Sind wir von NIS2 betroffen?

Wer NIS2 überhaupt definiert

Diese Frage ist nicht akademisch: Im Netz kursieren widersprüchliche Schwellenwerte, und wer wissen will, welcher stimmt, muss wissen, wessen Angabe zählt.

• Vorgeschlagen hat NIS2 die Europäische Kommission.
• Beschlossen haben sie gemeinsam das Europäische Parlament und der Rat der Europäischen Union.
• Maßgeblich ist der im EU-Amtsblatt veröffentlichte Text: Richtlinie (EU) 2022/2555.
• ENISA unterstützt die Anwendung fachlich, kann die Schwellenwerte aber nicht verändern.
• National verbindlich wird alles erst durch das Umsetzungsgesetz des jeweiligen Mitgliedstaats — in Deutschland das NIS2UmsuCG.

Entscheidend für die Größenfrage ist eine Verweisung: Artikel 2 der Richtlinie nimmt für die Unternehmensgröße die Empfehlung 2003/361/EG der Kommission in Bezug — also die allgemeine KMU-Definition der EU. Wer die Schwellenwerte verstehen will, muss folglich dort nachsehen, nicht in Zusammenfassungen.

Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, mit Verweis auf die Empfehlung 2003/361/EG der Kommission vom 6. Mai 2003, Artikel 2. Nationale Umsetzung in Deutschland: NIS2-Umsetzungsgesetz, in Kraft seit 6. Dezember 2025. · Stand September 2026

Das Prüfschema

Die Betroffenheit ergibt sich nicht aus einer einzelnen Zahl, sondern aus vier Stufen, die nacheinander zu prüfen sind. Die verbreiteten Kurzformeln springen direkt zu Stufe 2 — und unterschlagen damit sowohl die Tätigkeit davor als auch die Ausnahmen danach.

Die Größenlogik im Detail

Hier liegt die häufigste Fehlerquelle. Die KMU-Definition beschreibt, wann ein Unternehmen klein ist — und NIS2 greift, sobald es das nicht mehr ist. Man muss also eine Negation lesen, und dabei geht regelmäßig etwas schief.

Artikel 2 der Empfehlung sagt sinngemäß: Ein kleines Unternehmen beschäftigt weniger als 50 Personen und sein Jahresumsatz und/oder seine Jahresbilanzsumme überschreitet 10 Millionen Euro nicht.

Das „und/oder“ ist ein Wahlrecht: Das Unternehmen darf den für sich günstigeren der beiden Finanzwerte heranziehen. Daraus folgt die Eintrittsschwelle:

Mindestens mittelgroß — und damit größenbedingt erfasst — ist ein Unternehmen ab 50 Jahresarbeitseinheiten, oder bei weniger als 50, wenn beide Finanzwerte über 10 Millionen Euro liegen.

Was bei der Berechnung oft übersehen wird

• Jahresarbeitseinheiten statt Köpfe. Teilzeit- und Saisonarbeit zählen anteilig. Mitarbeitende Eigentümer und regelmäßig mitarbeitende Gesellschafter können mitzählen.
• Umsatz ohne Mehrwertsteuer und ohne sonstige indirekte Abgaben.
• Zwei aufeinanderfolgende Geschäftsjahre. Eine einmalige Über- oder Unterschreitung ändert die Klasse grundsätzlich noch nicht.
• Partner- und verbundene Unternehmen. Bei Partnerunternehmen werden Werte anteilig, bei verbundenen zu 100 Prozent hinzugerechnet. Eine Konzerntochter mit 20 Beschäftigten kann so als mittleres Unternehmen gelten.

Erfasst auch ohne Größe

Unabhängig von Beschäftigten und Finanzwerten können auch kleine und Kleinstunternehmen erfasst sein — insbesondere bei öffentlichen elektronischen Kommunikationsdiensten, Vertrauensdiensten, TLD-Registries, DNS-Diensten und Domainregistrierungsdiensten.

Hinzu kommen Fälle besonderer Bedeutung: alleiniger Anbieter eines wesentlichen Dienstes, erhebliche Folgen für Sicherheit oder Gesundheit bei einem Ausfall, systemisches oder grenzüberschreitendes Risiko — oder eine entsprechende Bestimmung durch die zuständige nationale Behörde.

Wesentlich oder wichtig — und warum das zählt

Die Einstufung entscheidet über Umfang der Pflichten und Art der Aufsicht. Große Einrichtungen aus Anhang I gelten regelmäßig als wesentlicheEinrichtungen, mittlere aus Anhang I sowie Einrichtungen aus Anhang II regelmäßig als wichtige. Für Telekommunikations- und Vertrauensdienste sowie weitere Sonderfälle gelten abweichende Regeln.

Was sich gerade ändern könnte — und noch nicht gilt

Die EU-Kommission hat im Januar 2026 Änderungen an NIS2 vorgeschlagen, unter anderem für kleine DNS-Anbieter und sogenannte Small Mid-Caps. Dieser Entwurf befindet sich jedoch noch im Gesetzgebungsverfahren und ist kein geltendes Recht.

Wir führen ihn hier auf, weil er die Einordnung künftig verschieben kann — aber die Prüfung oben rechnet ausdrücklich nach der heute geltenden Fassung.

Was nach der Einordnung sinnvoll ist

Unabhängig vom Ergebnis ist der erste tragfähige Schritt eine Bestandsaufnahme: welche Systeme und Dienstleister im Einsatz sind, wer sie verantwortet, was dokumentiert ist. Das ist keine Softwarefrage, sondern eine organisatorische — und die Voraussetzung für alles Weitere.

Für den KI-Anteil dieses Bestands ist Regovio gebaut. Ausdrücklich kein NIS2-Compliance-System: technische Sicherheitsmaßnahmen und Meldeprozesse an das BSI gehören nicht dazu. Wie die Nachweisfrage konkret aussieht, steht unter Haftung der Geschäftsführung.