NIS2: betroffen oder nicht? Die Schwellenwerte ohne Beratersprech

TL;DR

1. Zwei Klassen, zwei Schwellen: besonders wichtige Einrichtung ab 250 Mitarbeitern oder bei über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme, wichtige Einrichtung ab 50 Mitarbeitern oder bei jeweils über 10 Mio. Euro Umsatz und Bilanzsumme (§ 28 BSIG).
2. Die Schwelle allein entscheidet nichts. Sie müssen zusätzlich einer Einrichtungsart aus Anlage 1 oder Anlage 2 zuzuordnen sein.
3. Der Fall, der die meisten trifft, steht nicht in § 28: Sie fallen selbst nicht darunter, bekommen die Anforderungen aber über die Verträge Ihrer Kunden durchgereicht. Rechtsgrundlage beim Kunden ist § 30 Absatz 2 Satz 2 Nummer 4 BSIG.
4. Managed Service Provider und Managed Security Service Provider sind in Anlage 1 BSIG selbst gelistet (Nummern 6.1.10 und 6.1.11). Wer seinen Kubernetes-Betrieb auslagert, lagert die Betroffenheitsfrage nicht mit aus.
5. Die gesetzliche Registrierungsfrist ist abgelaufen — das BSI schreibt das auf seiner Themenseite selbst. Der Registrierungsverstoß ist mit bis zu 500.000 Euro bewehrt, nicht mit den überall zitierten 10 Millionen.

Die zwei Klassen und ihre exakten Schwellen

Das NIS2-Umsetzungsgesetz hat das BSI-Gesetz neu gefasst. Maßgeblich für die Betroffenheit ist § 28 BSIG. Er kennt zwei Klassen mit unterschiedlichen Pflichten und unterschiedlicher Aufsichtsintensität.

Besonders wichtige Einrichtung ist nach § 28 Absatz 1 Satz 1 Nummer 4, wer einer Einrichtungsart der Anlage 1 zuzuordnen ist, anderen entgeltlich Waren oder Dienstleistungen anbietet und

• mindestens 250 Mitarbeiter beschäftigt oder
• einen Jahresumsatz von über 50 Mio. Euro und zudem eine Jahresbilanzsumme von über 43 Mio. Euro aufweist.

Wichtige Einrichtung ist nach § 28 Absatz 2 Satz 1 Nummer 3, wer einer Einrichtungsart der Anlage 1 oder Anlage 2 zuzuordnen ist, entgeltlich anbietet und

• mindestens 50 Mitarbeiter beschäftigt oder
• einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist.

Auf die Konjunktionen kommt es an. Beim Personal steht ein Oder, bei den Finanzkennzahlen ein Und. Ein Maschinenbauer mit 65 Beschäftigten und 9 Mio. Euro Umsatz ist wichtige Einrichtung — die Mitarbeiterzahl allein genügt. Ein Softwarehaus mit 30 Beschäftigten, 14 Mio. Euro Umsatz und 3 Mio. Euro Bilanzsumme ist es nicht, weil die Bilanzsumme unter 10 Mio. liegt.

Vier Einrichtungstypen sind unabhängig von jeder Größe besonders wichtig: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter (§ 28 Absatz 1 Satz 1 Nummern 1 und 2). Für Telekommunikationsanbieter gilt eine eigene, niedrigere Schwelle.

Der Rechenfehler, der die meisten Selbsteinschätzungen kippt

§ 28 Absatz 4 BSIG verweist für die Berechnung von Mitarbeiterzahl, Umsatz und Bilanzsumme auf die KMU-Empfehlung 2003/361/EG, mit Ausnahme von Artikel 3 Absatz 4 des Anhangs. Nach Artikel 6 des Anhangs werden die Daten von Partnerunternehmen ab 25 Prozent Beteiligung anteilig und die Daten verbundener Unternehmen zu 100 Prozent hinzugerechnet.

Praktisch heißt das: Die deutsche Tochter mit 40 Leuten rechnet nicht mit 40 Leuten. Sie rechnet mit dem Konzern.

Es gibt eine Gegenausnahme, und sie ist eng: Nach § 28 Absatz 4 Satz 2 BSIG bleiben die Daten von Partner- oder verbundenen Unternehmen außen vor, wenn das Unternehmen "mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig" ist. Wer Active Directory, Netzwerk und Cluster aus der Konzernzentrale bezieht, ist das nicht. Wer eigenständig betreibt, kann es sein — und sollte diese Einschätzung schriftlich begründen, bevor jemand danach fragt.

Die Sektorenlisten, übersetzt

Anlage 1 BSIG umfasst sieben Sektoren: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum. Anlage 2 ebenfalls sieben: Transport und Verkehr (Post- und Kurierdienste), Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung.

Die häufig zitierte Zahl "18 Sektoren" stammt aus den Anhängen der EU-Richtlinie, nicht aus dem BSIG. Für die Prüfung in Deutschland zählen die beiden Anlagen.

Die Überraschungen stecken fast alle in Anlage 2, Sektor 5 (Verarbeitendes Gewerbe). Er ist über NACE-Abteilungen definiert:

Das ist der klassische deutsche Mittelstand. Ein Sondermaschinenbauer mit 120 Leuten in Schwaben ist wichtige Einrichtung. Ein regionaler Lebensmittelgroßhändler mit 70 Leuten ebenso. Beide haben in aller Regel keine IT-Abteilung, die auf so etwas vorbereitet wäre.

Zwei Korrekturen, die Sie sich sparen können, wenn Sie sie früh mitdenken: § 28 Absatz 3 BSIG erlaubt, vernachlässigbare Geschäftstätigkeiten bei der Zuordnung außen vor zu lassen. Und § 28 Absätze 5 und 6 nehmen ganze Gruppen von den materiellen Pflichten aus — Finanzunternehmen im Anwendungsbereich von DORA, bestimmte Betreiber der Telematikinfrastruktur sowie Telekommunikations- und Energienetzbetreiber, soweit sie den §§ 5c bis 5e EnWG unterliegen.

Der häufigere Fall: Betroffenheit über die Lieferkette

Für die meisten Unternehmen, mit denen wir sprechen, ist die Frage "falle ich selbst unter § 28?" gar nicht die entscheidende. Die entscheidende ist: Wer in meinem Kundenstamm fällt darunter?

Grundlage ist § 30 Absatz 2 Satz 2 Nummer 4 BSIG. Betroffene Einrichtungen müssen Maßnahmen zur "Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern" ergreifen. Das Gesetz verpflichtet dabei ausschließlich den Kunden, nicht Sie. Nur: Der Kunde kann diese Pflicht nicht erfüllen, ohne sie an Sie weiterzugeben.

Was in der Praxis ankommt, sind keine Gesetzesparagraphen, sondern Dokumente: Sicherheitsfragebögen vor Vertragsverlängerung, neue Anlagen zum Rahmenvertrag mit Meldefristen, Nachweisklauseln, Audit-Rechte. Wer nicht liefert, verliert den Rahmenvertrag — nicht wegen eines Bußgelds, sondern weil der Kunde seine eigene Dokumentationspflicht nach § 30 Absatz 1 Satz 3 BSIG erfüllen muss und Sie darin ein offener Posten sind.

Diese vertragliche Weitergabe ist unsere Marktbeobachtung aus Kundengesprächen, keine gesetzliche Folge — das BSIG kennt keine Durchgriffspflicht auf Lieferanten. Aber die Wirkung ist dieselbe, und sie kommt schneller als jede Aufsichtsmaßnahme.

Der praktische Schluss daraus: Wenn Sie Kubernetes für Kunden aus Anlage 1 oder 2 betreiben, ist Ihre eigene Betroffenheitsprüfung nur die halbe Antwort. Die andere Hälfte ist die Frage, ob Sie einem Kunden auf Nachfrage binnen zwei Wochen einen belastbaren Nachweis über Zugriffskontrolle, Backup-Wiederherstellung, Schwachstellenmanagement und Meldewege vorlegen könnten.

Sonderfall Managed Service Provider

Anbieter verwalteter Dienste sind keine bloßen Lieferanten von Betroffenen. Sie stehen in Anlage 1 BSIG als eigene Einrichtungsart: Nummer 6.1.10 "Managed Services Provider" und Nummer 6.1.11 "Managed Security Services Provider", beide im Sektor 6 Digitale Infrastruktur.

Anlage 1 bedeutet: Ab 250 Mitarbeitern beziehungsweise ab 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme ist ein MSP besonders wichtige Einrichtung, ab 50 Mitarbeitern beziehungsweise 10 und 10 Mio. Euro wichtige Einrichtung. Dazu kommen drei Besonderheiten, die nicht für alle Sektoren gelten. Sie treffen die in § 30 Absatz 3 und § 34 BSIG genannten Einrichtungsarten — neben MSP und MSSP unter anderem DNS-Diensteanbieter, TLD-Registries, Cloud-Anbieter, Rechenzentrumsdienste, CDN-Betreiber, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter:

• Zusätzliche Registrierungspflicht nach § 34 BSIG. Genuin zusätzlich gegenüber § 33 ist dabei vor allem die Anschrift der Hauptniederlassung in der EU; öffentliche IP-Adressbereiche verlangt § 33 Absatz 1 Nummer 2 bereits von jeder registrierungspflichtigen Einrichtung.
• Herkunftslandprinzip nach § 60 BSIG: zuständig ist die Behörde des Mitgliedstaats, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend getroffen werden.
• Vorrang des EU-Durchführungsrechtsakts vor dem Maßnahmenkatalog des § 30 Absatz 2 BSIG (§ 30 Absatz 3 BSIG). Für MSP gelten also nicht primär die zehn Punkte aus dem deutschen Gesetz, sondern die technischen Anforderungen der Kommission.

Für die Auswahl eines Dienstleisters heißt das: Der Anbieter ist Teil Ihrer Prüfung, nicht deren Ausweg. Vier Fragen, die vor Vertragsschluss gehören und auf die es eine schriftliche Antwort geben sollte — ist der Anbieter selbst registriert und in welcher Klasse, wo liegt seine Hauptniederlassung in der EU, wie sind Meldewege bei einem Sicherheitsvorfall vertraglich geregelt, und welche Nachweise liefert er ohne Zusatzbeauftragung.

Was jetzt gilt, nachdem die Registrierungsfrist abgelaufen ist

Nach § 33 Absatz 1 BSIG müssen sich betroffene Einrichtungen spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten; für alle, die an diesem Tag bereits betroffen waren, ergibt das rechnerisch Anfang März 2026. Das ist eine Herleitung aus der Norm, kein amtlich verkündeter Stichtag. Wer die Schwelle erst später überschreitet, hat eigene drei Monate.

Das BSI stellt auf seiner Themenseite fest: "Die gesetzliche Registrierungsfrist ist bereits abgelaufen." Die einzigen offiziellen Zahlen stammen vom Stichtag 2. April 2026 — 15.477 registrierte Einrichtungen, davon 9.894 wichtige und 5.583 besonders wichtige. Das BSI beziffert die Zahl der Betroffenen auf rund 29.500. Es fehlt also etwa die Hälfte. Neuere Zahlen hat das BSI zum Zeitpunkt dieses Artikels nicht veröffentlicht.

Wer die Frist verpasst hat, sollte drei Dinge nüchtern auseinanderhalten:

Die Pflicht besteht fort. Eine abgelaufene Frist erlischt nicht, sie wird zum Dauerverstoß. Das BSI kann die Registrierung nach § 33 Absatz 3 BSIG im Einvernehmen mit den Aufsichtsbehörden selbst vornehmen und nach Absatz 4 Unterlagen und Auskünfte verlangen.

Der Registrierungsverstoß ist der kleinere Posten. Er ist nach § 65 Absatz 2 Nummer 6 in Verbindung mit Absatz 5 Satz 1 Nummer 5 BSIG mit bis zu 500.000 Euro bewehrt. Die überall zitierten 10 Mio. Euro — bei wichtigen Einrichtungen 7 Mio. — treffen einen anderen Katalog: § 65 Absatz 5 Satz 1 Nummer 1 verweist auf Absatz 2 Nummer 1 Buchstabe d sowie Nummer 2 bis 5 und 9. Darunter fallen die Maßnahmen- und Dokumentationspflicht aus § 30 Absatz 1, die Meldepflichten aus § 32, die Unterrichtungspflicht aus § 35 Absatz 2 und die Zuwiderhandlung gegen vollziehbare Anordnungen nach § 35 Absatz 1 Satz 1 oder § 36 Absatz 1. Ab 500 Mio. Euro Gesamtumsatz treten alternativ 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Umsatzes an die Stelle der festen Beträge.

Registrierung ist nicht Umsetzung. Das BSI schreibt in seiner FAQ: "Das NIS-2-Umsetzungsgesetz sieht keine allgemeine Übergangsfrist vor." Die Pflichten aus § 30 gelten seit dem Inkrafttreten und dauerhaft. Die Registrierung ist ein einmaliger Verwaltungsvorgang, die Maßnahmen sind ein Betriebszustand.

Zur Haftungsfrage, weil sie regelmäßig falsch dargestellt wird: § 38 Absatz 1 BSIG verpflichtet Geschäftsleitungen, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Absatz 2 regelt eine Haftung gegenüber der eigenen Einrichtung nach den Regeln des jeweils anwendbaren Gesellschaftsrechts — und nach dem BSIG selbst nur dann, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Das ist Innenhaftung, keine Durchgriffshaftung gegenüber Dritten. Der schärfere persönliche Hebel steht woanders: Nach § 61 Absatz 9 Satz 2 Nummer 2 BSIG kann die Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen, wenn Anordnungen trotz Fristsetzung nicht befolgt werden. Dazu kommt die Schulungspflicht aus § 38 Absatz 3.

Die Aufsicht ist übrigens zweigeteilt: Besonders wichtige Einrichtungen kann das BSI nach § 61 BSIG proaktiv prüfen, wichtige Einrichtungen nach § 62 BSIG erst, wenn Tatsachen die Annahme eines Verstoßes rechtfertigen. Für die meisten Mittelständler bedeutet das: Der erste Kontakt mit der Aufsicht kommt nicht aus heiterem Himmel, sondern nach einem Vorfall — oder nach einer Meldung.

Der sinnvolle nächste Schritt

Das BSI stellt in seiner FAQ klar: "Die Prüfung der Betroffenheit ist nach Maßgabe der genannten Vorschrift durch die eventuell Betroffenen selbst durchzuführen, eine Mitteilung der Betroffenheit durch das BSI erfolgt nicht." Niemand schreibt Ihnen. Das ist keine Entwarnung, sondern eine Bringschuld.

In dieser Reihenfolge:

1. Zuordnung dokumentieren. Einrichtungsart nach Anlage 1 oder 2, Mitarbeiterzahl und Finanzkennzahlen nach der KMU-Empfehlung inklusive Konzernzurechnung, Ergebnis mit Datum und Begründung. Auch das Ergebnis "nicht betroffen" gehört schriftlich abgelegt — es ist die Antwort auf die nächste Kundenanfrage.
2. Registrieren, falls betroffen. Über das BSI-Portal. Änderungen sind nach § 33 Absatz 5 BSIG binnen zwei Wochen nachzumelden.
3. Ist-Aufnahme entlang der zehn Punkte des § 30 Absatz 2 BSIG. Die Liste ist keine Empfehlung, sondern der Mindestumfang — und gleichzeitig die brauchbarste Gliederung für ein Kubernetes-Setup, die das Gesetz hergibt.

Für Schritt 1 gibt es bei uns den NIS2-Check: dieselben Kriterien aus § 28 BSIG als Fragestrecke, ohne Registrierung, ohne Datenübertragung. Wenn Sie danach beim Cluster selbst weitermachen wollen, ist der Kubernetes Security Quick-Check der nächste Schritt.

Hinweis: Dieser Artikel ist eine technische Einordnung für Betreiber, keine Rechtsberatung und kein Ersatz dafür. Die Betroffenheit nach § 28 BSIG hängt von Zurechnungs- und Ausnahmeregeln ab, die eine Einzelfallprüfung erfordern. Alle Angaben geben den Stand vom 2. August 2026 wieder und sind über die verlinkten Primärquellen — BSIG, BSI und EUR-Lex — nachprüfbar. Für eine verbindliche Bewertung sprechen Sie mit einer auf IT-Recht spezialisierten Kanzlei.