nis2-anwendungsbereich

name	nis2-anwendungsbereich
description	Betroffenheitsprüfung und Registrierung nach NIS2 / neuem BSIG – wesentliche und wichtige Einrichtungen Art. 3 NIS2-RL / § 28 BSIG, Sektoren nach Anhang I/II, Größenschwellen sowie Registrierungspflicht §§ 33/34 BSIG. Use when eine Einrichtung klären muss, ob sie unter NIS2 fällt und sich beim BSI registrieren muss.
language	de
provider_variants	["claude","gemini","openai"]
test	./test.md

/nis2:nis2-anwendungsbereich

Zweck

Das NIS2-Umsetzungsgesetz (in Kraft seit 06.12.2025) hat das BSIG neu gefasst und den Adressatenkreis von rund 2.100 auf etwa 29.000 Einrichtungen erweitert. Wer betroffen ist, ergibt sich aus dem Zusammenspiel von Sektor (Anhang I/II zum BSIG), Größenschwellen und Einrichtungskategorie. Anders als früher gibt es keine behördliche Einzelfeststellung mehr — die Einrichtung muss sich selbst einstufen und registrieren. Dieser Skill führt die Betroffenheitsprüfung und die Registrierung durch.

Eingaben

• Tätigkeit / Sektor der Einrichtung (Energie, Gesundheit, Verkehr, digitale Dienste, Maschinenbau usw.)
• Beschäftigtenzahl, Jahresumsatz, Jahresbilanzsumme
• KRITIS-Status (Betreiber kritischer Anlagen?)
• Qualifizierter Vertrauensdiensteanbieter / DNS / TLD / Cloud / Rechenzentrum?
• Konzernstruktur (verbundene Unternehmen für Schwellenberechnung)

Sub-Agent-Architektur

Drei gedankliche Rollen. Ein Sektor-Agent ordnet die Tätigkeit den Einrichtungstypen aus Anhang I und Anhang II zum BSIG zu. Ein Schwellen-Agent prüft die Größenschwellen (Beschäftigte, Umsatz, Bilanzsumme) und die Sonderfälle, in denen die Schwelle entfällt. Ein Registrierungs-Agent bestimmt die Einrichtungskategorie nach § 28 BSIG und den richtigen Registrierungspfad (§ 33 oder § 34 BSIG) samt Frist. Die finale Einstufung verantwortet die Einrichtung selbst.

Ablauf

1. Sektor-Zuordnung (Anhang I / II BSIG)

• Anhang I (hohe Kritikalität): u. a. Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste-Verwaltung, Weltraum.
• Anhang II (sonstige kritische Sektoren): u. a. Post/Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (inkl. Maschinenbau), digitale Dienste, Forschung.

2. Größenschwellen (§ 28 BSIG)

Kategorie	Schwelle
Besonders wichtige Einrichtung	KRITIS-Betreiber, qualifizierte Vertrauensdiensteanbieter oder Anhang-I-Typ mit ≥ 250 Beschäftigten oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme
Wichtige Einrichtung	Anhang-I-/II-Typ mit ≥ 50 Beschäftigten oder > 10 Mio. € Umsatz und > 10 Mio. € Bilanzsumme

• Bei bestimmten Typen (DNS, TLD, qualifizierte Vertrauensdienste, KRITIS) gelten die Größenschwellen nicht — Betroffenheit unabhängig von der Größe.
• Terminologie: Die NIS2-RL spricht in Art. 3 von wesentliche und wichtige Einrichtungen; das BSIG setzt dies als besonders wichtige und wichtige Einrichtungen um.

3. Selbsteinstufung statt Bescheid

• Es ergeht kein behördlicher Feststellungsbescheid; die Einrichtung trägt die Darlegungslast ihrer Selbsteinstufung.

4. Registrierungspflicht (§§ 33/34 BSIG)

• § 33 BSIG: allgemeine Registrierungspflicht beim BSI — binnen drei Monaten ab Erfüllung der Kriterien.
• § 34 BSIG: besondere Registrierungspflicht für bestimmte Typen (z. B. DNS-Diensteanbieter, TLD-Registries, Cloud-/Rechenzentrumsdienste, CDN), teils mit zusätzlichen Angaben.
• Registrierungsportal des BSI; Aktualisierungspflicht bei Änderungen.

5. Folgepflichten

• Mit der Betroffenheit greifen unmittelbar Risikomanagement (§ 30 BSIG), Meldepflichten (§ 32 BSIG) und Leitungspflichten (§ 38 BSIG).

Risiken / typische Fehler

• Größenschwellen falsch berechnet — verbundene Unternehmen und der Wegfall der Schwelle bei Sondertypen (DNS, KRITIS) werden oft übersehen.
• Registrierungspflicht verpasst — die Drei-Monats-Frist nach § 33 BSIG läuft automatisch, ohne behördliche Aufforderung.
• Selbsteinstufung unterlassen — es gibt keinen Bescheid; wer auf Post vom BSI wartet, ist bereits säumig.
• Lieferketten-Betroffenheit verkannt — auch Zulieferer in Anhang-II-Sektoren (z. B. Maschinenbau) können erfasst sein.

Quellen

Statute

• § 28 BSIG (n.F.) — besonders wichtige und wichtige Einrichtungen
• § 33 BSIG (n.F.) — Registrierungspflicht
• § 34 BSIG (n.F.) — besondere Registrierungspflicht
• Richtlinie (EU) 2022/2555 (NIS2) — Art. 3 NIS2-RL, Anhang I / Anhang II

Sekundärliteratur

• Eckhardt, NIS2, 1. Aufl. 2024
• OpenKRITIS, „NIS2-Umsetzungsgesetz in Deutschland"

Ausgabeformat

NIS2-ANWENDUNGSBEREICH — <Einrichtung> — <Datum>

I.    Sektor-Zuordnung (Anhang I / II)     [Typ / Sektor]
II.   Größenschwellen (§ 28 BSIG)
      Beschäftigte / Umsatz / Bilanz        <Werte>  Schwelle erreicht? [Ja/Nein]
      Sondertyp ohne Schwelle?              [Ja/Nein]
III.  Einrichtungskategorie                 [besonders wichtig / wichtig / nicht betroffen]
IV.   Registrierungspflicht                 [§ 33 BSIG / § 34 BSIG]  Frist: <Datum + 3 Monate>
V.    Folgepflichten                         [§ 30 / § 32 / § 38 BSIG aktiviert]

Selbsteinstufung dokumentiert: <Begründung>
Nächster Schritt: <…>