Betroffenheit prüfen: Die Einordnung, die alle anderen Pflichten auslöst
Ob Ihr Unternehmen unter das BSIG fällt, entscheidet über Registrierung, Meldepflicht, Maßnahmen und Ihre persönlichen Pflichten. Niemand nimmt Ihnen diese Prüfung ab, und niemand fordert Sie dazu auf. Diese Seite zeigt, wie Sie als Geschäftsleitung die Einordnung veranlassen, was das Ergebnis enthalten muss und warum es auch bei Nichtbetroffenheit in die Akte gehört.
- 3 Prüfschritte: Sektor, Größe, Sonderfälle
- 50 / 250 Mitarbeitende: die beiden Größenschwellen
- 3 Monate Registrierungsfrist ab Eintritt der Betroffenheit
- jährlich Prüfung wiederholen und protokollieren
Warum die Einordnung von der Geschäftsleitung ausgeht
Die Prüfung selbst können Fachleute durchführen. Veranlassen, freigeben und verantworten muss sie die Geschäftsleitung, aus drei Gründen.
-
Sie ist der Ausgangspunkt
Ohne Einordnung wissen Sie nicht, ob Sie registrierungspflichtig sind, ob § 38 BSIG für Sie gilt und welcher Bußgeldrahmen droht. Jede andere Maßnahme setzt diese Entscheidung voraus. Wer sie der IT überlässt, hat die erste Leitungsentscheidung delegiert.
-
Niemand fordert Sie auf
Das BSI verschickt keine Bescheide über die Betroffenheit. Die Einrichtung muss sich selbst einordnen und binnen drei Monaten registrieren. Für Unternehmen, die schon beim Inkrafttreten am 6. Dezember 2025 betroffen waren, ist die Frist am 6. März 2026 abgelaufen.
-
Die Dokumentation schützt Sie
Eine schriftliche, begründete und von der Geschäftsleitung freigegebene Einordnung belegt, dass Sie die Frage auf angemessener Grundlage entschieden haben. Das gilt bei Betroffenheit wie bei Nichtbetroffenheit, siehe die Seite zur Haftung.
Die Prüfung in sechs Schritten
So veranlassen Sie die Einordnung: Auftrag, drei Prüfschritte, Ergebnis, Beschluss. Die Fachfragen beantworten Fachleute, die Entscheidungen treffen Sie.
-
Auftrag erteilen
Benennen Sie, wer prüft (intern, extern oder beides), welche Gesellschaften geprüft werden, bis wann das Ergebnis vorliegt und in welcher Form. Ein kurzer schriftlicher Auftrag genügt, er dokumentiert den Startpunkt.
-
Sektor prüfen
Übt die Gesellschaft eine Tätigkeit in einem der Sektoren der Anlage 1 (Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasser und Abwasser, Digitale Infrastruktur, IKT-Dienstleistungsmanagement (B2B), Weltraum) oder der Anlage 2 (Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Digitale Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung) aus? Geprüft wird die tatsächliche Tätigkeit, nicht die Branchenbezeichnung im Handelsregister. Mehrere Tätigkeiten werden einzeln geprüft.
-
Größe prüfen
Mitarbeitende, Jahresumsatz und Bilanzsumme zum Stichtag des letzten Jahresabschlusses. Wichtige Einrichtung ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme; besonders wichtige Einrichtung ab 250 Mitarbeitenden oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme. Bei verbundenen Unternehmen ist zu klären, wie die Größe zu berechnen ist.
-
Sonderfälle prüfen
Einige Einrichtungen fallen unabhängig von der Größe unter das Gesetz, etwa Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter oder bestimmte Anbieter digitaler Infrastruktur. Außerdem: Konzernstrukturen, Tätigkeiten in mehreren Mitgliedstaaten, besondere Aufsichtsregime.
-
Ergebnis schriftlich festhalten
Besonders wichtige Einrichtung, wichtige Einrichtung oder nicht betroffen, mit Begründung je Prüfschritt und den zugrunde gelegten Zahlen. Das Dokument beschreibt auch, welche Folgen sich ergeben: Registrierung, Fristen, Verantwortliche.
-
Beschließen und Folgen auslösen
Die Geschäftsleitung gibt die Einordnung in einer protokollierten Sitzung frei. Bei Betroffenheit: Registrierung nach § 33 BSIG binnen drei Monaten veranlassen, Maßnahmenplan und Berichtswesen anstoßen. Bei Nichtbetroffenheit: Wiedervorlage festlegen.
Die fachlichen Kriterien im Detail: Alle Sektoren der Anlagen 1 und 2, die Schwellenwerte, die größenunabhängigen Sonderfälle und die Größenberechnung mit Partner- und verbundenen Unternehmen finden Sie auf der Seite Wer ist von NIS2 betroffen? von beratung-nis2.de.
Was die schriftliche Einordnung enthält
Zwei bis vier Seiten, die ein Prüfer des BSI, ein Kunde oder ein Insolvenzverwalter Jahre später nachvollziehen kann. Diese Abschnitte gehören hinein.
| Abschnitt | Inhalt |
|---|---|
| Gegenstand | Geprüfte Gesellschaft oder Gesellschaften, Stichtag, prüfende Personen oder Stellen, Auftrag der Geschäftsleitung mit Datum. |
| Sektorprüfung | Beschreibung der Tätigkeiten, Zuordnung zu Sektor und Teilsektor der Anlage 1 oder 2 oder begründete Feststellung, dass keine erfasste Tätigkeit vorliegt. |
| Größenprüfung | Mitarbeitende, Jahresumsatz und Bilanzsumme mit Quelle (Jahresabschluss, Personalstatistik), Vergleich mit den Schwellen, Umgang mit verbundenen Unternehmen. |
| Sonderfälle | Geprüfte Sonderfälle und Ergebnis: kritische Anlage, größenunabhängige Einrichtungsarten, Konzernbezug, Tätigkeit in anderen Mitgliedstaaten, weitere Aufsichtsbehörden. |
| Ergebnis | Kategorie (besonders wichtig, wichtig, nicht betroffen) mit zusammenfassender Begründung. Bei Nichtbetroffenheit: welches Kriterium nicht erfüllt ist und wie weit es entfernt ist. |
| Folgen | Registrierungspflicht und Frist, Meldepflicht, Maßnahmenpflichten, persönliche Pflichten der Geschäftsleitung, Verantwortliche für die nächsten Schritte. |
| Freigabe | Beschluss der Geschäftsleitung mit Datum, Protokollverweis, Unterschriften. |
| Wiedervorlage | Termin der nächsten Prüfung (jährlich mit dem Jahresabschluss) und Anlässe für eine vorgezogene Prüfung. |
Warum auch das Nein in die Akte gehört
Eine Nichtbetroffenheit, die nur im Kopf des Geschäftsführers existiert, ist im Zweifel nicht nachweisbar. Drei Gründe, das Ergebnis genauso sorgfältig zu dokumentieren wie eine Betroffenheit.
-
Beleg der Prüfung
Stellt sich später heraus, dass das Unternehmen doch betroffen war, macht es einen Unterschied, ob die Geschäftsleitung die Frage geprüft und auf nachvollziehbarer Grundlage verneint hat oder ob sie sie nie gestellt hat. Nur das Erste ist eine informierte Entscheidung.
-
Antwort für Kunden und Versicherer
Betroffene Kunden fragen ihre Lieferanten nach dem NIS2-Status, Cyberversicherer ebenfalls. Eine schriftliche Einordnung beantwortet die Frage in einem Anhang, statt sie jedes Mal neu zu diskutieren.
-
Grundlage für die nächste Prüfung
Wer heute dokumentiert, welches Kriterium nicht erfüllt ist und wie knapp, erkennt im nächsten Jahr sofort, ob sich etwas geändert hat. Die Prüfung wird zur Fortschreibung statt zum Neuanfang.
Jährlich, und bei jedem Anlass
Betroffenheit ist kein Zustand, sondern ein Ergebnis zum Stichtag. Unternehmen wachsen, kaufen zu und erschließen neue Felder. Deshalb wird die Prüfung wiederholt.
-
Mit dem Jahresabschluss
Sobald Mitarbeiterzahl, Umsatz und Bilanzsumme feststehen, wird die Größenprüfung aktualisiert. Ein fester Termin im Kalender der Geschäftsleitung, als Tagesordnungspunkt im vierten Quartalsbericht.
-
Bei wesentlichen Änderungen
Zukauf oder Verkauf von Gesellschaften, neue Geschäftsfelder, Eintritt in einen erfassten Sektor, Umstrukturierung im Konzern, Einstufung als kritische Anlage. Jede dieser Änderungen löst eine vorgezogene Prüfung aus, denn mit ihr kann die Drei-Monats-Frist zur Registrierung beginnen.
-
Bei Rechtsänderungen
Anpassungen der Sektorenlisten, neue Hinweise des BSI oder Rechtsprechung zu Auslegungsfragen können die Einordnung verändern. Wer die Prüfung extern begleiten lässt, sollte vereinbaren, über solche Änderungen informiert zu werden.
Fünf Fragen der Geschäftsleitung an die Prüfenden: Welche Tätigkeit begründet die Einordnung? Welche Zahlen wurden zugrunde gelegt und woher stammen sie? Welche Sonderfälle wurden geprüft? Wie knapp ist das Ergebnis? Was löst die nächste Prüfung aus? Wer diese fünf Antworten im Dokument findet, kann freigeben.
Zur Betroffenheitsprüfung
Können wir die Betroffenheitsprüfung selbst durchführen?
In klaren Fällen ja: eindeutiger Sektor, Größe deutlich über oder unter den Schwellen, keine Sonderfälle. Sobald mehrere Tätigkeiten, ein Konzernverbund, eine Größe nahe der Schwelle oder ein möglicher Sonderfall im Spiel sind, lohnt eine externe Einordnung. Sie ist als Informationsgrundlage für die Geschäftsleitung mehr wert als eine interne Einschätzung, weil sie unabhängig ist.
Wir liegen knapp unter der Größenschwelle. Was tun?
Die Schwelle für wichtige Einrichtungen liegt ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Knapp darunter heißt: Die Einordnung kann mit dem nächsten Jahresabschluss oder einer Neueinstellung kippen. Dokumentieren Sie die aktuelle Nichtbetroffenheit mit den Zahlen, legen Sie eine Wiedervorlage bei jeder Änderung fest und bereiten Sie die Registrierung vor, damit die Drei-Monats-Frist im Fall der Fälle nicht überrascht.
Wir gehören zu einem Konzern. Welche Gesellschaft ist betroffen?
Das ist einer der Fälle, die eine sorgfältige Prüfung brauchen. Betroffen ist die Einrichtung, die die Tätigkeit im erfassten Sektor ausübt. Wie verbundene Unternehmen bei der Berechnung der Größe zu berücksichtigen sind, hängt von der Struktur ab und sollte schriftlich begründet werden. Halten Sie in der Einordnung fest, welche Gesellschaften geprüft wurden und mit welchem Ergebnis.
Müssen wir das Ergebnis der Prüfung dem BSI vorlegen?
Nicht von sich aus. Die Folge einer Betroffenheit ist die Registrierung nach § 33 BSIG binnen drei Monaten, nicht die Vorlage der Prüfung. Das BSI kann aber Nachweise verlangen und Prüfungen anordnen, und dann ist die schriftliche Einordnung das erste Dokument, nach dem gefragt wird. Bei Nichtbetroffenheit fragen zudem Kunden und Versicherer danach.
Die Prüfung ergibt, dass wir schon seit Dezember 2025 betroffen sind. Was jetzt?
Die Bestandsfrist für die Registrierung lief am 6. März 2026 ab. Registrieren Sie sich unverzüglich nach und halten Sie in der Einordnung fest, warum die Betroffenheit erst jetzt erkannt wurde. Ein Verstoß gegen die Registrierungspflicht kann mit bis zu 500.000 € geahndet werden; eine nachgeholte Registrierung mit dokumentierter Begründung ist die deutlich bessere Position als ein weiteres Abwarten.
Vertiefung für die Geschäftsleitung
-
Haftung nach § 38 Abs. 2 BSIG
Wie der Anspruch der Gesellschaft entsteht, was die Business Judgement Rule schützt und warum die Einordnung Teil Ihrer Akte ist.
-
Berichtswesen: der Quartalsbericht
Wie die Überwachungspflicht mit einem zweiseitigen Quartalsbericht erfüllt und protokolliert wird. Mit Vorlage.
-
Schulung für die Geschäftsleitung
Drei bis vier Stunden mit Bezug zu Ihrem Unternehmen, Teilnahmebescheinigung als Nachweis nach § 38 Abs. 3 BSIG.
-
NIS2 für Geschäftsführer im Überblick
Die drei Pflichten, Haftung und Sanktionen sowie der 90-Tage-Plan auf der Startseite.
Marcel Rieger
Schriftliche Einordnung in zwei Wochen
Im Erstgespräch klären wir Sektor, Größe und mögliche Sonderfälle Ihres Unternehmens und sagen Ihnen, ob eine vertiefte Prüfung nötig ist. Das Ergebnis ist ein Dokument, das Ihre Geschäftsleitung freigeben kann.
- Einordnung von Sektor, Größe und Sonderfällen mit Begründung
- Freigabefähiges Dokument für die Akte
- Wiedervorlage und Registrierungsfahrplan
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen