NIS2-Sektoren: Die 18 betroffenen Branchen im Überblick — wesentlich oder wichtig?
Ob NIS2 Ihr Unternehmen trifft, entscheidet sich an zwei Fragen: Gehört Ihre Tätigkeit zu einem der 18 regulierten Sektoren, und überschreiten Sie die Größenschwellen — in der Regel 50 Beschäftigte oder 10 Mio. € Jahresumsatz? Die Richtlinie unterscheidet dabei elf Sektoren „mit hoher Kritikalität" (Anhang I) und sieben „sonstige kritische Sektoren" (Anhang II). Diese Zuordnung bestimmt zusammen mit der Unternehmensgröße, ob Sie als wesentliche oder wichtige Einrichtung gelten.
Der Unterschied ist praktisch relevant: Wesentliche Einrichtungen — typischerweise große Unternehmen aus Anhang-I-Sektoren — unterliegen der proaktiven Aufsicht des BSI und dem höheren Bußgeldrahmen; wichtige Einrichtungen werden anlassbezogen beaufsichtigt. Die inhaltlichen Pflichten sind dagegen weitgehend identisch: Risikomanagement, Meldepflichten, Registrierung und die persönliche Verantwortung der Geschäftsleitung treffen beide Kategorien gleichermaßen.
Viele Unternehmen unterschätzen ihre Betroffenheit, weil sie ihren Sektor zu eng lesen — „verarbeitendes Gewerbe" etwa umfasst unter anderem Maschinenbau, Elektronik, Medizinprodukte und Fahrzeugbau, und digitale Dienste reichen bis zu Managed-Service-Providern. Prüfen Sie die Liste daher gegen Ihre tatsächlichen Tätigkeiten. Ist die Betroffenheit geklärt, führt die NIS2-Checkliste durch die Umsetzung; die Bußgeldrisiken haben wir separat aufbereitet.
Ihre Checkliste
- 1Anhang I abgleichen — Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement (B2B), öffentliche Verwaltung und Weltraum.
- 2Anhang II abgleichen — sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste sowie Forschung.
- 3Verarbeitendes Gewerbe genau prüfen: Medizinprodukte, Datenverarbeitungsgeräte, Elektronik, Optik, Maschinenbau, Kraftwagen und sonstiger Fahrzeugbau fallen ausdrücklich unter NIS2.
- 4Digitale Dienste einordnen: Online-Marktplätze, Suchmaschinen, soziale Netzwerke sowie Cloud-, Rechenzentrums- und Managed-(Security-)Service-Provider gegen die Sektorliste prüfen.
- 5Größenschwellen anwenden: Ab 50 Beschäftigten oder über 10 Mio. € Umsatz gelten Sie als mittleres Unternehmen — ab 250 Beschäftigten oder 50 Mio. € Umsatz als großes.
- 6Einstufung ableiten: Große Unternehmen in Anhang-I-Sektoren sind regelmäßig wesentliche Einrichtungen; mittlere Unternehmen und Anhang-II-Sektoren in der Regel wichtige Einrichtungen.
- 7Sonderfälle beachten: Bestimmte Einrichtungen — etwa Vertrauensdiensteanbieter, TLD-Registries oder Teile der kritischen Infrastruktur — fallen unabhängig von der Größe unter NIS2.
- 8Lieferkettenwirkung mitdenken: Auch wer selbst nicht betroffen ist, erhält NIS2-Anforderungen zunehmend vertraglich von betroffenen Kunden weitergereicht.
- 9Ergebnis dokumentieren: Sektor-Zuordnung, Größenklasse und Einstufung schriftlich festhalten — die Betroffenheitsanalyse ist der erste Nachweis gegenüber dem BSI.
Häufige Fragen
Welche 18 Sektoren fallen unter NIS2?
Anhang I umfasst elf Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum. Anhang II ergänzt sieben weitere: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung.
Was unterscheidet wesentliche von wichtigen Einrichtungen?
Die inhaltlichen Pflichten sind weitgehend gleich; der Unterschied liegt in Aufsicht und Sanktionen. Wesentliche Einrichtungen — im Regelfall große Unternehmen der Anhang-I-Sektoren — unterliegen der proaktiven Aufsicht und einem Bußgeldrahmen bis 10 Mio. € oder 2 % des Weltumsatzes. Wichtige Einrichtungen werden anlassbezogen beaufsichtigt, mit einem etwas niedrigeren Bußgeldrahmen.
Mein Unternehmen hat weniger als 50 Beschäftigte — bin ich sicher ausgenommen?
In den meisten Fällen ja, aber nicht immer. Für bestimmte Einrichtungen gilt NIS2 unabhängig von der Größe — etwa für qualifizierte Vertrauensdiensteanbieter, TLD-Namensregister, DNS-Diensteanbieter und Betreiber kritischer Anlagen. Zudem können betroffene Kunden NIS2-Anforderungen vertraglich an kleinere Zulieferer weitergeben. Eine dokumentierte Prüfung lohnt sich daher in jedem Fall.
Zählt Software-Entwicklung oder IT-Dienstleistung automatisch zu den NIS2-Sektoren?
Nicht automatisch. Erfasst sind insbesondere Managed-Service- und Managed-Security-Service-Provider, Cloud- und Rechenzentrumsanbieter sowie bestimmte digitale Dienste wie Online-Marktplätze und Suchmaschinen. Reine Individualsoftware-Entwicklung ohne Betrieb von Diensten fällt häufig nicht darunter. Maßgeblich ist die tatsächlich erbrachte Tätigkeit, nicht die Branchenbezeichnung.