Wesentliche Einrichtung (NIS2)
Hochregulierte Unternehmen nach Anhang I NIS2 / § 28 BSIG
TL;DR
Eine wesentliche Einrichtung nach Art. 3 NIS2-RL bzw. § 28 BSIG ist ein Großunternehmen (≥250 MA oder ≥50 Mio. EUR Jahresumsatz) in einem der 11 Hochkritikalitäts-Sektoren nach Anhang I (Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, ICT-Service-Management, Öffentliche Verwaltung, Weltraum). Sie unterliegen verschärften Pflichten und Sanktionen.
Was ist Wesentliche Einrichtung (NIS2)?
Zwei Klassen nach NIS2 (in Deutschland umgesetzt in § 28 BSIG):
| Kategorie (EU / DE) | Größe | Sektoren | Sanktionen-Maximum |
|---|---|---|---|
| Wesentlich (EU) = besonders wichtig (§ 28 Abs. 1 BSIG) | ≥250 MA / ≥50 Mio. EUR | 11 Anhang I-Sektoren | 10 Mio. EUR / 2 % Umsatz |
| Wichtig (§ 28 Abs. 2 BSIG) | 50-249 MA / 10-50 Mio. EUR | 18 Sektoren (Anhang I + II) | 7 Mio. EUR / 1,4 % Umsatz |
Das BSIG kennt nur diese zwei Klassen: „besonders wichtige Einrichtungen“ (§ 28 Abs. 1 BSIG) und „wichtige Einrichtungen“ (§ 28 Abs. 2 BSIG). Die „besonders wichtige Einrichtung“ ist die deutsche Entsprechung der EU-„wesentlichen Einrichtung“ — keine getrennte dritte Kategorie. Betreiber kritischer Anlagen (KRITIS) sind nach § 28 Abs. 1 Nr. 1 BSIG eine Teilmenge der besonders wichtigen Einrichtungen, kein eigener Rang.
Bestimmte Sektoren machen unabhängig von Größe wesentlich: TLD .de, DNS-Anbieter, Vertrauensdiensteanbieter, öffentliche Verwaltung mit kritischen Funktionen.
Rechtslage: Deutschland und Österreich
Deutschland (BSIG 2025): Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSIG unterscheidet besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG — deutsche Entsprechung der EU-„wesentlichen Einrichtung“) und wichtige Einrichtungen (§ 28 Abs. 2 BSIG). Für besonders wichtige Einrichtungen drohen Bußgelder bis zu 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes (§ 65 BSIG).
Österreich (NISG 2026, BGBl. I Nr. 94/2025): Österreich verwendet den EU-Begriff wesentliche Einrichtungen (§ 24 Abs. 1 NISG 2026) neben wichtigen Einrichtungen (§ 24 Abs. 2). Maßgeblich ist die Größenschwelle „großes Unternehmen“: mindestens 250 Mitarbeiter oder ein Jahresumsatz über 50 Mio. EUR und eine Jahresbilanzsumme über 43 Mio. EUR (§ 25 Abs. 2 NISG 2026). Zuständige Behörde ist die Cybersicherheitsbehörde (nachgeordnete Behörde des Bundesministers für Inneres). Geldstrafen bis zu 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes (§ 45 Abs. 2 NISG 2026).
Praxisbeispiel
Typische wesentliche Einrichtungen:
- Stadtwerke (Energie + Wasser)
- Universitätsklinikum (Gesundheit, ≥250 MA)
- Großbanken + Volksbanken (Bankwesen, ≥250 MA)
- Großer Logistik-Konzern (Verkehr, ≥250 MA)
- Cloud-Provider (Digitale Infrastruktur)