Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Welche Konzerngesellschaft fällt unter NIS2? Das Whitepaper zeigt die Einstufung, die Pflichten aus § 30 und § 32 BSIG und eine skalierbare Roadmap.
Bei Scale-ups ist die Frage nach NIS2 selten, ob das Gesetz gilt. Meist ist offen, welche der eigenen Gesellschaften erfasst sind und in welcher Stufe. Genau diese Einordnung entscheidet über Registrierung, Meldewege und Aufsichtsintensität, und sie verschiebt sich mit jedem Wachstumsschritt. Zwei Vorschriften geben die Antwort präziser, als es die verbreiteten Zusammenfassungen tun.
Weil die Betroffenheit nicht mehr an einzelnen Anlagen hängt, sondern an Sektor und Unternehmensgröße. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist, rund 29.500 Unternehmen aus 18 Sektoren fallen darunter.
Die Schwellen lohnen einen genauen Blick, weil sie oft verkürzt zitiert werden. Wichtige Einrichtung ist, wer in einem Sektor der Anlage 1 oder 2 mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro erreicht. Für die besonders wichtige Einrichtung verlangt § 28 BSIG mindestens 250 Beschäftigte oder einen Jahresumsatz über 50 Millionen Euro und zusätzlich eine Jahresbilanzsumme über 43 Millionen Euro. Die Bilanzsumme fehlt in vielen Darstellungen, und sie ist der Grund, warum ein umsatzstarkes Scale-up mit schlanker Bilanz noch nicht in der strengeren Stufe landet.
Hier liegt die eigentliche Arbeit, und es gibt eine klare Rechtsgrundlage. Für die Ermittlung von Beschäftigtenzahl, Umsatz und Bilanzsumme verweist § 28 BSIG auf die Empfehlung 2003/361/EG der Kommission, also auf die europäische KMU-Definition, mit Ausnahme von Artikel 3 Absatz 4 des Anhangs. Diese Empfehlung kennt Partnerunternehmen und verbundene Unternehmen und verlangt grundsätzlich eine konsolidierte Betrachtung. Ein 40-Personen-Team in einer Konzernstruktur kann damit über die Gruppe in den Anwendungsbereich rutschen.
Entscheidend ist die Einschränkung, die dabei fast immer untergeht: Die Daten von Partnerunternehmen und verbundenen Unternehmen sind nicht einzubeziehen, soweit die Einrichtung hinsichtlich ihrer Netz- und Informationssysteme unabhängig ist. Für ein VC-finanziertes Scale-up ist das der praktisch wichtigste Satz des ganzen Themas. Wer eigene Systeme, eigene Identitäten und eigene Administration betreibt, rechnet die Beteiligungsstruktur nicht automatisch mit. Wer dagegen auf dem Konzern-Tenant sitzt, dessen Verzeichnisdienst nutzt und dessen Administratoren zulässt, argumentiert schwer für Unabhängigkeit. Diese Prüfung gehört schriftlich dokumentiert, denn sie ist im Zweifel die Verteidigung gegenüber der Aufsicht.
Zunächst eine Erleichterung, dann eine Zusatzpflicht. Für digitale Einrichtungsarten richtet sich die Zuständigkeit nach der Hauptniederlassung: Liegt sie in Deutschland, ist das BSI zuständig, und nicht jede nationale Behörde einzeln.
Die Zusatzpflicht steht in § 34 BSIG und betrifft elf Einrichtungsarten, darunter Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider und Managed Security Service Provider. Diese Unternehmen müssen über die Registrierung hinaus Angaben zu sämtlichen Niederlassungen in anderen EU-Mitgliedstaaten übermitteln, und im BSI-Portal sind die IP-Adressbereiche aller Einrichtungen zu erfassen. Die Übermittlung läuft über eine Vorlage und eine verschlüsselte Nachricht an den Portal-Support. Der letzte Punkt überrascht in der Praxis regelmäßig, weil er Netzinformationen verlangt, die in einem gewachsenen Multi-Cloud-Setup erst zusammengetragen werden müssen.
Die zehn Maßnahmenbereiche des § 30 BSIG und eine Meldekette, die zur Konzernstruktur passen muss. Verlangt sind Risikoanalyse, Vorfallbehandlung, Backup und Notfallplan, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitskontrolle, Schulungen, Kryptografie, Zugriffskontrolle und Mehrfaktor-Authentifizierung. Ein bestehendes ISMS nach ISO 27001 deckt das weitgehend ab.
Die Meldepflicht nach § 32 BSIG hat für eine Gruppe einen eigenen Dreh. Frühwarnung innerhalb von 24 Stunden, Meldung mit erster Bewertung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Weil die Pflicht an der einzelnen Einrichtung hängt, muss der Prozess konzernweit funktionieren und dabei die richtige Gesellschaft benennen. Wer die Meldung zentral bündelt, ohne die Zuordnung vorher zu klären, verliert die 24 Stunden mit einer internen Frage. Dazu kommt § 38 BSIG: Die Geschäftsleitung jeder betroffenen Gesellschaft muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen.
Drei. Erstens die Einstufung als lebendes Dokument. Sie ist eine Selbsteinschätzung, und sie ändert sich mit Finanzierungsrunden, Einstellungswellen und Zukäufen. Ohne festen Anlass zur Überprüfung, etwa im Jahresabschluss, veraltet sie unbemerkt.
Zweitens die Zugriffsrechte nach Zukäufen. Bei jeder Integration entstehen doppelte Konten, verwaiste Administratorrechte und Zugänge, die niemand mehr zuordnet. Verlangt ist eine wiederkehrende Überprüfung, und sie ist nach einer Übernahme keine Formalie, sondern der Kern des Risikos. Drittens die Due Diligence in beide Richtungen: Eine Zielgesellschaft bringt ihre eigene Betroffenheit mit, und ein offener NIS2-Status wird im Kaufpreis oder in den Garantien sichtbar.
Das Whitepaper richtet sich an Geschäftsführungen, CTOs sowie Sicherheits- und Compliance-Verantwortliche in Scale-ups und wachsenden Technologieunternehmen mit mehreren Gesellschaften oder Standorten. Laden Sie es kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren