Einrichtungen in NIS2

Unternehmen in NIS2 und KRITIS

Die NIS2-Umsetzung legt die folgenden Gruppen betroffener regulierten Unternehmen fest. Die Einrichtungen beziehen sich in NIS2 auf einzelne Legaleinheiten wie Gesellschaften, Körperschaften.

Ermittlung der Zahlen

Bei der Bestimmung der Mitarbeiterzahl und Umsatz von wichtigen und besonders wichtigen Einrichtungen ist die Empfehlung 2003/361/EG der Europäischen Kommission anzuwenden. §28 (4)

Dabei ist der letzte Rechnungsabschluss zu nutzen und auf Jahresbasis zu rechnen. Art. 2, 4 und 5

• Bei den finanziellen Kennzahlen geht es um den festgestellten Jahresumsatz und Bilanzsumme.
• Für Mitarbeiter empfiehlt die Kommission die Nutzung von Jahresarbeitseinheiten (JAE ≡ FTE)
• Es geht um Lohn- und Gehaltsempfänger, Personen in einem Unterordnungsverhältnis, mitarbeitende Eigentümer und Teilhaber. Nicht eingerechnet werden u.a. Auszubildende.
• Es gibt weiterhin detaillierte Vorgaben für konsolidierte Abschlüsse (Konzerne) sowie verbundene und Partnernternehmen. Art. 3 und 6

Schwankende Zahlen

Fluktuieren die Kennzahlen von Mitarbeitern und Finanzgrößen bei Unternehmen, enthält die Empfehlung 2003/361/EG Vorgaben zum jährlichen Umgang damit. Art. 4 (2)

Stellt ein Unternehmen am Stichtag des Rechnungsabschlusses fest, dass es auf Jahresbasis die [...] Schwellenwerte für die Mitarbeiterzahl oder die Bilanzsumme über- oder unterschreitet, so verliert bzw. erwirbt es dadurch den Status [als Einrichtung] erst dann, wenn es in zwei aufeinander folgenden Geschäftsjahren zu einer Über- oder Unterschreitung kommt.

Das Ziel der Empfehlung ist, bei der Einstufung für Stabilität und Kontinuität bei volatilen Märkten oder außergewöhnlichen Jahren zu sorgen. Eine Anleitung der EU stellt die Fälle anhand eines KMU, basierend auf Daten des aktuellen (N) und zwei früherer (N-1 und -2) Jahresabschlüsse:

Verbundene Unternehmen

Einrichtungen, die verbundene und Partnerunternehmen haben, müssen deren Zahlen bei der Bestimmung der eigenen Mitarbeiter- und Finanzahlen nach Empfehlung 2003/361/EG addieren. Art. 6

Definition

Dies betrifft Konzernverbünde, Tochtergesellschaften und Unternehmensgruppen, und generell Firmen, die durch gleiche Anteilseigner verbunden sind. Art. 3 (1)-(3)

• Verbundene Unternehmen: Unternehmen, das die Mehrheit an Anteilen, Stimmrechten usw. hält oder dies durch einen Beherrschungsvertrag oder Satzung ausüben kann.
• Partnerunternehmen: Ein vorgeschaltetes Unternehmen hält mind. 25% der Stimmrechte oder Kapitel eines anderen Unternehmens
• Auch: Unternehmen können auch durch natürliche Personen oder Personengesellschaften verbunden sein (wenn gleicher Sektor)
• Ausnahmen: Bestimmte staatliche Beteiligungen, Universitäten und Forschung, institutionelle Anleger, Gebietskörperschaften, Risikokapital

Ausnahmen gibt es, wenn die IT in diesen Konstellationen unabhängig ist. §28 (4)

Auswirkung

Die Auswirkungen sind komplex, im Grunde müssen Einrichtungen die FTE- und Finanzzahlen der verbundenen Unternehmen zu Einrichtungen addiert werden. Art. 6 (2)

• Zu den eigenen Daten müssen vor- und nachgeschaltete Partnerunternehmen addiert werden (proportional nach Anteil etc.)
• Zu den eigenen Daten müssen verbundene Unternehmen addiert werden (100%)
• Daten von noch nicht konsolidierten Unternehmen müssen zu 100% addiert werden

Beispiel: Bei Konzernen sind in Dachgesellschaften (Holdings) die Tochterunternehmen in der Regel bereits konsolidiert. Umgekehrt müssen bei der Berechnung der Daten der Tochtergesellschaften die Daten der Konzerngesellschafts als verbundenes Unternehmen addiert werden.

Dies sollte in Verbünden im Detail mit Buchhaltung und juristischer Unterstützung geklärt werden.

Ausland

Bei der Berechnung der Zahlen inländischer Gesellschaften (Einrichtungen) sind auch ausländische (!) verbundene und Parterunternehmen hinzuzurechnen.

Beispiel: Eine inländische Tochtergesellschaft eines ausländischen Konzerns müssen dessen Zahlen bei der nationalen NIS2-Bestimmung addiert werden.

Besonders wichtige Einrichtungen

Die besonders wichtigen Einrichtungen in NIS2 (Essential Entities) sind Großunternehmen aus NIS2-Sektoren 1 (Annex), einige Unternehmen unabhängig ihrer größe sowie KRITIS-Betreiber. Entscheidend sind die Zahlen von Mitarbeitern (FTE) oder jährlicher Umsatz und Bilanzsumme. §28 (1)

Die Sektoren für Einrichtungen sind in Annex 1 des NIS2-Umsetzungs­gesetzes definiert:

Wichtige Einrichtungen

Die wichtigen Einrichtungen in NIS2, Important Entities, sind Großunternehmen und mittlere Unternehmen aus den Sektoren in NIS2 1 und 2 Annex. Entscheidend sind die Zahlen von Mitarbeitern als FTE oder jährlicher Umsatz- und Bilanzsumme. §28 (2)

Wichtige Einrichtungen sind in Annex 1 und 2 des NIS2-Umsetzungs­gesetzes definiert:

Betreiber kritischer Anlagen (KRITIS)

Die bisherigen KRITIS-Betreiber werden in NIS2 zu Betreibern kritischer Anlagen. Die KRITIS-Logik von KRITIS-Sektoren, kritischen Dienstleistungen und KRITIS-Anlagen mit Schwellenwerten (≥ 500 Tsd. versorgte Personen) bleibt hier erhalten. §28 (2) §2 Nr. 22

Die Betreiber werden neben KRITIS automatisch zu besonders wichtigen Einrichtungen.

Das KRITIS-Dachgesetz reguliert ebenfalls Betreiber kritischer Anlagen mit den gleichen Sektoren und (wahrscheinlich) Anlagen, die noch in einer KRITIS-Verordnung definiert werden müssen.

Quellen

1. Empfehlung 2003/361/EG, Europäische Kommission, 2003
2. User Guide to the SME definition, European Commission, 2020
3. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, S. 2)
4. Gesetz zur Umsetzung der NIS-2-Richtlinie verkündet, 05.12.2025 Bundesgesetzblatt, BGBl.-Nr. 301
5. NIS2-Umsetzungsgesetz, OpenKRITIS
6. Kritische Sektoren für NIS2 und KRITIS, OpenKRITIS