Größenschwellen aus dem Amtsblatt, gelesen am 4. Oktober 2026
NIS2 für kleine Unternehmen: Sind Sie betroffen?
Meist nicht wegen der Größe. Einige Dienste sind in jeder Größe erfasst, und betroffene Kunden fragen so oder so nach Ihrer Sicherheit.
- Kurze Antwort
- Meist nicht
NIS2 beginnt bei mittlerer Größe. Ein Unternehmen mit weniger als 50 Beschäftigten ist klein, es sei denn, Umsatz und Bilanzsumme übersteigen beide 10 Mio. €, und ein kleines Unternehmen ist nicht erfasst, es sei denn, eine der Regeln unten erfasst es unabhängig von der Größe.
- Für wen
- Ein Unternehmen mit weniger als 50 Personen, gezählt mit seinen Partner- und verbundenen Unternehmen, dessen Dienst eine in den Anhängen von NIS2 genannte Art ist.
- Was zu tun ist
- Prüfen Sie die Liste unten, halten Sie das Ergebnis mit Datum schriftlich fest, und halten Sie Ihre Sicherheitsunterlagen für die Lieferantenfragen Ihrer Kunden bereit.
Die Größengrenze
| Größe | Definition | NIS2 nach Größe |
|---|---|---|
| Kleinstunternehmen Nicht erfasst | Weniger als 10 Beschäftigte, und Umsatz oder Bilanzsumme höchstens 2 Mio. € | Nicht erfasst |
| Kleines Unternehmen Nicht erfasst | Weniger als 50 Beschäftigte, und Umsatz oder Bilanzsumme höchstens 10 Mio. € | Nicht erfasst |
| Mittleres Unternehmen Erfasst, wenn die Art gelistet ist | Weniger als 250 Beschäftigte, und Umsatz höchstens 50 Mio. € oder Bilanzsumme höchstens 43 Mio. € | Erfasst, wenn die Art gelistet ist |
| Großes Unternehmen Erfasst, wenn die Art gelistet ist | 250 Beschäftigte oder mehr, oder Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € | Erfasst, wenn die Art gelistet ist |
Artikel 2 des Anhangs der Empfehlung 2003/361/EG, gelesen am 4. Oktober 2026. NIS2 Artikel 2 Absatz 1 erfasst mittlere und größere Unternehmen.
Unabhängig von der Größe erfasst
Trifft eines davon zu, spielt die Größe keine Rolle:
- Wir betreiben ein öffentliches elektronisches Kommunikationsnetz oder erbringen einen öffentlich zugänglichen elektronischen Kommunikationsdienst (Artikel 2(2)(a)(i))
- Wir sind ein Vertrauensdiensteanbieter nach der Verordnung (EU) Nr. 910/2014 (Artikel 2(2)(a)(ii))
- Wir sind ein TLD-Namenregister oder ein DNS-Diensteanbieter (Artikel 2(2)(a)(iii))
- Wir erbringen Domänennamen-Registrierungsdienste (Artikel 2(4))
- Unser Mitgliedstaat hat uns als einzigen Anbieter eines Dienstes ermittelt, der für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten unerlässlich ist (Artikel 2(2)(b))
- Unser Mitgliedstaat hat uns nach Artikel 2(2)(c) bis (e) ermittelt: Eine Störung unseres Dienstes hätte erhebliche Auswirkungen auf die öffentliche Sicherheit, Ordnung oder Gesundheit oder könnte ein Systemrisiko auslösen, oder wir sind für unseren Sektor auf nationaler oder regionaler Ebene kritisch
- Wir sind als kritische Einrichtung nach der Richtlinie (EU) 2022/2557 ermittelt (Artikel 2(3))
Zur Prüfung des Anwendungsbereichs
Was Sie trotzdem erreicht
Kunden, die wesentliche oder wichtige Einrichtungen sind, müssen ihre Lieferkette absichern. Artikel 21 Absatz 2 Buchstabe d verlangt von ihnen:
„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“
Artikel 21 Absatz 3 ergänzt, dass sie die Schwachstellen und die Sicherheitspraxis jedes unmittelbaren Anbieters berücksichtigen. Daher kommen der Lieferantenfragebogen und die Vertragsklauseln.
StandardOS führt die Richtlinien, das Risikoregister und die Nachweise, aus denen diese Fragen beantwortet werden.
Dies ist die Lesart der Richtlinie durch StandardOS, mit dem zitierten Artikel. Wie sie für Sie gilt, entscheidet das Recht Ihres Mitgliedstaats.
Fragen
- Zählt unsere Unternehmensgruppe mit?
- Ja. Die Empfehlung zählt das Unternehmen zusammen mit seinen Partner- und verbundenen Unternehmen, daher ist eine kleine Tochter einer großen Gruppe nicht klein.
- Wir haben die Grenze dieses Jahr überschritten. Sind wir jetzt erfasst?
- Nicht wegen eines Jahres. Nach Artikel 4 Absatz 2 desselben Anhangs ändert sich der Status erst, wenn ein Schwellenwert in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird.
- Kann unser Mitgliedstaat uns einbeziehen?
- Ja. Ein Mitgliedstaat kann eine kleinere Einrichtung nach Artikel 2 Absatz 2 Buchstaben b bis e bestimmen, etwa als einzigen Anbieter eines wesentlichen Dienstes, und er würde es Ihnen mitteilen.
Führen Sie die Unterlagen, nach denen Ihre Kunden fragen
Keine Karte nötig · jederzeit in der App kündbar