NIS2-Geltungsbereichs-Check: Sind Sie eine wesentliche oder wichtige Einrichtung?

Eine dokumentierte, Schritt-für-Schritt-Entscheidungshilfe für NIS2: Sektorzuordnung, Größenschwelle und Gruppenberechnung, größenunabhängige Regeln, wesentliche oder wichtige Einrichtung, Zuständigkeit und Registrierung in der Benelux-Region.

Schnelle erste Antwort: Probieren Sie den kostenlosen NIS2-Geltungsbereichs-Checker aus und sehen Sie, was NIS2 für Ihren Sektor in der Übersicht aller 18 NIS2-Sektoren bedeutet.

Dieser Leitfaden richtet sich an alle, die die erste NIS2-Frage des Vorstands beantworten müssen: Fallen wir in den Geltungsbereich, und wenn ja, in welcher Eigenschaft? Er wandelt die Geltungsbereichsregeln der Richtlinie in eine Entscheidungsabfolge um, die Sie dokumentieren und begründen können. Am Ende erhalten Sie eine schriftliche Geltungsbereichsentscheidung für jede juristische Person: im oder außerhalb des Geltungsbereichs, wesentlich oder wichtig, welches Land zuständig ist und wo eine Registrierung erforderlich ist. Wenn Sie außerhalb des Geltungsbereichs liegen, erhalten Sie zudem einen Überblick darüber, was Ihre Kunden möglicherweise noch von Ihnen verlangen.

Bevor Sie beginnen

Sammeln Sie die zuletzt genehmigten Jahresabschlüsse für jede juristische Person. Sie benötigen die Mitarbeiterzahl in Jahresarbeitseinheiten, den Umsatz und die Bilanzsumme. Fügen Sie das Konzernstrukturdiagramm mit Eigentums- und Stimmrechtsanteilen sowie eine Liste der Dienstleistungen hinzu, die jede Einheit erbringt und in welchen EU-Mitgliedstaaten. Bitten Sie die Rechts- oder Finanzabteilung, die Zahlen zu überprüfen. Die Entscheidung hängt von ihnen ab, und eine Aufsichtsbehörde kann fragen, wie Sie sie berechnet haben.

Schritt 1: Listen Sie Ihre Dienstleistungen auf und ordnen Sie sie Anhang I und II zu

Der Geltungsbereich von NIS2 beginnt mit der Art der Einrichtung, nicht mit ihrer Größe. Anhang I listet Sektoren von hoher Kritikalität auf: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstverwaltung (Business-to-Business), öffentliche Verwaltung und Weltraum. Anhang II listet weitere kritische Sektoren auf: Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittel, Herstellung (einschließlich Medizinprodukte, Elektronik, Elektrogeräte, Maschinen und Fahrzeuge), digitale Anbieter wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke sowie Forschung^[1].

• Listen Sie jede Dienstleistung oder Tätigkeit pro juristische Person auf, nicht pro Marke oder Geschäftsbereich.
• Ordnen Sie sie dem Einrichtungstyp im Anhang zu und dokumentieren Sie den Sektor und Untersektor.
• Notieren Sie Grenzfälle, wie eine interne IT-Abteilung im Vergleich zu verwalteten Diensten, die an Dritte verkauft werden. Dokumentieren Sie, warum Sie sich so entschieden haben.

Schritt 2: Überprüfen Sie die Regeln, die unabhängig von der Größe gelten

Einige Einrichtungen sind unabhängig von ihrer Größe erfasst. Artikel 2 Absatz 2 erfasst Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter. Er erfasst auch eine Einrichtung, die der alleinige Anbieter eines für kritische Tätigkeiten wesentlichen Dienstes in einem Mitgliedstaat ist, eine Einrichtung, deren Störung die öffentliche Sicherheit, Ordnung oder Gesundheit erheblich beeinträchtigen oder ein systemisches Risiko schaffen könnte, eine Einrichtung, die auf nationaler oder regionaler Ebene kritisch ist, und bestimmte Einrichtungen der öffentlichen Verwaltung. Einrichtungen, die gemäß der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen als kritisch eingestuft wurden, und Anbieter von Domänennamen-Registrierungsdiensten sind ebenfalls unabhängig von ihrer Größe erfasst.^[1].

• Überprüfen Sie jeden zugeordneten Dienst anhand dieser Kriterien.
• Fragen Sie, ob die Behörde Sie über eine Identifizierung oder eine CER-Einstufung benachrichtigt hat.
• Wenn ein Kriterium zutrifft, gehen Sie zu Schritt 5, um die Einrichtung zu klassifizieren. Die Größe entscheidet nicht mehr darüber, ob Sie im Geltungsbereich liegen.

Schritt 3: Wenden Sie die Größenschwellenregel an

Ansonsten gilt NIS2 nur für Einrichtungen, die als mittelgroß eingestuft werden oder die Schwellenwerte für mittelgroße Unternehmen gemäß Empfehlung 2003/361/EG^[1] überschreiten. In der Praxis ist eine Einrichtung mindestens mittelgroß, wenn sie 50 oder mehr Beschäftigte hat oder wenn sowohl ihr Jahresumsatz als auch ihre Bilanzsumme 10 Millionen Euro übersteigen. Sie gilt als groß, wenn sie 250 oder mehr Beschäftigte hat oder wenn ihr Umsatz 50 Millionen Euro übersteigt und ihre Bilanzsumme 43 Millionen Euro übersteigt.^[2].

Kategorie	Personal (JAE)	Und: Umsatz	Oder: Bilanzsumme
Klein (ausgenommen, sofern Schritt 2 gilt)	< 50	≤ €10m	≤ €10m
Mittel	< 250	≤ €50m	≤ €43m
Groß (überschreitet Schwellenwerte für Mittelgroße)	≥ 250	oder: Umsatz > 50 Mio. € und Bilanzsumme > 43 Mio. €

• Verwenden Sie die Zahlen aus den zuletzt genehmigten Jahresabschlüssen, wobei die Beschäftigtenzahl in Jahresarbeitseinheiten angegeben wird.
• Zeigen Sie Ihre Berechnung, nicht nur das Ergebnis.

Schritt 4: Partner und verbundene Unternehmen hinzufügen

Die Empfehlung bemisst ein Rechtssubjekt nicht für sich allein. Die Daten von Partnerunternehmen sind anteilig zur Beteiligung (in der Regel 25 % bis 50 %) hinzuzurechnen. Die Daten von verbundenen Unternehmen sind vollständig hinzuzurechnen (in der Regel über 50 % oder bei beherrschendem Einfluss)^[2]. NIS2 setzt eine Bestimmung der Empfehlung außer Kraft, nämlich Artikel 3 Absatz 4 ihres Anhangs, der die Kontrolle durch öffentliche Stellen regelt^[1]. Infolgedessen wird eine kleine Tochtergesellschaft eines großen Konzerns in der Regel als groß behandelt. Erwägungsgrund 16 ermöglicht es den Mitgliedstaaten, zu berücksichtigen, wie unabhängig ein Rechtssubjekt von seinem Konzern ist, auch in Bezug auf seine Netz- und Informationssysteme. Prüfen Sie die veröffentlichte Position Ihrer Behörde, bevor Sie sich darauf berufen.

• Zeichnen Sie die Beteiligungskette nach oben und unten auf, einschließlich der Partnerunternehmen von verbundenen Unternehmen.
• Berechnen Sie die Größe mit den aggregierten Daten neu.
• Halten Sie jedes Argument zur Unabhängigkeit schriftlich fest und fragen Sie gegebenenfalls bei der Behörde nach.

Schritt 5: Einstufung als wesentlich oder wichtig

Nach Artikel 3 gehören zu den wesentlichen Einrichtungen Einrichtungen aus Anhang I, die die Schwellenwerte für mittlere Unternehmen überschreiten (d. h. große Einrichtungen). Dazu gehören auch qualifizierte Vertrauensdiensteanbieter, TLD-Registrare und DNS-Diensteanbieter jeder Größe, mittlere oder größere Anbieter öffentlicher elektronischer Kommunikationsdienste, zentrale Regierungsstellen, CER-kritische Einrichtungen und von einem Mitgliedstaat benannte Einrichtungen. Alle anderen in den Geltungsbereich fallenden Einrichtungen aus Anhang I oder II sind wichtige Einrichtungen^[3]. Die Klassifizierung wirkt sich auf die Art der Aufsicht aus. Wesentliche Einrichtungen unterliegen einer Ex-ante-Aufsicht, während wichtige Einrichtungen hauptsächlich einer Ex-post-Aufsicht unterliegen. Sie legt auch die Bußgeldobergrenzen fest: mindestens 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen und 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen.^[1].

• Dokumentieren Sie die Einstufung für jedes Rechtssubjekt und den Artikelpunkt, auf den sie sich stützt.
• Wenn Einrichtungen innerhalb eines Konzerns unterschiedliche Einstufungen haben, halten Sie dies ausdrücklich fest.

Schritt 6: Zuständigkeit und Hauptniederlassung bestimmen

Die allgemeine Regel lautet, dass der Mitgliedstaat, in dem eine Einrichtung ansässig ist, zuständig ist. Anbieter öffentlicher elektronischer Kommunikationsdienste unterliegen jedem Mitgliedstaat, in dem sie Dienstleistungen erbringen. DNS-Diensteanbieter, TLD-Registrare, Anbieter von Domänennamenregistrierungsdiensten, Cloud-, Rechenzentrum- und CDN-Anbieter, verwaltete (Sicherheits-)Diensteanbieter, Online-Marktplätze, Suchmaschinen und soziale Netzwerke unterliegen dem Mitgliedstaat ihrer Hauptniederlassung. Das ist der Ort, an dem Entscheidungen über Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden. Wenn dies nicht festgestellt werden kann, ist es der Ort, an dem die Cybersicherheitsvorgänge durchgeführt werden, und falls nicht, wo die Einrichtung die meisten Beschäftigten in der EU hat. Anbieter dieser Dienstleistungen außerhalb der EU müssen einen Vertreter in der EU benennen.^[4].

• Notieren Sie für jede Einrichtung die anwendbare Regel und den oder die sich daraus ergebenden Mitgliedstaaten.
• Dokumentieren Sie in Fällen der Hauptniederlassung, wo Cybersicherheitsentscheidungen getroffen werden, z. B. in Vorstandsprotokollen oder einem CISO-Mandat.

Schritt 7: Registrierung in jedem relevanten Land

Die Registrierung erfordert in der Regel den Namen der Einrichtung, Adresse und Kontaktdaten, IP-Bereiche, Sektor und Teilsektor sowie die Mitgliedstaaten, in denen Dienstleistungen im Geltungsbereich erbracht werden. Änderungen müssen innerhalb von zwei Wochen gemeldet werden^[3]. Die Benelux-Verfahren sind nachfolgend dargelegt. Jedes Land bietet auch ein Tool zur Geltungsbereichsprüfung an, mit dem Sie Ihre eigene Analyse überprüfen können.

• Registrieren Sie jede Einrichtung im Geltungsbereich in jedem Land, das zuständig ist.
• Bewahren Sie die Bestätigung auf und setzen Sie eine Erinnerung, um die Daten jedes Quartal zu überprüfen.

Schritt 8: Planen Sie für indirekte Auswirkungen, wenn Sie nicht im Geltungsbereich sind

Eine Einrichtung, die nicht im Geltungsbereich liegt, ist nicht zwangsläufig unberührt. Im Geltungsbereich liegende Einrichtungen müssen die Sicherheit der Lieferkette berücksichtigen, einschließlich der Sicherheitspraktiken ihrer unmittelbaren Lieferanten und Diensteanbieter^[1]. Rechnen Sie mit Fragebögen, Vertragsklauseln und Anfragen nach Nachweisen. Belgiens CCB empfiehlt beispielsweise, dass NIS2-Einrichtungen ihre Lieferanten auffordern, mindestens CyFun BASIC umzusetzen^[5]. Siehe auch Drittanbieter-Risikomanagement 2026.

• Erstellen Sie eine Liste der Kunden, die wahrscheinlich im Geltungsbereich liegen, und was diese verlangen könnten.
• Bereiten Sie ein Standard-Sicherheitspaket vor, das Richtlinien, eine Selbstbewertung und Zertifikate umfasst.
• Wiederholen Sie die Geltungsbereichsprüfung jedes Jahr oder nach einer Fusion, Übernahme oder einem neuen Dienst.

Die begleitende Vorlage umfasst ein Arbeitsblatt zur Geltungsbereichsentscheidung für jede Einrichtung, einen Rechner zur Größenaggregation sowie ein Protokoll für Zuständigkeiten und Registrierung. In Secrato legt das Ergebnis Ihrer Geltungsbereichsentscheidung fest, welche NIS2-Pflichten und CyFun- oder ISO-Kontrollen für jede Einrichtung aktiviert werden.

Wie dies mit anderen Rahmenwerken verbunden ist

Finanzunternehmen unter DORA folgen DORA für das IKT-Risikomanagement und die Meldung von Vorfällen. Ihre Geltungsbereichsanalyse sollte dennoch dokumentieren, dass DORA der Grund ist. CER-kritische Einrichtungen fallen automatisch unter den NIS2-Geltungsbereich. ISO/IEC 27001 entscheidet nicht über den Geltungsbereich, aber ein klar definierter ISMS-Geltungsbereich macht es deutlich einfacher nachzuweisen, welche Dienste von NIS2-Maßnahmen abgedeckt werden. Weitere Informationen zu NIS2.

Häufig gestellte Fragen

Wir haben 40 Mitarbeiter, 12 Mio. € Umsatz und eine Bilanzsumme von 9 Mio. €. Sind wir mittelgroß?

Allein aufgrund dieser Zahlen nein. Mit weniger als 50 Beschäftigten und einer Bilanzsumme von unter 10 Mio. € bleiben Sie ein kleines Unternehmen. Bevor Sie zu einem Schluss kommen, addieren Sie die Daten aller Partner- oder verbundenen Unternehmen.

Ist eine konzerninterne IT-Gesellschaft ein Managed Service Provider?

Das hängt von den Umständen ab. Dokumentieren Sie, welche Dienstleistungen sie erbringt, an wen und auf welcher vertraglichen Grundlage, und holen Sie Orientierung bei Ihrer nationalen Behörde ein. Wenn sie nur Konzerngesellschaften bedient, kann die Beurteilung anders ausfallen als bei einer Gesellschaft, die an Dritte verkauft.

Können wir in mehr als einem Land in den Geltungsbereich fallen?

Ja. Mit Ausnahme der digitalen Typen, die der Hauptniederlassungsregel folgen, unterliegt jede Niederlassung dem Recht des Mitgliedstaats, in dem sie niedergelassen ist. Anbieter öffentlicher elektronischer Kommunikationsdienste unterliegen jedem Land, in dem sie Dienste erbringen^[4].

Was gilt, wenn sich unsere Einstufung ändert?

Melden Sie der Behörde Änderungen Ihrer Registrierungsdaten innerhalb von zwei Wochen^[3] und aktualisieren Sie Ihren Compliance-Plan. Der Wechsel von wichtig zu wesentlich bringt Ex-ante-Aufsicht mit sich und in Belgien eine verpflichtende Konformitätsbewertung.