Nach NIS2 ist eine Einrichtung vor allem dann wesentlich, wenn sie in einem Sektor aus Anhang I tätig ist und die Schwellenwerte für mittlere Unternehmen überschreitet: 250 oder mehr Beschäftigte oder ein Jahresumsatz über 50 Mio. EUR und eine Jahresbilanzsumme über 43 Mio. EUR. Jede erfasste Einrichtung aus Anhang I oder II, die nicht wesentlich ist, ist wichtig. Beide haben dieselben Pflichten; unterschiedlich sind Aufsicht, Durchsetzung und Höchstbußgeld.
Dieser Leitfaden behandelt die Einstufung, die größenunabhängig wesentlichen Einrichtungen, die gemeinsamen Pflichten, die Aufsicht, die Durchsetzung, die Bußgelder, die Listen der Einrichtungen, die Schulung der Geschäftsleitung, Änderungen der Einstufung und eine Checkliste.
| Wesentliche Einrichtung | Wichtige Einrichtung | |
|---|---|---|
| Wer (Artikel 3) | Anhang I oberhalb der Schwellenwerte für mittlere Unternehmen, dazu die Kategorien aus Artikel 3 Absatz 1 | Jede andere erfasste Einrichtung aus Anhang I oder II |
| Pflichten und Schulung der Leitungsorgane (Art. 20) | Ja | Gleich |
| Risikomanagementmaßnahmen (Art. 21) | Zehn Mindestmaßnahmen | Gleich |
| Meldung von Sicherheitsvorfällen (Art. 23) | 24 Stunden, 72 Stunden, ein Monat | Gleich |
| Aufsicht | Ohne Anlass: Kontrollen, Stichprobenkontrollen, regelmäßige, gezielte und Ad-hoc-Audits (Art. 32) | Bei Nachweisen, Hinweisen oder Informationen über Verstöße: gezielte Audits, keine regelmäßigen oder Ad-hoc-Audits (Art. 33) |
| Überwachungsbeauftragter, Aussetzung der Genehmigung, vorübergehendes Verbot von Leitungsaufgaben | Möglich (Art. 32 Abs. 4 Buchst. g und Abs. 5) | Nicht vorgesehen |
| Haftung der gesetzlichen Vertreter | Art. 32 Abs. 6 | Gleich, über Art. 33 Abs. 5 |
| Höchstbußgeld (Art. 34) | Mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes | Mindestens 7 Mio. EUR oder 1,4 % |
Wie stuft NIS2 wesentliche und wichtige Einrichtungen ein?
Drei Prüfschritte in dieser Reihenfolge: Sektor, Größe, besondere Kategorien. Einzelheiten zum Anwendungsbereich enthält der Leitfaden zu Anwendungsbereich und Anwendbarkeit von NIS2.
Sektor. Anhang I nennt 11 Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum. Anhang II nennt 7 sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung.
Größe. Die Größe richtet sich nach der Empfehlung 2003/361/EG der Kommission. Ein mittleres Unternehmen hat weniger als 250 Beschäftigte und einen Jahresumsatz von höchstens 50 Mio. EUR und/oder eine Jahresbilanzsumme von höchstens 43 Mio. EUR. Sie überschreiten diese Schwellenwerte mit 250 oder mehr Beschäftigten oder wenn Umsatz und Bilanzsumme beide über ihrer Grenze liegen. Beschäftigte werden in Jahresarbeitseinheiten gezählt, und die Daten von Partner- und verbundenen Unternehmen werden zusammengerechnet. Kleinere Unternehmen behandelt NIS2 für KMU.
Für Gruppen erlaubt Erwägungsgrund 16 den Mitgliedstaaten, bei der Zusammenrechnung zu berücksichtigen, wie unabhängig eine Einrichtung bei ihren Systemen und Diensten von ihrer Gruppe ist. Artikel 2 Absatz 1 setzt die 25-%-Regel der Empfehlung zur öffentlichen Kontrolle außer Kraft, sodass öffentliches Eigentum allein einen Versorger nicht zu einem großen Unternehmen macht.
NIS2-EINSTUFUNGSPRÜFUNG (Richtlinie (EU) 2022/2555, Art. 2 und 3)
1. Sektor Welche Dienste passen zu einem Sektor und Teilsektor
aus Anhang I oder II? Keiner -> nicht erfasst, außer
CER, Registrierung von Domänennamen oder nationale
Erweiterung (Art. 2 Abs. 3, 4 und 5).
2. Größe Beschäftigte (Jahresarbeitseinheiten), Umsatz,
Bilanzsumme, einschließlich Partner- und verbundener
Unternehmen.
3. Kategorien Qualifizierter Vertrauensdiensteanbieter, TLD-Register,
DNS-Anbieter, öffentliches elektronisches
Kommunikationsnetz oder öffentlich zugänglicher Dienst,
Zentralregierung, kritische Einrichtung (CER), vom
Mitgliedstaat eingestuft?
4. Ergebnis Anhang I + über mittleren Schwellenwerten ..... wesentlich
Anhang I + mittleres Unternehmen .............. wichtig *
Anhang II + mittleres Unternehmen oder größer . wichtig *
Klein- oder Kleinstunternehmen ................ nicht erfasst *
* sofern Schritt 3 nicht zutrifft
5. Nachweis Datum, Zahlen, Quellen, wer entschieden hat.Welche Einrichtungen sind unabhängig von ihrer Größe wesentlich?
Artikel 3 Absatz 1 ergänzt die Größenregel für Anhang I um diese Kategorien:
- qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, unabhängig von ihrer Größe;
- Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, die mittlere Unternehmen sind (große sind bereits nach Anhang I wesentlich);
- Einrichtungen der öffentlichen Verwaltung der Zentralregierung;
- Einrichtungen, die ein Mitgliedstaat nach Artikel 2 Absatz 2 Buchstaben b bis e als wesentlich einstuft: einzige Anbieter eines wesentlichen Dienstes oder Einrichtungen, deren Störung die öffentliche Sicherheit, die öffentliche Ordnung oder die öffentliche Gesundheit erheblich beeinträchtigen oder ein systemisches Risiko verursachen könnte, oder die auf nationaler oder regionaler Ebene kritisch sind;
- kritische Einrichtungen nach der CER-Richtlinie (EU) 2022/2557;
- sofern der Mitgliedstaat dies vorsieht, Betreiber wesentlicher Dienste, die vor dem 16. Januar 2023 nach NIS1 ermittelt wurden.
Ein Mitgliedstaat kann eine solche Einrichtung auch als wichtig einstufen (Artikel 3 Absatz 2). Keine Umsatzschwelle macht eine Einrichtung aus Anhang II, etwa einen Online-Marktplatz oder einen Maschinenhersteller, zu einer wesentlichen Einrichtung.
Haben wesentliche und wichtige Einrichtungen unterschiedliche Pflichten?
Nein. Für beide gelten dieselben Artikel:
- Artikel 20: Das Leitungsorgan billigt die Maßnahmen nach Artikel 21, überwacht ihre Umsetzung und kann für Verstöße gegen Artikel 21 verantwortlich gemacht werden.
- Artikel 21: dieselben zehn Mindestmaßnahmen des Risikomanagements.
- Artikel 23: Frühwarnung innerhalb von 24 Stunden, nachdem die Einrichtung von einem erheblichen Sicherheitsvorfall Kenntnis erlangt hat, Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
- Artikel 3 Absatz 4: dieselben Registrierungsangaben.
Die Größe zeigt sich in der Tiefe der Maßnahmen, nicht in der Liste: Nach Artikel 21 Absatz 1 müssen sie in einem angemessenen Verhältnis zur Risikoexposition, zur Größe sowie zur Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen stehen.
Wie unterscheidet sich die Aufsicht?
Wesentliche Einrichtungen: Artikel 32
Die Behörden müssen befugt sein, bei wesentlichen Einrichtungen mindestens Folgendes einzusetzen: Kontrollen und externe Aufsichtsmaßnahmen, einschließlich Stichprobenkontrollen; regelmäßige, gezielte und Ad-hoc-Sicherheitsaudits; Sicherheitsscans; Auskunftsersuchen, auch zu dokumentierten Konzepten; Zugang zu Daten; und die Anforderung von Nachweisen der Umsetzung, etwa der Ergebnisse von Sicherheitsaudits durch einen qualifizierten Prüfer und der zugrunde liegenden Nachweise.
Ein Anlass ist nicht erforderlich, aber die Richtlinie verleiht Befugnisse, keinen Zeitplan: Artikel 31 Absatz 2 erlaubt den Mitgliedstaaten eine risikobasierte Priorisierung.
Wichtige Einrichtungen: Artikel 33
Die Behörden werden tätig, wenn ihnen Nachweise, Hinweise oder Informationen vorliegen, wonach eine wichtige Einrichtung ihre Pflichten mutmaßlich nicht einhält, und zwar erforderlichenfalls im Rahmen nachträglicher Aufsichtsmaßnahmen (Ex-post-Aufsicht). In der Praxis ist der Auslöser oft ein gemeldeter Sicherheitsvorfall oder eine Beschwerde. Die Befugnisse sind enger: Kontrollen, gezielte Audits, Sicherheitsscans und dieselben Auskunfts- und Nachweisersuchen, aber keine Stichprobenkontrollen, regelmäßigen Audits oder Ad-hoc-Audits.
In beiden Regelungen trägt die geprüfte Einrichtung die Kosten eines gezielten Audits durch eine unabhängige Stelle, sofern die Behörde in hinreichend begründeten Fällen nichts anderes entscheidet.
Welche Durchsetzungsbefugnisse gelten nur für wesentliche Einrichtungen?
Die meisten gelten für beide (Artikel 32 Absatz 4 und Artikel 33 Absatz 4): Warnungen, verbindliche Anweisungen, Anordnungen, Artikel 21 und 23 einzuhalten, Kunden über eine erhebliche Cyberbedrohung zu informieren, Auditempfehlungen umzusetzen oder Verstöße öffentlich bekannt zu machen, sowie Geldbußen.
Zwei gibt es nur für wesentliche Einrichtungen:
- Ein Überwachungsbeauftragter (Artikel 32 Absatz 4 Buchstabe g), der für einen bestimmten Zeitraum benannt wird, um die Einhaltung der Artikel 21 und 23 zu überwachen.
- Artikel 32 Absatz 5. Bleiben diese Maßnahmen wirkungslos und verstreicht eine Frist, kann die Behörde eine Zertifizierung oder Genehmigung für die Dienste vorübergehend aussetzen und ein Gericht oder eine zuständige Stelle ersuchen, einer Person auf Ebene der Geschäftsführung oder des gesetzlichen Vertreters die Wahrnehmung von Leitungsaufgaben vorübergehend zu untersagen. Beides gilt nur, bis die Einrichtung Abhilfe schafft, und keine der beiden Maßnahmen gilt für die öffentliche Verwaltung.
Die persönliche Haftung gilt für beide: Nach Artikel 32 Absatz 6, der über Artikel 33 Absatz 5 auf wichtige Einrichtungen anwendbar ist, können Personen, die die Einrichtung vertreten, für sie entscheiden oder sie kontrollieren, dafür haftbar gemacht werden, dass sie die Einhaltung nicht sicherstellen. Mehr dazu in Verantwortung der Leitung unter NIS2.
Wie hoch sind die Höchstbußgelder für wesentliche und wichtige Einrichtungen?
Für Verstöße gegen Artikel 21 oder 23 verlangt Artikel 34, dass das nationale Recht Höchstbußgelder von mindestens folgender Höhe festlegt:
- wesentliche Einrichtungen: 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist;
- wichtige Einrichtungen: 7 Mio. EUR oder 1,4 %, je nachdem, welcher Betrag höher ist.
Das nationale Recht kann darüber hinausgehen. Maßgeblich ist der Umsatz des Unternehmens, dem die Einrichtung angehört, was die Gruppe bedeuten kann. Eine höhere Stufe gibt es nicht: 20 Mio. EUR oder 4 % ist die Obergrenze der DSGVO. Ein DSGVO-Bußgeld für dasselbe Verhalten schließt ein NIS2-Bußgeld aus (Artikel 35). Sanktionen für andere Verstöße, etwa eine verspätete Registrierung, werden national festgelegt (Artikel 36). Einzelheiten in NIS2-Geldbußen.
Wie erstellen die Mitgliedstaaten die Liste der wesentlichen und wichtigen Einrichtungen?
Nach Artikel 3 Absatz 3 musste jeder Mitgliedstaat bis zum 17. April 2025 eine Liste der wesentlichen und wichtigen Einrichtungen erstellen und muss sie mindestens alle zwei Jahre überprüfen. Dafür verpflichtet Artikel 3 Absatz 4 die Einrichtungen, mindestens Folgendes zu übermitteln:
- ihren Namen;
- ihre Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adressen, IP-Adressbereichen und Telefonnummern;
- gegebenenfalls ihren Sektor und Teilsektor;
- gegebenenfalls die Mitgliedstaaten, in denen sie Dienste im Anwendungsbereich erbringen.
Änderungen sind innerhalb von zwei Wochen zu melden. Die Mitgliedstaaten können eine Selbstregistrierung einrichten.
Artikel 3 verpflichtet die Behörde nicht, Ihnen Ihre Kategorie mitzuteilen. Warten Sie also nicht auf einen Brief, sondern suchen Sie den Registrierungskanal Ihrer Behörde. Der NIS2-Anwendungsbereichsprüfer gibt eine erste Antwort zum Anwendungsbereich. Die Einstufung gilt über das nationale Recht, und am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie keine Maßnahmen zur Umsetzung von NIS2 mitgeteilt hatten.
Ich bin eine wesentliche Einrichtung: Welche Schulung ist für meine Geschäftsleitung Pflicht?
Artikel 20 Absatz 2 verpflichtet die Mitglieder der Leitungsorgane zur Teilnahme an Schulungen, und für wichtige Einrichtungen gilt dieselbe Regel. Ziel sind ausreichende Kenntnisse und Fähigkeiten, um Risiken zu erkennen und Risikomanagementpraktiken im Bereich der Cybersicherheit sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu bewerten.
NIS2 legt weder Lehrplan noch Stundenzahl noch Häufigkeit fest; das nationale Recht kann dies tun. Den Einrichtungen wird nahegelegt, ihren Beschäftigten ähnliche Schulungen anzubieten. In der Praxis lassen sich Schulungen, die auf Ihrem eigenen Risikoregister und Ihrem Plan für Sicherheitsvorfälle aufbauen und deren Teilnahme dokumentiert ist, besser verteidigen als ein allgemeiner Kurs. Mehr dazu in NIS2-Schulungspflichten für Leitung und Beschäftigte.
Kann sich Ihre Einstufung ändern?
Ja, auf vier Wegen.
- Wachstum. Eine Einrichtung aus Anhang I, die die Schwellenwerte für mittlere Unternehmen überschreitet, wird wesentlich. Nach der Empfehlung ändert sich der Größenstatus erst, wenn ein Schwellenwert in zwei aufeinanderfolgenden Geschäftsjahren überschritten wird; prüfen Sie, wie Ihre Behörde dies anwendet.
- Neue Dienste. Kommt eine Tätigkeit aus Anhang I hinzu, etwa verwaltete Dienste für Geschäftskunden, kann ein Unternehmen aus Anhang II unter Anhang I fallen.
- Nationale Einstufung nach Artikel 2 Absatz 2, wobei die Listen mindestens alle zwei Jahre überprüft werden.
- Das Recht. Der Vorschlag COM(2026) 13 vom 20. Januar 2026 würde kleine Unternehmen mittlerer Kapitalisierung (Small Mid-Caps) aus Anhang I (weniger als 750 Beschäftigte, Umsatz bis 150 Mio. EUR oder Bilanzsumme bis 129 Mio. EUR) grundsätzlich zu wichtigen Einrichtungen machen. Es handelt sich um einen Vorschlag, der im September 2026 noch nicht angenommen ist.
Was die Kategorie offenlässt
Die Kategorie entscheidet, wann die Behörde fragen kann, nicht, was sie verlangt: Die Artikel 32 und 33 geben dieselben Befugnisse zur Anforderung von Nachweisen. Eine wichtige Einrichtung wird meist gefragt, nachdem etwas schiefgegangen ist, also in der denkbar schlechtesten Woche, um Aufzeichnungen aus zwei Jahren zusammenzustellen.
Die Kategorie wird auch nicht entlang der Lieferkette weitergegeben. Ein Zulieferer wesentlicher Einrichtungen wird von seinen Kunden nach Artikel 21 Absatz 2 Buchstabe d und Absatz 3 bewertet, unabhängig von seiner eigenen Kategorie.
Sinnvoll ist es, Nachweise so aufzubauen, als wären Sie eine wesentliche Einrichtung: Abdeckung der Multi-Faktor-Authentifizierung, Patch-Zeiten, Wiederherstellungstests und Freigaben der Leitung, laufend aus den Systemen erhoben, in denen sie liegen, wobei ein Mensch die Ausnahmen prüft. So arbeitet die CloudSoul-Plattform, und das Gesamtprogramm finden Sie auf der NIS2-Compliance-Seite.
NIS2-Checkliste zur Einstufung
- Ordnen Sie jeden Dienst einem Sektor und Teilsektor aus Anhang I oder II zu.
- Berechnen Sie die Größe nach der Empfehlung 2003/361/EG, einschließlich Partner- und verbundener Unternehmen.
- Prüfen Sie die größenunabhängigen Kategorien und eine etwaige Einstufung nach der CER-Richtlinie oder durch den Mitgliedstaat.
- Registrieren Sie sich bei Ihrer zuständigen Behörde und melden Sie Änderungen innerhalb von zwei Wochen.
- Dokumentieren Sie die Billigung der Maßnahmen nach Artikel 21 durch das Leitungsorgan und die Schulung seiner Mitglieder.
- Testen Sie die Meldung von Sicherheitsvorfällen anhand der Fristen von 24 und 72 Stunden.
- Halten Sie Auditergebnisse und die zugrunde liegenden Nachweise für ein Auskunftsersuchen bereit.
- Wiederholen Sie die Einstufung nach jedem Geschäftsjahresabschluss und wenn Sie Dienste hinzufügen.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23, 31, 32, 33, 34, 35 und 36, Erwägungsgründe 15 und 16, Anhänge I und II, EUR-Lex. Artikeltext: Artikel 3, Artikel 32, Artikel 33, Artikel 34.
- Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, Anhang, Artikel 2 bis 6, EUR-Lex.
- Empfehlung (EU) 2025/1099 der Kommission zur Definition kleiner Unternehmen mittlerer Kapitalisierung, EUR-Lex.
- Vorschlag COM(2026) 13 zur Änderung der Richtlinie (EU) 2022/2555, 20. Januar 2026, Europäische Kommission.
- Kommission verklagt Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof, 8. Juli 2026, Europäische Kommission.
Häufige Fragen
Was ist eine wesentliche Einrichtung nach NIS2?
Vor allem eine Einrichtung in einem Sektor aus Anhang I, die die EU-Schwellenwerte für mittlere Unternehmen überschreitet: 250 oder mehr Beschäftigte oder ein Jahresumsatz über 50 Mio. EUR und eine Jahresbilanzsumme über 43 Mio. EUR. Qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung der Zentralregierung, kritische Einrichtungen nach der CER-Richtlinie und Einrichtungen, die ein Mitgliedstaat als wesentlich einstuft, sind ebenfalls wesentliche Einrichtungen.
Worin unterscheiden sich wesentliche und wichtige Einrichtungen nach NIS2?
Die Pflichten sind dieselben: Aufgaben der Leitungsorgane, die Maßnahmen nach Artikel 21 und die Meldung von Sicherheitsvorfällen nach Artikel 23. Wesentliche Einrichtungen können ohne jeden Anlass beaufsichtigt werden, auch durch regelmäßige und Ad-hoc-Audits, während wichtige Einrichtungen beaufsichtigt werden, wenn Nachweise, Hinweise oder Informationen über einen Verstoß vorliegen. Die Höchstbußgelder betragen mindestens 10 Mio. EUR oder 2 % des Umsatzes bei wesentlichen Einrichtungen und 7 Mio. EUR oder 1,4 % bei wichtigen.
Kann ein Unternehmen aus Anhang II eine wesentliche Einrichtung sein?
Nur wenn sein Mitgliedstaat es nach Artikel 2 Absatz 2 Buchstaben b bis e als wesentlich einstuft, wenn es nach der CER-Richtlinie als kritische Einrichtung bestimmt ist oder wenn es vor dem 16. Januar 2023 als Betreiber wesentlicher Dienste ermittelt wurde und sein Mitgliedstaat vorsieht, dass solche Betreiber wesentliche Einrichtungen sind. Andernfalls ist eine Einrichtung aus Anhang II wichtig, ganz gleich, wie groß sie ist.
Teilt mir die Behörde mit, ob ich eine wesentliche oder wichtige Einrichtung bin?
Artikel 3 verpflichtet sie nicht dazu. Die Mitgliedstaaten mussten bis zum 17. April 2025 eine Liste der Einrichtungen erstellen, und die Einrichtungen müssen der Behörde ihre Angaben übermitteln. Wo es ein nationales Verfahren zur Selbstregistrierung gibt, liegt der erste Schritt bei Ihnen.
Welche Schulung ist für die Geschäftsleitung einer wesentlichen Einrichtung Pflicht?
Artikel 20 Absatz 2 verpflichtet die Mitglieder der Leitungsorgane zur Teilnahme an Cybersicherheitsschulungen, und für wichtige Einrichtungen gilt dieselbe Regel. NIS2 legt weder Inhalt noch Dauer noch Häufigkeit fest. Das nationale Recht kann dies näher regeln.
