NIS2 / KRITIS
Erst einordnen.
Dann entscheiden.
Die Matrix zeigt die Grundlogik. Die geführte Vorprüfung gibt Ihnen eine erste Richtung. Den konkreten Geltungsbereich klären wir gemeinsam.
Die Einordnung auf einen Blick
Welche Anforderungen
betreffen Ihr Unternehmen?
Die Tätigkeit entscheidet mit. Die Größe allein macht einen Betrieb noch nicht zur NIS2-Einrichtung. Diese vereinfachte Matrix bildet die Grundlogik des BSI-Entscheidungsbaums nach § 28 BSIG ab.
↔ Auf kleinen Bildschirmen können Sie die Matrix seitlich verschieben.
| Tätigkeit / Sonderfall | Unterhalb der mittleren Größe¹ | Mittlere Größe¹ | Große Einrichtung² |
|---|---|---|---|
| Einrichtungsart aus Anlage 1 BSIG z. B. Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur | Regulär keine Einordnung über Größe | Wichtige Einrichtung | Besonders wichtige Einrichtung |
| Einrichtungsart aus Anlage 2 BSIG z. B. bestimmte Herstellung, Lebensmittel, Chemie, Abfall, Post | Regulär keine Einordnung über Größe | Wichtige Einrichtung | Wichtige Einrichtung |
| Keine erfasste Einrichtungsart | Regulär keine direkte NIS2-Einordnung über diese Matrix. Vertragliche Anforderungen der Lieferkette bleiben möglich. | ||
| Betreiber kritischer Anlagen | Besonders wichtige Einrichtung – unabhängig von der Unternehmensgröße. Anlagenart und maßgeblicher Schwellenwert bzw. behördliche Bestimmung gesondert prüfen. | ||
| Qualifizierte Vertrauensdienste, TLD-Registries, DNS-Diensteanbieter | Besonders wichtige Einrichtung – unabhängig von der Unternehmensgröße. | ||
| Öffentliche Telekommunikationsdienste / -netze | Wichtige Einrichtung | Besonders wichtige Einrichtung ab mittlerer Größe¹ | |
| Sonstige Vertrauensdiensteanbieter | Wichtige Einrichtung – unabhängig von der Unternehmensgröße, sofern nicht bereits besonders wichtig. | ||
¹ Mittlere Größe: mindestens 50 Beschäftigte ODER Jahresumsatz über 10 Mio. € UND Jahresbilanzsumme über 10 Mio. €. Unterhalb: beide Kriterien nicht erfüllt.
² Große Einrichtung: mindestens 250 Beschäftigte ODER Jahresumsatz über 50 Mio. € UND Jahresbilanzsumme über 43 Mio. €. Die Spalte „mittlere Größe“ gilt, wenn die große Größe noch nicht erreicht wird.
Konkrete Einrichtungsarten, Ausnahmen, Zurechnung verbundener und Partnerunternehmen sowie sektorale Sonderregeln sind im Einzelfall zu prüfen. Ein Handwerksbetrieb ist nicht allein wegen seiner Beschäftigtenzahl direkt betroffen. KRITIS ist kein Synonym für jedes große Unternehmen. Die physische Resilienz nach dem KRITIS-Dachgesetz wird gesondert betrachtet.
IT-Sicherheit und physische Resilienz gemeinsam betrachten: Das BSIG regelt die Cybersicherheit und zusätzliche Pflichten kritischer Anlagen. Das KRITIS-Dachgesetz betrifft die physische Resilienz. Ob und ab wann dessen konkrete Pflichten greifen, hängt unter anderem von der Anlagenbestimmung, den konkretisierenden Verordnungen und den gesetzlichen Anwendungsregeln ab. Wir prüfen diese Ebenen zusammen mit den jeweiligen sektoralen Vorgaben.
Grundlagen · BSI-Entscheidungsbaum · § 28 BSIG · Anlage 1 · Anlage 2 · KRITIS-Dachgesetz · Umsetzung beim BBK
Fachlicher Stand: 6. November 2026. Orientierung, keine abschließende rechtliche Einstufung.
Ihr nächster Schritt
Eine erste Richtung.
Mit wenigen Angaben.
Die Vorprüfung verarbeitet Ihre Auswahl ausschließlich im Browser. Sie wird weder gespeichert noch automatisch mit einer Anfrage versendet.
Gut zu wissen
Die wichtigsten Fragen.
Ist jedes große Unternehmen automatisch KRITIS?
Nein. Maßgeblich sind unter anderem kritische Dienstleistungen, Anlagenkategorien und die jeweils geltenden Schwellenwerte oder eine behördliche Bestimmung. Die Unternehmensgröße allein genügt nicht. NIS2 und KRITIS überschneiden sich, sind aber nicht deckungsgleich.
Reicht eine gute Dokumentation allein aus?
Nein. Dokumentation belegt die umgesetzten Maßnahmen, Zuständigkeiten und Entscheidungen. Erforderliche Schutzmaßnahmen müssen tatsächlich wirksam sein. Wo der rechtliche Rahmen Alternativen zulässt, müssen diese das geforderte Schutzniveau erreichen und nachvollziehbar bewertet werden.
Übernehmen Sie auch die unabhängige Auditentscheidung?
Unsere Leistung ist Beratung und Vorbereitung. Die unabhängige Prüfung, behördliche Bewertung oder Zertifizierung liegt bei der dafür zuständigen Stelle. Eine erfolgreiche Prüfung kann nicht vorab zugesagt werden.