Ab welcher Mitarbeiterzahl greift NIS2?

Die Mitarbeiterzahl ist eines von mehreren Kriterien, die über die Betroffenheit von NIS2 entscheiden. Maßgeblich ist das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist und das BSI-Gesetz in der Fassung "BSIG 2025" neu strukturiert hat. Die Größenschwellen sind in Paragraf 28 BSIG 2025 geregelt. Wichtig ist von Anfang an: Die Größe allein begründet keine Betroffenheit. Erst das Zusammenspiel aus Sektorzugehörigkeit (Anlage 1 oder Anlage 2 des BSIG 2025) und Größenklasse führt zur Einstufung. Daneben gibt es Fälle, in denen Einrichtungen völlig unabhängig von ihrer Größe erfasst werden.

Die Grundschwellen: 50 und 250 Beschäftigte

Der Gesetzgeber hat die Größenklassen nicht eigenständig definiert, sondern verweist auf die Empfehlung 2003/361/EG der Europäischen Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen. Diese KMU-Empfehlung kennt zwei für NIS2 relevante Stufen.

Die mittlere Stufe ist nach § 28 Abs. 2 Nr. 3 BSIG erreicht, wenn ein Unternehmen mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist. Die große Stufe ist nach § 28 Abs. 1 Nr. 4 BSIG erreicht bei mindestens 250 Mitarbeitern oder bei einem Jahresumsatz von über 50 Mio. Euro und zudem einer Jahresbilanzsumme von über 43 Mio. Euro. Ein hoher Umsatz allein reicht in beiden Stufen nicht; die Bilanzsumme muss ebenfalls über der Schwelle liegen.

Diese beiden Stufen sind der Schlüssel zur NIS2-Einstufung. Vereinfacht ausgedrückt: Wer in einem regulierten Sektor mittlere Größe erreicht, ist mindestens "wichtige Einrichtung". Wer große Größe in einem Sektor der Anlage 1 erreicht, ist "besonders wichtige Einrichtung". Die genaue Zuordnung hängt vom Sektor und von der Anlage ab, in der die Tätigkeit gelistet ist.

Umsatz und Bilanzsumme als Alternative zur Kopfzahl

Unternehmen mit schlanker Belegschaft können die Schwelle über die finanziellen Kennzahlen erreichen, allerdings nur, wenn Umsatz und Bilanzsumme gemeinsam über der Grenze liegen. Für die mittlere Stufe müssen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro liegen, für die große Stufe der Jahresumsatz über 50 Mio. Euro und zugleich die Jahresbilanzsumme über 43 Mio. Euro (§ 28 Abs. 1 Nr. 4 und Abs. 2 Nr. 3 BSIG). Ein umsatzstarkes Handelsunternehmen mit geringer Bilanzsumme erreicht die Stufe über die Finanzkennzahlen deshalb nicht.

Hinzu kommt eine Stabilitätsregel aus der KMU-Empfehlung: Der Statuswechsel tritt erst ein, wenn die Schwellen in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten werden. Ein einmaliger Ausreißer in einem Geschäftsjahr ändert die Einstufung also nicht sofort. Diese Regel wirkt in beide Richtungen: Ein wachsendes Unternehmen wird nicht durch ein einzelnes starkes Geschäftsjahr erfasst, und ein schrumpfendes Unternehmen verliert den Status nicht durch ein einzelnes schwaches Jahr.

Für die praktische Bestimmung kommt es auf die Werte des letzten abgeschlossenen Geschäftsjahres an. Unternehmen sollten die einschlägigen Kennzahlen daher dokumentiert vorhalten, um eine Einstufung nachvollziehbar begründen oder widerlegen zu können. Da die finanziellen Schwellen sowohl Umsatz als auch Bilanzsumme betreffen, lohnt sich der Blick in den Jahresabschluss, nicht nur in die Gewinn- und Verlustrechnung.

Besonders wichtige und wichtige Einrichtungen im Vergleich

NIS2 unterscheidet zwei Kategorien von Einrichtungen, die in Paragraf 28 BSIG 2025 definiert sind. Die Kategorie entscheidet über die Strenge der Aufsicht und die Höhe möglicher Bußgelder, nicht jedoch über das grundsätzliche Bestehen von Pflichten. Beide Kategorien müssen Risikomanagementmaßnahmen umsetzen, sich registrieren und erhebliche Sicherheitsvorfälle melden.

Die Anlage 1 umfasst Sektoren mit hoher Kritikalität wie Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Die Anlage 2 ergänzt weitere wichtige Sektoren, etwa bestimmte Produktion, Lebensmittel, Chemie, Forschung und digitale Dienste. Welche Anlage einschlägig ist, bestimmt nicht nur die Schwelle, sondern auch die Kategorie.

Die Unterscheidung hat erhebliche praktische Folgen. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI, die auch ohne konkreten Anlass Vor-Ort-Prüfungen und Nachweispflichten anordnen kann. Wichtige Einrichtungen werden in der Regel anlassbezogen beaufsichtigt, etwa nach einem gemeldeten Sicherheitsvorfall oder bei konkreten Hinweisen auf Mängel. Auch der Bußgeldrahmen unterscheidet sich zwischen den Kategorien. Die grundlegenden Pflichten, also Registrierung, Meldung erheblicher Vorfälle und Umsetzung angemessener Risikomanagementmaßnahmen, gelten jedoch für beide Kategorien gleichermaßen.

Das BSI rechnet nach dem Inkrafttreten des NIS2UmsuCG mit rund 29.500 erfassten Einrichtungen, gegenüber zuvor etwa 4.500 regulierten Organisationen. Diese deutliche Ausweitung des Anwendungsbereichs ist auch der Grund, weshalb viele Unternehmen erstmals prüfen müssen, ob und in welcher Kategorie sie betroffen sind. Die Registrierung ist zweistufig: zuerst über den Dienst „Mein Unternehmenskonto“, dann im BSI-Portal, das seit dem 6. Januar 2026 für Registrierung und Vorfallmeldung zur Verfügung steht.

Größenunabhängige Ausnahmen

Ein verbreiteter Irrtum lautet, ein kleines Unternehmen sei automatisch nicht betroffen. Paragraf 28 BSIG 2025 erfasst bestimmte Einrichtungen unabhängig von Beschäftigtenzahl, Umsatz und Bilanzsumme. Die Größe entscheidet bei ihnen höchstens über die Kategorie: Telekommunikationsanbieter sind ab 50 Mitarbeitern oder bei Umsatz und Bilanzsumme von jeweils über 10 Mio. Euro besonders wichtige Einrichtungen, darunter wichtige Einrichtungen (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG).

Größenunabhängig betroffen sind nach dem Gesetz unter anderem:

1. qualifizierte Vertrauensdiensteanbieter im Sinne der eIDAS-Verordnung,
2. Betreiber von Top-Level-Domain-Name-Registries (TLD-Registries),
3. Domain-Name-System-Diensteanbieter (DNS-Anbieter); Betreiber von Root-Namenservern fallen nach § 2 Nr. 8 BSIG generell nicht unter diesen Begriff,
4. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze,
5. Betreiber kritischer Anlagen (die bisherigen KRITIS-Betreiber).

Nicht qualifizierte Vertrauensdiensteanbieter sind ebenfalls größenunabhängig erfasst, und zwar als wichtige Einrichtungen (§ 28 Abs. 2 Nr. 1 BSIG). Einrichtungen der Bundesverwaltung nimmt § 28 ausdrücklich aus, sofern sie nicht zugleich Betreiber kritischer Anlagen sind; für sie gelten eigene Regeln. Wer in einem der genannten Bereiche tätig ist, sollte die Betroffenheit nicht über die Mitarbeiterzahl ausschließen, sondern den jeweiligen Tatbestand prüfen.

Der Hintergrund dieser Ausnahmen ist die besondere Bedeutung der betroffenen Dienste für die Funktionsfähigkeit digitaler Infrastrukturen. Ein Vertrauensdiensteanbieter oder ein DNS-Dienst kann auch mit kleiner Belegschaft eine kritische Rolle für die Sicherheit zahlreicher nachgelagerter Dienste spielen. Der Gesetzgeber stellt daher nicht auf die Unternehmensgröße ab, sondern auf die Art der erbrachten Leistung. Diese Logik entspricht der Systematik der zugrunde liegenden NIS2-Richtlinie (EU) 2022/2555, die das BSIG 2025 in nationales Recht umsetzt.

Die Richtlinie kennt weitere größenunabhängige Fallgruppen, etwa alleinige Anbieter eines für Gesellschaft oder Wirtschaft kritischen Dienstes (Art. 2 Abs. 2 lit. b NIS2-Richtlinie). § 28 BSIG übernimmt diese Fallgruppe nicht als eigenen Tatbestand; maßgeblich für Unternehmen in Deutschland sind die in § 28 genannten Einrichtungsarten. Ob eine Anlage als kritische Anlage gilt, richtet sich nach den dafür geltenden Schwellenwerten und ist gesondert zu prüfen.

Wie die Beschäftigtenzahl berechnet wird

Die Ermittlung der Beschäftigtenzahl folgt der Methodik aus dem Anhang der Empfehlung 2003/361/EG. Das BSIG 2025 verweist hierauf, mit Ausnahme von Artikel 3 Absatz 4 des Anhangs. Maßgeblich ist nicht die reine Stammbelegschaft, sondern eine nach festen Regeln berechnete Gesamtzahl, die je nach Unternehmensstruktur auch Teile von Partnerunternehmen und verbundenen Unternehmen umfasst.

Die Empfehlung unterscheidet drei Unternehmenstypen:

• Eigenständige Unternehmen: Es werden ausschließlich die eigenen Beschäftigten gezählt.
• Partnerunternehmen: Bei Beteiligungen von 25 Prozent bis 50 Prozent werden die Beschäftigten des Partnerunternehmens anteilig, entsprechend dem Beteiligungsprozentsatz, hinzugerechnet.
• Verbundene Unternehmen: Bei Mehrheitsbeteiligung oder beherrschendem Einfluss (in der Regel über 50 Prozent) werden die Beschäftigten vollständig zu 100 Prozent hinzugerechnet.

Das BSIG enthält dazu eine deutsche Sonderregel: Nach § 28 Abs. 4 Satz 2 BSIG sind die Daten von Partner- oder verbundenen Unternehmen nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig von diesen Unternehmen ist. Eine Tochtergesellschaft mit eigener, getrennt betriebener IT kann deshalb allein nach ihren eigenen Zahlen einzustufen sein.

Diese Konsolidierung kann dazu führen, dass ein einzelner Standort mit wenigen Mitarbeitern über die Konzernzugehörigkeit die Schwelle von 50 oder 250 Beschäftigten erreicht. Die Beschäftigtenzahl wird dabei in Jahresarbeitseinheiten gemessen: Vollzeitkräfte zählen voll, Teilzeit- und Saisonkräfte anteilig. Auszubildende und Personen im Mutterschafts- oder Elternurlaub werden nach der Empfehlung nicht mitgezählt.

Die im BSIG 2025 vorgesehene Ausnahme zu Artikel 3 Absatz 4 betrifft die sonst geltende Sonderregel für bestimmte öffentliche Beteiligungen. Da diese Ausnahme die Berechnung im Detail beeinflussen kann, ist bei öffentlich beteiligten Strukturen besondere Sorgfalt geboten. An dieser Stelle bestehen Auslegungsfragen, die im konkreten Fall zu prüfen sind.

Praktisch bedeutet die Konsolidierung, dass die Einstufung nicht allein auf Ebene der einzelnen juristischen Person erfolgt, sondern die wirtschaftliche Einheit in den Blick nimmt. Unternehmen mit Holdingstrukturen, gemeinsamen Gesellschaftern oder gegenseitigen Beteiligungen sollten ihre Beteiligungsverhältnisse vollständig erfassen und zugleich prüfen, ob ihre IT im Sinne von § 28 Abs. 4 Satz 2 BSIG unabhängig von der Gruppe betrieben wird. Beides gehört in die Dokumentation der Einstufung.

Häufige Fehleinschätzungen

Die Praxis zeigt einige wiederkehrende Missverständnisse rund um die Mitarbeiterzahl:

Nur die Kopfzahl zählt. Tatsächlich kann auch das Finanzkriterium die Größenklasse begründen, allerdings nur, wenn Jahresumsatz und Jahresbilanzsumme beide über der jeweiligen Schwelle liegen. Ein Unternehmen mit kleiner Belegschaft, hohem Umsatz und hoher Bilanzsumme kann betroffen sein.

Konzernstrukturen bleiben außen vor. Tatsächlich sind Beschäftigte und Finanzdaten von Partner- und verbundenen Unternehmen grundsätzlich einzubeziehen. Das entfällt nur, wenn das Unternehmen hinsichtlich seiner IT unabhängig von der Gruppe ist (§ 28 Abs. 4 Satz 2 BSIG); diese Unabhängigkeit sollte belegt werden können.

Unter 50 Beschäftigte bedeutet immer Befreiung. Tatsächlich greifen die größenunabhängigen Ausnahmen für bestimmte Diensteanbieter und Betreiber kritischer Anlagen unabhängig von der Mitarbeiterzahl.

Die Einstufung ändert sich sofort bei Schwankungen. Tatsächlich wirkt die Stabilitätsregel der KMU-Empfehlung: Erst eine Über- oder Unterschreitung in zwei aufeinanderfolgenden Geschäftsjahren führt zum Statuswechsel.

Wegen dieser Wechselwirkungen lässt sich die Betroffenheit selten an einer einzigen Zahl ablesen. Sektor, Anlage, Größenklasse, Beteiligungsstruktur und mögliche Ausnahmen sind gemeinsam zu prüfen.

Prüfreihenfolge in der Praxis

Aus den dargestellten Kriterien ergibt sich eine sinnvolle Prüfreihenfolge, die typische Fehler vermeidet. Sie ersetzt keine rechtliche Bewertung im Einzelfall, hilft aber, die richtigen Fragen in der richtigen Reihenfolge zu stellen.

1. Größenunabhängige Ausnahme prüfen: Erbringt die Einrichtung einen der besonders gelisteten Dienste, etwa als qualifizierter Vertrauensdiensteanbieter, DNS-Anbieter, TLD-Registry, Anbieter öffentlicher Telekommunikation oder Betreiber einer kritischen Anlage? Wenn ja, ist die Betroffenheit unabhängig von der Größe zu bejahen.
2. Sektorzugehörigkeit prüfen: Fällt die Tätigkeit unter einen Sektor der Anlage 1 oder Anlage 2 des BSIG 2025? Ohne Sektorzugehörigkeit besteht in der Regel keine Betroffenheit.
3. Größe konsolidiert ermitteln: Beschäftigtenzahl, Umsatz und Bilanzsumme nach der KMU-Empfehlung berechnen und dabei Partner- und verbundene Unternehmen einbeziehen, außer die IT ist nach § 28 Abs. 4 Satz 2 BSIG unabhängig von ihnen.
4. Kategorie zuordnen: Anhand von Anlage und Größenklasse entscheiden, ob eine besonders wichtige oder eine wichtige Einrichtung vorliegt.

Diese Reihenfolge stellt sicher, dass die größenunabhängigen Fälle nicht übersehen werden, die in der Praxis am häufigsten zu Fehleinschätzungen führen. Erst wenn keine Ausnahme greift und eine Sektorzugehörigkeit besteht, wird die Mitarbeiterzahl überhaupt zum entscheidenden Kriterium.

Der kostenlose NIS2-Check prüft Sektor, Größe und Betroffenheit in wenigen Schritten.

Häufige Fragen

Ist mein Unternehmen mit 50 Mitarbeitern automatisch von NIS2 betroffen?

Nein. Die 50-Personen-Schwelle ist nur dann relevant, wenn das Unternehmen zugleich in einem der regulierten Sektoren der Anlage 1 oder Anlage 2 des BSIG 2025 tätig ist. Ohne Sektorzugehörigkeit begründet die Mitarbeiterzahl allein keine Betroffenheit. Umgekehrt kann ein Unternehmen mit weniger als 50 Beschäftigten dennoch erfasst sein, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro liegen oder eine größenunabhängige Fallgruppe greift.

Zählen Teilzeitkräfte und Aushilfen voll mit?

Die Beschäftigtenzahl wird nach der Empfehlung 2003/361/EG in Jahresarbeitseinheiten berechnet. Vollzeitkräfte zählen voll, Teilzeit- und Saisonkräfte anteilig nach ihrem Beschäftigungsumfang. Auszubildende sowie Personen im Mutterschafts- oder Elternurlaub bleiben nach der Empfehlung unberücksichtigt.

Muss ich Mitarbeiter von Tochter- oder Beteiligungsunternehmen mitzählen?

In vielen Fällen ja. Bei verbundenen Unternehmen mit Mehrheitsbeteiligung werden die Beschäftigten vollständig hinzugerechnet, bei Partnerunternehmen mit einer Beteiligung von 25 bis 50 Prozent anteilig. Das gilt nicht, wenn das Unternehmen hinsichtlich seiner IT-Systeme unabhängig von diesen Unternehmen ist (§ 28 Abs. 4 Satz 2 BSIG). Dadurch kann ein kleiner Standort über die Konzernzugehörigkeit die Schwelle von 50 oder 250 Beschäftigten erreichen. Die genaue Berechnung folgt dem Anhang der KMU-Empfehlung, im BSIG 2025 mit Ausnahme von Artikel 3 Absatz 4.

Welche Einrichtungen sind unabhängig von ihrer Größe betroffen?

Dazu zählen nach Paragraf 28 BSIG 2025 Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter (jeweils besonders wichtige Einrichtungen), nicht qualifizierte Vertrauensdiensteanbieter (wichtige Einrichtungen) sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze. Bei den Telekommunikationsanbietern entscheidet die Größe nur über die Kategorie, nicht über die Betroffenheit.