NIS-2-Sektoren (§ 28 BSIG)

Kurzdefinition: Die NIS-2-Sektoren bestimmen, welche Einrichtungen dem BSIG unterfallen. Nach § 28 BSIG hängt die Einordnung als besonders wichtige oder wichtige Einrichtung von der Zuordnung zu den in den Anlagen 1 und 2 bestimmten Einrichtungsarten ab. [N-BSIG-28]

Der Normwortlaut

§ 28 BSIG knüpft die Einordnung an die „in Anlage 1 bestimmten Einrichtungsarten“ und die in Anlage 2 bestimmten Einrichtungsarten sowie an Größen- und Schwellenkriterien. Absatz 1 regelt die besonders wichtigen, Absatz 2 die wichtigen Einrichtungen. [N-BSIG-28]

Welche Sektoren fallen unter NIS-2?

Die in den Anlagen 1 und 2 aufgeführten. Anlage 1 des BSIG benennt die Sektoren mit hoher Kritikalität — etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur und Weltraum. Anlage 2 nennt weitere kritische Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Die Zuordnung zu einer dieser Einrichtungsarten ist Ausgangspunkt der Einordnung. [N-BSIG-28]

Welche Schwellen gelten?

Größenklassen und Sonderfälle. § 28 BSIG unterscheidet danach, ob eine Einrichtung die Größenkriterien erreicht; besonders wichtige Einrichtungen sind typischerweise die größeren, wichtige Einrichtungen die mittleren Einrichtungen der erfassten Arten. Hinzu kommen Sonderfälle, etwa Betreiber kritischer Anlagen. Die genaue Einordnung folgt dem Zusammenspiel von Einrichtungsart und Schwellenwert. [N-BSIG-28] [N-BSIG-30]

Was folgt aus der Einordnung?

Die Pflichten des BSIG. Erst die Zuordnung nach § 28 BSIG entscheidet, ob eine Einrichtung die Risikomanagement-, Melde- und Registrierungspflichten trifft. Wer keiner erfassten Einrichtungsart zuzuordnen ist und die Schwellen nicht erreicht, fällt grundsätzlich nicht unter das Regime. Hinzu treten Bereichsausnahmen — etwa in § 28 Absatz 5 und Absatz 8 BSIG —, die im Einzelfall zu prüfen sind. [N-BSIG-28]

Was unterscheidet Anlage 1 von Anlage 2?

Die Kritikalität und die Folgeeinstufung. Anlage 1 benennt die Sektoren mit hoher Kritikalität, Anlage 2 die sonstigen kritischen Sektoren. Die Zuordnung steuert mit, ob eine Einrichtung als besonders wichtig oder als wichtig gilt — und damit die Aufsichtsintensität und den Bußgeldrahmen. [N-BSIG-28]

Genügt die Zugehörigkeit zu einem Sektor?

Nein. Erforderlich ist zusätzlich, dass die Größenschwelle erreicht wird oder ein Sonderfall — etwa der Betreiber einer kritischen Anlage — vorliegt. Erst das Zusammenspiel von Einrichtungsart und Schwellenwert entscheidet über die Betroffenheit. [N-BSIG-28]

Häufige Fehlannahmen

• „NIS-2 gilt für alle Unternehmen.“ Nein. Es kommt auf Einrichtungsart und Größenschwelle nach § 28 BSIG an. [N-BSIG-28]
• „Nur klassische KRITIS-Betreiber sind erfasst.“ Nein. Die Anlagen 1 und 2 reichen deutlich weiter. [N-BSIG-28]
• „Die Größe allein entscheidet.“ Nein. Erforderlich ist auch die Zuordnung zu einer Einrichtungsart. [N-BSIG-28]
• „Anlage 1 und Anlage 2 führen zu denselben Pflichten.“ Nein. Die Zuordnung zu den Sektoren hoher Kritikalität (Anlage 1) oder den sonstigen kritischen Sektoren (Anlage 2) steuert, ob eine Einrichtung als besonders wichtig oder als wichtig gilt, und damit Aufsicht und Bußgeldrahmen. [N-BSIG-28]
• „Nur die klassischen Versorgungssektoren sind erfasst.“ Nein. Erfasst sind über die Anlagen unter anderem auch Sektoren wie digitale Infrastruktur, verarbeitendes Gewerbe, Chemie und Lebensmittel. [N-BSIG-28]
• „Digitale Dienste fallen nicht unter NIS-2.“ Doch. Sie sind über die Anlagen 1 und 2 erfasst. [N-BSIG-28]
• „Bereichsausnahmen gibt es nicht.“ Doch. § 28 Absatz 5 und Absatz 8 BSIG enthalten Bereichsausnahmen. [N-BSIG-28]

Was die Geschäftsleitung tun sollte

1. Einrichtungsart prüfen. Zuordnung zu Anlage 1 oder 2 klären.
2. Schwellen bestimmen. Größenklasse und Sonderfälle bewerten.
3. Betroffenheit feststellen. Einordnung als besonders wichtige oder wichtige Einrichtung dokumentieren.
4. Pflichten ableiten. Bei Betroffenheit Risikomanagement, Meldung und Registrierung aufsetzen.

Für die Geschäftsleitung

Die NIS-2-Sektoren sind die Eingangsfrage des BSIG: Erst die Zuordnung zu einer Einrichtungsart der Anlagen 1 oder 2 und das Erreichen der Schwellen entscheiden über die Betroffenheit. Für die Geschäftsleitung ist die saubere Einordnung der erste Schritt — sie bestimmt, ob und welche Pflichten überhaupt greifen.

Quellen

1. [N-BSIG-28] § 28 BSIG (Besonders wichtige und wichtige Einrichtungen), Abs. 1 und 2, mit Anlagen 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__28.html

1. [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen). Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html