Branchen

NIS2-Sektoren und Branchen: was für Sie gilt

Dieselben Regeln sehen im Werk, im Hafen, bei den Stadtwerken, in der Bank und beim Netzbetreiber anders aus. Für fünf Branchen, in denen wir arbeiten, zeigen wir, welche Vorschriften gelten und warum, wo Nachweise typischerweise fehlen und womit Sie anfangen.

// Kurz gesagt

Die Kategorie hängt an Einrichtungsart und Größe

In Deutschland regelt § 28 BSIG, wer unter NIS2 fällt. Die Anlagen 1 und 2 nennen die Einrichtungsarten, die Unternehmensgröße entscheidet über die Kategorie. Große Unternehmen aus Anlage 1 sind besonders wichtige Einrichtungen, mittlere aus Anlage 1 und mittlere oder große aus Anlage 2 wichtige. Für Telekommunikation, Energienetze und Finanzunternehmen gelten eigene Regeln.

Stand: 24. September 2026. Quellen: § 28 BSIG, Anlage 1, Anlage 2.

// Branchen

Fünf Branchen, jeweils mit eigenen Regeln

Jede Seite zeigt, welche Vorschriften für Sie gelten und warum, welche Risiken und Nachweislücken wir am häufigsten sehen, welche Leistungen passen und wie der erste Schritt aussieht.

  1. 01Produktion und Robotik

    Werk und Produkt, zwei Regelwerke zugleich

    Maschinenbau, Elektronik und Fahrzeugbau stehen in Anlage 2 des BSIG und sind ab mittlerer Größe wichtige Einrichtungen. Für die Maschinen, die Sie verkaufen, kommen Maschinenverordnung und CRA hinzu.

    • BSIG, Anlage 2
    • Maschinenverordnung ab 20. Januar 2027
    • CRA für Produkte mit digitalen Elementen
    • IEC 62443 für das OT-Netz
    Produktion und Robotik
  2. 02Logistik und Transport

    Im Gesetz oder in der Lieferkette

    Luftverkehr, Schiene, Schifffahrt und Häfen stehen in Anlage 1, Post- und Kurierdienste in Anlage 2. Eine Spedition ohne diese Tätigkeiten erreicht NIS2 meist über die Fragebögen ihrer Kunden.

    • BSIG, Anlage 1: Transport und Verkehr
    • Post- und Kurierdienste in Anlage 2
    • Sicherheitsfragebögen von Kunden
    Logistik und Transport
  3. 03Energie und Wasser

    Stadtwerke zwischen BSIG und EnWG

    Netzbetreiber setzen den IT-Sicherheitskatalog nach § 5c EnWG um, Wasserversorger und Abwasserbetriebe die Maßnahmen nach § 30 BSIG. Ein Stadtwerk mit Strom, Gas und Wasser braucht meist beides.

    • BSIG, Anlage 1
    • § 5c EnWG und IT-Sicherheitskatalog
    • § 39 BSIG für Betreiber kritischer Anlagen
    Energie und Wasser
  4. 04Finanzen, Versicherungen, SaaS

    DORA auf beiden Seiten des Vertrags

    Banken und Versicherer reichen ihr Informationsregister bei der BaFin ein. SaaS-Anbieter erreicht DORA über den Vertrag nach Art. 30.

    • DORA seit 17. Januar 2025
    • Informationsregister über das MVP-Portal der BaFin
    • Kernpflichten des BSIG gelten für Finanzunternehmen nicht
    Finanzen, Versicherungen und SaaS
  5. 05Telekommunikation

    TKG statt § 30 BSIG

    Betreiber öffentlicher Netze und Anbieter öffentlich zugänglicher Dienste setzen die Maßnahmen nach § 165 TKG um und melden an Bundesnetzagentur und BSI.

    • § 165 TKG und Sicherheitskatalog
    • Meldungen nach § 168 TKG
    • Keine Untergrenze bei der Größe
    Telekommunikation

Wie § 28 BSIG die Kategorie bestimmt

Stand: 24. September 2026
WerKategorieGrundlage
Einrichtung aus Anlage 1 mit mindestens 250 Beschäftigten oder über 50 Mio. Euro Jahresumsatz und über 43 Mio. Euro JahresbilanzsummeBesonders wichtige Einrichtung§ 28 Abs. 1 Nr. 4
Einrichtung aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EuroWichtige Einrichtung§ 28 Abs. 2 Nr. 3
Betreiber öffentlicher Telekommunikationsnetze oder Anbieter öffentlich zugänglicher Telekommunikationsdienste: ab 50 Beschäftigten oder jeweils über 10 Mio. Euro / darunterBesonders wichtige / wichtige Einrichtung§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2
Betreiber kritischer AnlagenBesonders wichtige Einrichtung, zusätzlich Nachweise alle drei Jahre§ 28 Abs. 1 Nr. 1, § 39
Finanzunternehmen nach DORA§§ 30, 31, 32, 35, 36, 38 und 39 BSIG gelten nicht, DORA gilt§ 28 Abs. 6

Vernachlässigbare Geschäftstätigkeiten können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3). Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn Ihre IT unabhängig von der Gruppe ist (§ 28 Abs. 4). Wer neu unter das Gesetz fällt, registriert sich spätestens drei Monate später beim BSI (§ 33 Abs. 1).

Für Gesellschaften in Polen gilt das polnische KSC-Gesetz mit eigenen Anlagen und Schwellen: KSC für Standorte in Polen. Die Pflichten nach § 30 BSIG im Einzelnen beschreibt die Seite NIS2-Umsetzung.

Auch andere Branchen fallen unter NIS2

Die Anlagen 1 und 2 des BSIG nennen deutlich mehr Einrichtungsarten, und DORA und CRA haben einen eigenen Anwendungsbereich. In 30 Minuten klären wir, was für Sie gilt und womit Sie anfangen.

30-Minuten-Gespräch vereinbaren

Lieber zuerst etwas Schriftliches?

Beschreiben Sie Ihr Unternehmen und Ihren Sektor, und wir schicken Ihnen Umfang und Termin des ersten Schritts. Wir antworten innerhalb eines Arbeitstages.

Ersten Schritt anfragen