Besonders wichtig oder wichtig: die zwei Stufen des § 28 BSIG
NIS2 · 20. August 2026 · 5 Min. Lesezeit · RegelWerk RedaktionNIS2 kennt in Deutschland zwei Klassen von Einrichtungen, und an der Klasse hängt, was auf Ihr Unternehmen zukommt. § 28 BSIG nennt sie „besonders wichtige“ und „wichtige“ Einrichtungen. Einen dritten Einstufungsbegriff aus der Richtlinie kennt das BSIG nicht, auch wenn er weiter durch Ratgebertexte geistert. Dieser Beitrag legt die Schwellen beider Stufen offen, erklärt die Logik aus Sektor und Größe und sagt, was die Einstufung für Registrierung und Meldepflichten bedeutet.
Zwei Stufen, ein Prüfschema
Die Einstufung folgt immer demselben Schema: Sektor mal Größe. In welchem Sektor Sie stehen, beantworten die Anlagen 1 und 2 zum BSIG. Wie groß Sie sind, beantworten Mitarbeitendenzahl und Finanzkennzahlen. Erst das Zusammentreffen beider Achsen ergibt die Stufe.
Besonders wichtige Einrichtung ist, wer zu Anlage 1 gehört und die große Schwelle reißt (§ 28 Abs. 1 Nr. 4 BSIG). Wichtige Einrichtung ist, wer zu Anlage 1 oder Anlage 2 gehört und die mittlere Schwelle erreicht (§ 28 Abs. 2 Nr. 3 BSIG). Wer weder das eine noch das andere erfüllt, ist vom Regelungskern nicht erfasst.
Den Begriff „wesentliche Einrichtung“ kennt das BSIG nicht; er stammt aus der Richtlinie. Wer ihn in Fragebögen oder Ratgebern findet, sucht im deutschen Gesetz vergeblich: Maßgeblich sind die zwei Bezeichnungen des § 28 BSIG.
Die Schwellen im Detail
| Stufe | Sektor | Größenkriterium |
|---|---|---|
| Besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 4) | Sektor der Anlage 1 | Mindestens 250 Mitarbeitende ODER mehr als 50 Mio. € Umsatz UND mehr als 43 Mio. € Bilanzsumme |
| Wichtige Einrichtung (§ 28 Abs. 2 Nr. 3) | Sektor der Anlage 1 oder 2 | Mindestens 50 Mitarbeitende ODER jeweils mehr als 10 Mio. € Umsatz UND Bilanzsumme |
Zwei Details entscheiden Einzelfälle. Erstens: Das Finanzkriterium ist kumulativ gemeint, Umsatz und Bilanzsumme müssen beide über der Marke liegen; die Mitarbeitendenzahl steht dagegen als eigene Alternative. Zweitens: Wer seine Bilanzsumme nicht erhebt, kann den Finanzweg nicht sauber prüfen; ohne beide Zahlen bleibt er ein Prüffall, keine Entwarnung. Die Mitarbeitendenzahl ist in den meisten Unternehmen die sauberere Zahl.
Die NIS2-Richtlinie spricht von „wesentlichen“ und „wichtigen“ Einrichtungen. Das BSIG hat daraus „besonders wichtig“ und „wichtig“ gemacht.
Wer in Unterlagen, Verträgen oder Fragebögen von Kunden die Bezeichnung aus der Richtlinie sucht, findet sie im Gesetz nicht. Maßgeblich ist die deutsche Bezeichnung nach § 28 BSIG.
Was die Stufe ändert
An beiden Stufen hängen dieselben Grundpflichten, in unterschiedlicher Schärfe. Zwei Pflichten haben feste Fristen: die Registrierung beim BSI binnen drei Monaten (§ 33 BSIG) und die Meldepflicht bei Sicherheitsvorfällen mit einer Frühwarnung binnen 24 Stunden und der vollständigen Meldung binnen 72 Stunden, jeweils ab Kenntnis des Vorfalls. Die Stufe entscheidet unter anderem darüber, wie weit die Pflichten zum Risikomanagement reichen und wie scharf die Aufsicht zugreifen kann.
- Anlage 1 und große Schwelle: 250 Mitarbeitende oder 50/43 Mio. €
- Der strengeren Aufsicht unterworfen
- Registrierung binnen drei Monaten, Meldung 24 h / 72 h
- Anlage 1 oder 2 und mittlere Schwelle: 50 Mitarbeitende oder je über 10 Mio. €
- Nachrangigere Aufsicht
- Registrierung und Meldepflicht gelten ebenfalls
Was nach der Einstufung konkret auf Sie zukommt, ist eine eigene Strecke: Die Roadmap steht in NIS2-Pflichten: die Roadmap, das Registrierungsverfahren beim BSI in NIS2-Registrierung beim BSI in drei Monaten.
Die Einstufung in der Praxis
- Sektor bestimmen Die Tätigkeit mit Anlage 1 und Anlage 2 abgleichen. Wer in keiner steht, ist vom Kern nicht erfasst.
- Mitarbeitende zählen 250 für besonders wichtig, 50 für wichtig, jeweils als eigene Alternative zur Finanzgröße.
- Finanzkennzahlen erheben Umsatz UND Bilanzsumme: 50 und 43 Mio. € für besonders wichtig, je über 10 Mio. € für wichtig. Ohne Bilanzsumme bleibt der Finanzweg ein Prüffall.
- Stufe festhalten Das Ergebnis dokumentieren, daraus folgen Registrierung, Meldekanäle und das Risikomanagement-Programm.
Praxisbeispiel: zwei Mittelständler, zwei Stufen
Ein Energieversorger (Sektor der Anlage 1) mit 260 Mitarbeitenden ist eine besonders wichtige Einrichtung: Die Anlage passt, und die Mitarbeitendenzahl reißt die große Schwelle, ganz ohne Blick auf Umsatz und Bilanz. Ein Hersteller aus einem Sektor der Anlage 2 mit 230 Mitarbeitenden und 30 Mio. € Umsatz bleibt auf der zweiten Stufe: wichtige Einrichtung, weil die große Schwelle nur Anlage-1-Sektoren vorbehalten ist.
Ein Dritter im selben Anlage-2-Sektor meldet 45 Mitarbeitende, 12 Mio. € Umsatz und keine erhobene Bilanzsumme: Ohne die Bilanzsumme lässt sich das Finanzkriterium nicht verneinen, der Fall bleibt ein Prüffall. Genau diese Weiche stellt der NIS2-Betroffen-Check von RegelWerk: Er fragt Sektor, Mitarbeitende und beide Finanzzahlen getrennt ab und weist darauf hin, wenn eine Zahl fehlt, statt sie zu raten.
Häufige Fragen
Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
Die Stufe ergibt sich aus Sektor und Größe: Besonders wichtig ist, wer zu Anlage 1 gehört und mindestens 250 Mitarbeitende hat oder sowohl über 50 Mio. € Umsatz als auch über 43 Mio. € Bilanzsumme liegt (§ 28 Abs. 1 Nr. 4 BSIG). Wichtig ist, wer zu Anlage 1 oder 2 gehört und mindestens 50 Mitarbeitende hat oder je über 10 Mio. € bei Umsatz und Bilanzsumme liegt (§ 28 Abs. 2 Nr. 3 BSIG).
Gibt es eine dritte Einstufung neben besonders wichtig und wichtig?
Nein. Der dritte Begriff stammt aus der NIS2-Richtlinie, kommt im BSIG aber nicht vor. Das deutsche Gesetz kennt nur besonders wichtige und wichtige Einrichtungen nach § 28 BSIG.
Zählt für die NIS2-Schwelle der Umsatz allein?
Nein, das Finanzkriterium ist kumulativ: Für besonders wichtig müssen Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € zusammenkommen, für wichtig je über 10 Mio. €. Alternativ greift immer die Mitarbeitendenzahl allein. Wer seine Bilanzsumme nicht erhebt, kann den Finanzweg nicht prüfen.
Welche Fristen gelten nach der Einstufung?
Die Registrierung beim BSI ist binnen drei Monaten fällig (§ 33 BSIG). Bei Sicherheitsvorfällen gilt ab Kenntnis: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden.
Das Wichtigste in Kürze
§ 28 BSIG kennt zwei Stufen: besonders wichtige Einrichtungen aus Anlage 1 mit 250 Mitarbeitenden oder 50/43 Mio. € Finanzgröße, und wichtige Einrichtungen aus Anlage 1 oder 2 mit 50 Mitarbeitenden oder je über 10 Mio. €. Eine dritte Stufe neben den beiden existiert im BSIG nicht.
Die Einstufung ist eine Rechnung aus Sektor und Größe, keine Einschätzung nach Gefühl. Wer seine Bilanzsumme nicht kennt, hat kein Ergebnis, sondern einen Prüffall. Auf die Stufe folgen die Registrierung beim BSI binnen drei Monaten und die Meldefristen von 24 und 72 Stunden bei Vorfällen.
Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.