Nis2 Anwendungsbereich

/nis2:nis2-anwendungsbereich

Zweck

Das NIS2-Umsetzungsgesetz (in Kraft seit 06.12.2025) hat das BSIG neu gefasst und den Adressatenkreis von rund 2.100 auf etwa 29.000 Einrichtungen erweitert. Wer betroffen ist, ergibt sich aus dem Zusammenspiel von Sektor (Anhang I/II zum BSIG), Größenschwellen und Einrichtungskategorie. Anders als früher gibt es keine behördliche Einzelfeststellung mehr — die Einrichtung muss sich selbst einstufen und registrieren. Dieser Skill führt die Betroffenheitsprüfung und die Registrierung durch.

Eingaben

• Tätigkeit / Sektor der Einrichtung (Energie, Gesundheit, Verkehr, digitale Dienste, Maschinenbau usw.)
• Beschäftigtenzahl, Jahresumsatz, Jahresbilanzsumme
• KRITIS-Status (Betreiber kritischer Anlagen?)
• Qualifizierter Vertrauensdiensteanbieter / DNS / TLD / Cloud / Rechenzentrum?
• Konzernstruktur (verbundene Unternehmen für Schwellenberechnung)

Sub-Agent-Architektur

Drei gedankliche Rollen. Ein Sektor-Agent ordnet die Tätigkeit den Einrichtungstypen aus Anhang I und Anhang II zum BSIG zu. Ein Schwellen-Agent prüft die Größenschwellen (Beschäftigte, Umsatz, Bilanzsumme) und die Sonderfälle, in denen die Schwelle entfällt. Ein Registrierungs-Agent bestimmt die Einrichtungskategorie nach § 28 BSIG und den richtigen Registrierungspfad (§ 33 oder § 34 BSIG) samt Frist. Die finale Einstufung verantwortet die Einrichtung selbst.

Ablauf

1. Sektor-Zuordnung (Anhang I / II BSIG)

• Anhang I (hohe Kritikalität): u. a. Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste-Verwaltung, Weltraum.
• Anhang II (sonstige kritische Sektoren): u. a. Post/Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (inkl. Maschinenbau), digitale Dienste, Forschung.

2. Größenschwellen (§ 28 BSIG)

• Bei bestimmten Typen (DNS, TLD, qualifizierte Vertrauensdienste, KRITIS) gelten die Größenschwellen nicht — Betroffenheit unabhängig von der Größe.
• Terminologie: Die NIS2-RL spricht in Art. 3 von wesentliche und wichtige Einrichtungen; das BSIG setzt dies als besonders wichtige und wichtige Einrichtungen um.

3. Selbsteinstufung statt Bescheid

• Es ergeht kein behördlicher Feststellungsbescheid; die Einrichtung trägt die Darlegungslast ihrer Selbsteinstufung.

4. Registrierungspflicht (§§ 33/34 BSIG)

• § 33 BSIG: allgemeine Registrierungspflicht beim BSI — binnen drei Monaten ab Erfüllung der Kriterien.
• § 34 BSIG: besondere Registrierungspflicht für bestimmte Typen (z. B. DNS-Diensteanbieter, TLD-Registries, Cloud-/Rechenzentrumsdienste, CDN), teils mit zusätzlichen Angaben.
• Registrierungsportal des BSI; Aktualisierungspflicht bei Änderungen.

5. Folgepflichten

• Mit der Betroffenheit greifen unmittelbar Risikomanagement (§ 30 BSIG), Meldepflichten (§ 32 BSIG) und Leitungspflichten (§ 38 BSIG).

Risiken / typische Fehler

• Größenschwellen falsch berechnet — verbundene Unternehmen und der Wegfall der Schwelle bei Sondertypen (DNS, KRITIS) werden oft übersehen.
• Registrierungspflicht verpasst — die Drei-Monats-Frist nach § 33 BSIG läuft automatisch, ohne behördliche Aufforderung.
• Selbsteinstufung unterlassen — es gibt keinen Bescheid; wer auf Post vom BSI wartet, ist bereits säumig.
• Lieferketten-Betroffenheit verkannt — auch Zulieferer in Anhang-II-Sektoren (z. B. Maschinenbau) können erfasst sein.

Quellen

Statute

• § 28 BSIG (n.F.) — besonders wichtige und wichtige Einrichtungen
• § 33 BSIG (n.F.) — Registrierungspflicht
• § 34 BSIG (n.F.) — besondere Registrierungspflicht
• Richtlinie (EU) 2022/2555 (NIS2) — Art. 3 NIS2-RL, Anhang I / Anhang II

Sekundärliteratur

• Eckhardt, NIS2, 1. Aufl. 2024
• OpenKRITIS, „NIS2-Umsetzungsgesetz in Deutschland"

Ausgabeformat

NIS2-ANWENDUNGSBEREICH — <Einrichtung> — <Datum>

I.    Sektor-Zuordnung (Anhang I / II)     [Typ / Sektor]
II.   Größenschwellen (§ 28 BSIG)
      Beschäftigte / Umsatz / Bilanz        <Werte>  Schwelle erreicht? [Ja/Nein]
      Sondertyp ohne Schwelle?              [Ja/Nein]
III.  Einrichtungskategorie                 [besonders wichtig / wichtig / nicht betroffen]
IV.   Registrierungspflicht                 [§ 33 BSIG / § 34 BSIG]  Frist: <Datum + 3 Monate>
V.    Folgepflichten                         [§ 30 / § 32 / § 38 BSIG aktiviert]

Selbsteinstufung dokumentiert: <Begründung>
Nächster Schritt: <…>