Wichtige Einrichtung (NIS2)
Mittelstand in 18 NIS2-Sektoren — Pflichten ab 06.12.2025
TL;DR
Eine wichtige Einrichtung nach Art. 3 NIS2-RL bzw. § 28 BSIG ist ein mittleres Unternehmen (50-249 MA, 10-50 Mio. EUR Jahresumsatz) in einem der 18 NIS2-Sektoren (Anhang I + II), das nicht als wesentliche Einrichtung gilt. Sie unterliegen den gleichen Risikomanagement-Pflichten nach § 30 BSIG, aber niedrigeren Sanktionen.
Was ist Wichtige Einrichtung (NIS2)?
Das BSIG kennt nur zwei Klassen (EU-NIS2-Terminologie in Klammern):
- Besonders wichtige Einrichtung (EU: wesentliche Einrichtung) — § 28 Abs. 1 BSIG: u. a. Betreiber kritischer Anlagen (KRITIS, § 28 Abs. 1 Nr. 1) sowie große Unternehmen (≥250 MA) der hochkritischen Sektoren — Bußgeld bis 10 Mio. EUR / 2 %
- Wichtige Einrichtung — § 28 Abs. 2 BSIG: mittlere Unternehmen (50-249 MA bzw. Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. EUR) der Anlage-1- oder Anlage-2-Sektoren — Bußgeld bis 7 Mio. EUR / 1,4 %
KRITIS-Betreiber sind keine eigenständige dritte Stufe, sondern eine Teilmenge der besonders wichtigen Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG). Wichtige Einrichtungen müssen alle § 30 BSIG-Pflichten erfüllen, werden aber risikobasiert weniger streng beaufsichtigt als besonders wichtige.
Rechtslage: Deutschland und Österreich
NIS2 wird in Deutschland und Österreich durch je eigenes nationales Recht umgesetzt; Begriffe, Paragraphen und zuständige Behörde unterscheiden sich.
Deutschland (BSIG 2025): Maßgeblich ist § 28 BSIG. Wichtige Einrichtungen (§ 28 Abs. 2) sind Einrichtungen der Anlage-1- oder Anlage-2-Arten, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweisen, soweit sie nicht bereits besonders wichtige Einrichtung sind. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Geldbuße für wichtige Einrichtungen bis 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes (§ 65 BSIG).
Österreich (NISG 2026, BGBl. I Nr. 94/2025): Maßgeblich ist § 24 Abs. 2 NISG 2026. Wichtige Einrichtungen sind Einrichtungen der Anlage-1- und Anlage-2-Arten, die ein großes oder mittleres Unternehmen betreiben, sowie — größenunabhängig — TK- und Vertrauensdiensteanbieter, sofern nicht bereits wesentliche Einrichtung. Ein mittleres Unternehmen liegt nach § 25 Abs. 3 NISG 2026 ab 50 Mitarbeitern oder bei einem Jahresumsatz über 10 Mio. EUR und einer Jahresbilanzsumme über 10 Mio. EUR vor. Zuständige Behörde ist die Cybersicherheitsbehörde. Geldstrafe für wichtige Einrichtungen bis 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes (§ 45 Abs. 3 NISG 2026).
Praxisbeispiel
Typische wichtige Einrichtungen:
- Mittlere Maschinenbauer (50-249 MA, Sektor Verarbeitende Industrie)
- Regional-Banken / Volksbanken (Bankwesen)
- IT-Dienstleister (Sektor Digitale Infrastruktur)
- Regional-Logistik-Unternehmen (Verkehr)
- Mittelstand-Kliniken (Gesundheit)