Branchen
NIS2-Sektoren und Branchen: was für Sie gilt
Dieselben Regeln sehen im Werk, im Hafen, bei den Stadtwerken, in der Bank und beim Netzbetreiber anders aus. Für fünf Branchen, in denen wir arbeiten, zeigen wir, welche Vorschriften gelten und warum, wo Nachweise typischerweise fehlen und womit Sie anfangen.
// Kurz gesagt
Die Kategorie hängt an Einrichtungsart und Größe
In Deutschland regelt § 28 BSIG, wer unter NIS2 fällt. Die Anlagen 1 und 2 nennen die Einrichtungsarten, die Unternehmensgröße entscheidet über die Kategorie. Große Unternehmen aus Anlage 1 sind besonders wichtige Einrichtungen, mittlere aus Anlage 1 und mittlere oder große aus Anlage 2 wichtige. Für Telekommunikation, Energienetze und Finanzunternehmen gelten eigene Regeln.
Stand: 24. September 2026. Quellen: § 28 BSIG, Anlage 1, Anlage 2.
// Branchen
Fünf Branchen, jeweils mit eigenen Regeln
Jede Seite zeigt, welche Vorschriften für Sie gelten und warum, welche Risiken und Nachweislücken wir am häufigsten sehen, welche Leistungen passen und wie der erste Schritt aussieht.
01Produktion und Robotik
Werk und Produkt, zwei Regelwerke zugleich
Maschinenbau, Elektronik und Fahrzeugbau stehen in Anlage 2 des BSIG und sind ab mittlerer Größe wichtige Einrichtungen. Für die Maschinen, die Sie verkaufen, kommen Maschinenverordnung und CRA hinzu.
- BSIG, Anlage 2
- Maschinenverordnung ab 20. Januar 2027
- CRA für Produkte mit digitalen Elementen
- IEC 62443 für das OT-Netz
02Logistik und Transport
Im Gesetz oder in der Lieferkette
Luftverkehr, Schiene, Schifffahrt und Häfen stehen in Anlage 1, Post- und Kurierdienste in Anlage 2. Eine Spedition ohne diese Tätigkeiten erreicht NIS2 meist über die Fragebögen ihrer Kunden.
- BSIG, Anlage 1: Transport und Verkehr
- Post- und Kurierdienste in Anlage 2
- Sicherheitsfragebögen von Kunden
03Energie und Wasser
Stadtwerke zwischen BSIG und EnWG
Netzbetreiber setzen den IT-Sicherheitskatalog nach § 5c EnWG um, Wasserversorger und Abwasserbetriebe die Maßnahmen nach § 30 BSIG. Ein Stadtwerk mit Strom, Gas und Wasser braucht meist beides.
- BSIG, Anlage 1
- § 5c EnWG und IT-Sicherheitskatalog
- § 39 BSIG für Betreiber kritischer Anlagen
04Finanzen, Versicherungen, SaaS
DORA auf beiden Seiten des Vertrags
Banken und Versicherer reichen ihr Informationsregister bei der BaFin ein. SaaS-Anbieter erreicht DORA über den Vertrag nach Art. 30.
- DORA seit 17. Januar 2025
- Informationsregister über das MVP-Portal der BaFin
- Kernpflichten des BSIG gelten für Finanzunternehmen nicht
05Telekommunikation
TKG statt § 30 BSIG
Betreiber öffentlicher Netze und Anbieter öffentlich zugänglicher Dienste setzen die Maßnahmen nach § 165 TKG um und melden an Bundesnetzagentur und BSI.
- § 165 TKG und Sicherheitskatalog
- Meldungen nach § 168 TKG
- Keine Untergrenze bei der Größe
Wie § 28 BSIG die Kategorie bestimmt
| Wer | Kategorie | Grundlage |
|---|---|---|
| Einrichtung aus Anlage 1 mit mindestens 250 Beschäftigten oder über 50 Mio. Euro Jahresumsatz und über 43 Mio. Euro Jahresbilanzsumme | Besonders wichtige Einrichtung | § 28 Abs. 1 Nr. 4 |
| Einrichtung aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. Euro | Wichtige Einrichtung | § 28 Abs. 2 Nr. 3 |
| Betreiber öffentlicher Telekommunikationsnetze oder Anbieter öffentlich zugänglicher Telekommunikationsdienste: ab 50 Beschäftigten oder jeweils über 10 Mio. Euro / darunter | Besonders wichtige / wichtige Einrichtung | § 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 |
| Betreiber kritischer Anlagen | Besonders wichtige Einrichtung, zusätzlich Nachweise alle drei Jahre | § 28 Abs. 1 Nr. 1, § 39 |
| Finanzunternehmen nach DORA | §§ 30, 31, 32, 35, 36, 38 und 39 BSIG gelten nicht, DORA gilt | § 28 Abs. 6 |
Vernachlässigbare Geschäftstätigkeiten können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3). Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihre IT unabhängig von der Gruppe ist (§ 28 Abs. 4). Wer neu unter das Gesetz fällt, registriert sich spätestens drei Monate später beim BSI (§ 33 Abs. 1).
Für Gesellschaften in Polen gilt das polnische KSC-Gesetz mit eigenen Anlagen und Schwellen: KSC für Standorte in Polen. Die Pflichten nach § 30 BSIG im Einzelnen beschreibt die Seite NIS2-Umsetzung.
Auch andere Branchen fallen unter NIS2
Die Anlagen 1 und 2 des BSIG nennen deutlich mehr Einrichtungsarten, und DORA und CRA haben einen eigenen Anwendungsbereich. In 30 Minuten klären wir, was für Sie gilt und womit Sie anfangen.
30-Minuten-Gespräch vereinbarenLieber zuerst etwas Schriftliches?
Beschreiben Sie Ihr Unternehmen und Ihren Sektor, und wir schicken Ihnen Umfang und Termin des ersten Schritts. Wir antworten innerhalb eines Arbeitstages.
Ersten Schritt anfragen