Wichtige Einrichtung (§ 28 BSIG)

Kurzdefinition: Eine wichtige Einrichtung ist die zweite NIS-2-Kategorie des BSIG. § 28 Abs. 2 BSIG erfasst Vertrauensdiensteanbieter, bestimmte kleinere Anbieter öffentlicher Telekommunikation sowie sonstige Einrichtungen der Anlage-1- und Anlage-2-Sektoren oberhalb der mittleren Größenschwelle. Die materiellen Pflichten entsprechen weitgehend denen besonders wichtiger Einrichtungen; die Aufsicht ist jedoch reaktiv. [N-BSIG-28]

Der Normwortlaut

§ 28 Abs. 2 BSIG bestimmt, als wichtige Einrichtungen gelten unter anderem „Vertrauensdiensteanbieter“ sowie sonstige Einrichtungen der Anlage-1- und Anlage-2-Sektoren, die „mindestens 50 Mitarbeiter beschäftigen oder … einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen“. Ausgenommen sind besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung. [N-BSIG-28]

Was sind wichtige Einrichtungen?

Im Kern die mittelgroßen Unternehmen der regulierten Sektoren. § 28 Abs. 2 BSIG nennt Vertrauensdiensteanbieter, kleinere Anbieter öffentlicher Telekommunikation sowie sonstige Unternehmen der Anlage-1- und Anlage-2-Sektoren ab 50 Beschäftigten oder über 10 Millionen Euro Umsatz und Bilanzsumme. Wer die höheren Schwellen der besonders wichtigen Einrichtung erreicht, fällt aus der Kategorie heraus — die beiden Kategorien schließen sich aus. [N-BSIG-28]

Welche Pflichten haben wichtige Einrichtungen?

Im Wesentlichen dieselben materiellen Pflichten wie besonders wichtige Einrichtungen: die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflicht nach § 32 BSIG und die Geschäftsleitungspflichten nach § 38 BSIG — jeweils soweit keine Bereichs- oder Vorrangausnahme greift. Der Unterschied liegt in der Aufsicht: Wichtige Einrichtungen unterliegen der ex-post-Aufsicht nach § 62 BSIG — das Bundesamt wird grundsätzlich erst tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht erfüllt werden. [N-BSIG-28]

Worin unterscheidet sich die Aufsicht von der besonders wichtigen Einrichtung?

Besonders wichtige Einrichtungen unterliegen der proaktiven Aufsicht nach § 61 BSIG: Das Bundesamt kann Audits auch ohne konkreten Anlass anordnen. Bei wichtigen Einrichtungen greift § 62 BSIG erst, wenn Tatsachen die Annahme rechtfertigen, dass Verpflichtungen nicht oder nicht richtig umgesetzt werden. Die Pflichten sind vergleichbar, die Kontrolldichte ist es nicht. [N-BSIG-28]

Welche materiellen Pflichten treffen wichtige Einrichtungen?

Im Kern dieselben wie besonders wichtige Einrichtungen: die Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflicht nach § 32 BSIG und die Geschäftsleitungspflichten nach § 38 BSIG — jeweils soweit keine Bereichs- oder Vorrangausnahme greift. Der Unterschied liegt nicht in den Pflichten, sondern in der Aufsicht. [N-BSIG-28]

Was bedeutet die ex-post-Aufsicht konkret?

Dass das Bundesamt grundsätzlich erst tätig wird, wenn Tatsachen die Annahme rechtfertigen, dass Verpflichtungen nicht oder nicht richtig erfüllt werden (§ 62 BSIG). Anlasslose Audits wie bei besonders wichtigen Einrichtungen sind nicht vorgesehen. Die Pflicht besteht dennoch fort — nur die Kontrolle setzt später an. [N-BSIG-28]

Häufige Fehlannahmen

• „Wichtige Einrichtungen haben deutlich weniger Pflichten.“ Nein. Die materiellen Kernpflichten sind weitgehend gleich, solange keine Bereichs- oder Vorrangausnahme eingreift; der Unterschied liegt vor allem in der Aufsichtsintensität. [N-BSIG-28]
• „Wer unter 50 Beschäftigte hat, ist nie erfasst.“ Nicht zwingend. Die Umsatz- und Bilanzschwellen können ebenfalls die Einstufung auslösen, und für einzelne Einrichtungsarten gelten Sonderregeln. [N-BSIG-28]
• „Eine Einrichtung kann zugleich wichtig und besonders wichtig sein.“ Nein. § 28 Abs. 2 BSIG nimmt besonders wichtige Einrichtungen ausdrücklich aus. [N-BSIG-28]
• „Die Schwelle liegt bei 250 Beschäftigten.“ Nein. Für wichtige Einrichtungen genügen mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro (§ 28 BSIG). [N-BSIG-28]
• „Ob wichtig oder besonders wichtig, hängt allein an der Größe.“ Nein. Betreiber kritischer Anlagen und qualifizierte Vertrauensdiensteanbieter sind unabhängig von der Größe besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG). [N-BSIG-28]
• „Ohne proaktive Aufsicht drohen keine Konsequenzen.“ Nein. § 62 BSIG greift, sobald Anhaltspunkte für Pflichtverstöße bestehen. [N-BSIG-28]
• „Vertrauensdiensteanbieter sind stets wichtige Einrichtungen.“ Nicht zwingend. Qualifizierte Vertrauensdiensteanbieter sind besonders wichtige Einrichtungen nach § 28 Abs. 1 BSIG. [N-BSIG-28]

Was die Geschäftsleitung tun sollte

1. Sektor und Schwellen prüfen. Anlage 1 oder 2, Beschäftigte, Umsatz, Bilanzsumme.
2. Pflichten ernst nehmen. Weniger Aufsicht bedeutet nicht weniger Pflicht.
3. Für den Anlassfall gerüstet sein. § 62 BSIG greift, sobald Anhaltspunkte bestehen.
4. Einstufung dokumentieren. Auch die Einordnung als wichtige Einrichtung sollte begründet sein.

Für die Geschäftsleitung

Wichtige Einrichtung zu sein heißt: fast dieselben Pflichten, aber eine reaktive Aufsicht. Das ist kein Grund zur Entspannung — es verschiebt nur den Zeitpunkt, zu dem das Bundesamt hinschaut. Wer die Pflichten aus § 30, § 32 und § 38 BSIG erfüllt und dokumentiert, ist auf den Anlassfall des § 62 BSIG vorbereitet, statt von ihm überrascht zu werden.

Quellen

1. [N-BSIG-28] § 28 BSIG (Besonders wichtige Einrichtungen und wichtige Einrichtungen), Abs. 2. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__28.html