlen, Zuständigkeit, Fristenkontrolle, technischen Maßnahmen sowie protokollierter Billigung, Überwachung und Schulung der Geschäftsleitung.

Quellen

Alle Menschen sind klug.
Die einen vorher, die anderen nachher.

PlattesGroup – auf Mallorca verankert, weltweit vernetzt

Unsere Kompetenzzentren

Wissen & Networking