Bin ich nach NIS2 eine wesentliche oder wichtige Einrichtung?
Sieben Fragen, die Ihren Sektor (Anhänge I und II der Richtlinie), Ihre Größe und die größenunabhängigen Sonderfälle abgleichen — und Ihnen sagen, ob Sie eine wesentliche Einrichtung, eine wichtige Einrichtung oder außerhalb des Anwendungsbereichs sind, mit dem genauen Artikel dahinter, Ihren Pflichten und Ihrem Bußgeldrahmen.
Wesentlich oder wichtig: der Unterschied in einer Tabelle.
Die Richtlinie (EU) 2022/2555 (NIS2) gilt in der Regel für die Einrichtungen ihrer Anhänge I und II ab der Größe eines mittleren Unternehmens. Die Empfehlung 2003/361/EG definiert das mittlere Unternehmen als eines mit weniger als 250 Beschäftigten und einem Jahresumsatz von höchstens 50 Mio. € oder einer Bilanzsumme von höchstens 43 Mio. €. Wesentlich sind die Einrichtungen des Anhangs I, die diese Schwellenwerte des mittleren Unternehmens überschreiten, plus die größenunabhängigen Fälle des Art. 3.1 (qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, zentrale öffentliche Verwaltung, kritische CER-Einrichtungen). Wichtig sind die übrigen erfassten Einrichtungen: mittlere Unternehmen des Anhangs I und Einrichtungen des Anhangs II (Art. 3.2).
| Wesentliche Einrichtung | Wichtige Einrichtung | |
|---|---|---|
| Wer dazugehört | Anhang I („Sektoren mit hoher Kritikalität“) oberhalb der Schwellenwerte des mittleren Unternehmens; und größenunabhängig: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, zentrale öffentliche Verwaltung und kritische CER-Einrichtungen (Art. 3.1). | Die übrigen erfassten Einrichtungen: mittlere Unternehmen des Anhangs I und Einrichtungen des Anhangs II („sonstige kritische Sektoren“), sofern der Staat sie nicht als wesentlich benennt (Art. 3.2). |
| Maximale Geldbuße (Art. 34) | Mindestens 10.000.000 € oder 2 % des gesamten weltweiten Jahresumsatzes — der höhere Betrag (Art. 34.4). | Mindestens 7.000.000 € oder 1,4 % des gesamten weltweiten Jahresumsatzes — der höhere Betrag (Art. 34.5). |
| Aufsicht | Ex ante und ex post (Art. 32). | Nur ex post, bei Hinweisen auf Verstöße (Art. 33). |
| Meldung erheblicher Sicherheitsvorfälle (Art. 23.4) | Für beide gleich: Frühwarnung ≤ 24 Stunden · Meldung ≤ 72 Stunden · Abschlussbericht ≤ 1 Monat. | |
Zuletzt geprüft: 24. Juli 2026.
Drei Schritte, keine Daten verschickt.
Sie beantworten 7 Fragen
Zu Ihrem Sektor (die 11 des Anhangs I und die 7 des Anhangs II), den größenunabhängigen Tätigkeiten, Ihrem Verhältnis zur öffentlichen Verwaltung, Ihrer Größe und den Sonderfällen.
Alles passiert in Ihrem Browser
Die Logik ist lokales JavaScript: Keine Antwort wird an einen Server gesendet oder irgendwo gespeichert.
Sie erhalten ein Urteil mit Artikeln
Wesentlich, wichtig, außerhalb des Anwendungsbereichs oder Sonderfall — mit dem Artikel der Richtlinie dahinter, Ihren Pflichten, den Meldefristen und Ihrem Bußgeldrahmen.
In welchem Sektor ist Ihre Organisation tätig?
Die Anhänge I und II der NIS2-Richtlinie grenzen den Anwendungsbereich ab. Wählen Sie den Sektor, der Ihre Haupttätigkeit am besten beschreibt.
Üben Sie eine dieser Tätigkeiten aus?
Diese Tätigkeiten fallen unabhängig von der Größe der Einrichtung unter NIS2 (Art. 2.2.a und 2.4). Kreuzen Sie alle zutreffenden an — oder „Keine davon“.
Sind Sie eine Einrichtung der öffentlichen Verwaltung?
Ausgenommen sind Justiz, Parlamente und Zentralbanken sowie Tätigkeiten der nationalen Sicherheit, Verteidigung oder Strafverfolgung (Art. 2.7 und Anhang I, Nummer 10).
Wie groß ist Ihre Organisation?
Kriterium der Empfehlung 2003/361/EG: Das mittlere Unternehmen hat weniger als 250 Beschäftigte und einen Umsatz von höchstens 50 Mio. € oder eine Bilanzsumme von höchstens 43 Mio. €. Wenn Ihre Bilanzsumme 43 Mio. € und Ihr Umsatz 50 Mio. € übersteigen, wählen Sie „Mehr als 50 Mio. €“. Partnerunternehmen und verbundene Unternehmen Ihrer Gruppe zählen mit.
Wurden Sie als kritische Einrichtung eingestuft (CER-Richtlinie)?
Die Richtlinie (EU) 2022/2557 (CER) über die Resilienz kritischer Einrichtungen. Wenn eine Behörde Sie als kritische Einrichtung benannt hat, gilt NIS2 für Sie ohne Größenschwelle (Art. 2.3).
Wurden Sie unter NIS1 als Betreiber wesentlicher Dienste benannt oder von einer Behörde benachrichtigt?
Benennung als Betreiber wesentlicher Dienste nach dem Real Decreto-ley 12/2018 (spanische NIS1-Umsetzung) oder Benachrichtigung durch das CCN, INCIBE oder ein Fachministerium.
Auch wenn Sie klein sind: Sind Sie der einzige Anbieter Ihres Dienstes in Spanien, oder würde ein Ausfall Ihres Dienstes die öffentliche Sicherheit, Ordnung oder Gesundheit schwer beeinträchtigen?
Dieser Weg (Art. 2.2, Buchstaben b bis e) hängt immer von einer ausdrücklichen Benennung durch den Staat ab: Er wirkt nicht automatisch.
Ihre Einstufung nach der NIS2-Richtlinie
Wer unter NIS2 fällt und was sie verlangt.
Zuletzt geprüft: Kriterien, Sanktionen und Stand der spanischen Umsetzung am 24. Juli 2026 (offizielle Quellen am Ende).
Die Richtlinie (EU) 2022/2555, bekannt als NIS2 (Artikel auf Spanisch), dehnt verpflichtende Cybersicherheit auf ganze Sektoren der europäischen Wirtschaft aus. Ihr Anwendungsbereich wird mit zwei Listen und einer Schwelle abgegrenzt: Anhang I umfasst elf „Sektoren mit hoher Kritikalität“ (Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten zwischen Unternehmen, öffentliche Verwaltung und Weltraum) und Anhang II sieben weitere „sonstige kritische Sektoren“ (Post- und Kurierdienste, Abfallbewirtschaftung, Chemikalien, Lebensmittel, Herstellung von Waren, Anbieter digitaler Dienste und Forschung). In der Regel (Art. 2.1) gilt die Richtlinie für Einrichtungen dieser Anhänge, die mittlere oder größere Unternehmen im Sinne der Empfehlung 2003/361/EG sind: Das mittlere Unternehmen hat weniger als 250 Beschäftigte und einen Jahresumsatz von höchstens 50 Mio. € oder eine Bilanzsumme von höchstens 43 Mio. €. Kleinst- und Kleinunternehmen bleiben in der Regel außen vor — mit größenunabhängigen Ausnahmen (Art. 2.2): DNS-Diensteanbieter, TLD-Namenregister, Vertrauensdiensteanbieter, elektronische Kommunikation, der einzige nationale Anbieter eines wesentlichen Dienstes oder Einrichtungen, deren Störung erhebliche Auswirkungen auf die öffentliche Sicherheit, Ordnung oder Gesundheit hätte. Wenn Sie zwischen mehreren Vorschriften schwanken, prüft der Test welche Vorschriften gelten für mich? NIS2 neben dem ENS, DORA, dem AI Act und der DSGVO.
Wesentlich oder wichtig: was sich wirklich ändert
Wesentlich (Art. 3.1) sind die Einrichtungen des Anhangs I, die die Schwellenwerte des mittleren Unternehmens überschreiten, und — unabhängig von der Größe — qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, die zentrale öffentliche Verwaltung und die nach der Richtlinie (EU) 2022/2557 (CER) als kritisch eingestuften Einrichtungen; ebenso mittelgroße Anbieter elektronischer Kommunikation und, falls Spanien es so festlegt, die früheren Betreiber wesentlicher Dienste aus NIS1. Wichtig (Art. 3.2) sind alle übrigen erfassten Einrichtungen: mittlere Unternehmen des Anhangs I und Einrichtungen des Anhangs II. Die materiellen Pflichten sind für beide gleich; es ändern sich die Aufsicht — ex ante und ex post bei den wesentlichen (Art. 32), nur ex post bei den wichtigen (Art. 33) — und die Bußgeldobergrenze.
Die Pflichten: Risikomanagement und Verantwortung der Leitung
Art. 21.2 verlangt mindestens zehn Maßnahmenblöcke: Sicherheitskonzepte und Risikoanalyse; Bewältigung von Sicherheitsvorfällen; Betriebskontinuität mit Backups und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich Schwachstellenmanagement; Verfahren zur Bewertung der Wirksamkeit der Maßnahmen; grundlegende Cyberhygiene und Schulungen; Kryptografie und gegebenenfalls Verschlüsselung; Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung; sowie Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation, soweit angemessen. Art. 20 ergänzt die Governance: Die Leitungsorgane müssen diese Maßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können, außerdem an Cybersicherheitsschulungen teilnehmen. Der gesamte Bereich Cybersicherheit und Compliance dieser Website vertieft diese Maßnahmen in der Praxis.
Meldung von Sicherheitsvorfällen: 24 Stunden, 72 Stunden, 1 Monat
Bei einem erheblichen Sicherheitsvorfall — einem, der schwere Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann oder Dritte durch erhebliche Schäden beeinträchtigt (Art. 23.3) — setzt Art. 23.4 drei Uhren in Gang: Frühwarnung innerhalb von höchstens 24 Stunden nach Kenntniserlangung, vollständige Meldung innerhalb von 72 Stunden mit der ersten Bewertung des Schweregrads und den Kompromittierungsindikatoren sowie Abschlussbericht innerhalb von 1 Monat. Vertrauensdiensteanbieter melden innerhalb von 24 Stunden, und das CSIRT kann Zwischenberichte anfordern. Auch die Empfänger der betroffenen Dienste müssen informiert werden.
Sanktionen: bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes
Art. 34 sieht Geldbußen von maximal mindestens 10.000.000 € oder 2 % des gesamten weltweiten Jahresumsatzes (der höhere Betrag) für wesentliche Einrichtungen vor und von mindestens 7.000.000 € oder 1,4 % (der höhere Betrag) für wichtige. Das sind harmonisierte Mindestwerte der Obergrenze: Das nationale Gesetz kann höhere Beträge festlegen. Bei den wesentlichen erlaubt Art. 32.6 zudem, Leitungsfunktionen bei anhaltenden Verstößen vorübergehend auszusetzen.
Die Lage in Spanien: vor dem EuGH verklagt
Spanien musste NIS2 bis zum 17. Oktober 2024 umsetzen und hat es zum 24. Juli 2026 nicht getan: Im BOE (spanisches Amtsblatt) ist kein Umsetzungsgesetz veröffentlicht. Der Ministerrat billigte am 14. Januar 2025 den Gesetzentwurf zur Koordinierung und Governance der Cybersicherheit — der ein Nationales Cybersicherheitszentrum als einheitliche Koordinierungsbehörde vorsieht —, doch seine Zuleitung an das Parlament als Gesetzesvorlage ist nicht belegt. Die Europäische Kommission versandte am 28. November 2024 ein Aufforderungsschreiben, am 7. Mai 2025 eine mit Gründen versehene Stellungnahme und rief am 8. Juli 2026 den Gerichtshof der EU gegen Irland, Spanien, Frankreich und die Niederlande an, mit dem Antrag auf finanzielle Sanktionen (Verfahren INFR(2024)0270). In der Zwischenzeit gelten weiterhin das Real Decreto-ley 12/2018 (spanische NIS1-Umsetzung) mit seinen Referenz-CSIRTs (CCN-CERT für den öffentlichen Sektor, INCIBE-CERT für private Einrichtungen und Bürger sowie ESPDEF-CERT im Verteidigungsbereich) und das ENS (spanisches nationales Sicherheitsschema, RD 311/2022) für den öffentlichen Sektor und seine Lieferanten — wenn Sie mit der Verwaltung arbeiten, messen Sie Ihre Reife mit der ENS-Selbstdiagnose. Auch ein offizielles NIS2-Register oder eine geltende Frist zur Selbstregistrierung gibt es in Spanien noch nicht.
EUR-Lex — Empfehlung 2003/361/EG, KMU-Definition
Europäische Kommission — IP/26/1499, Klage gegen Spanien vor dem EuGH wegen fehlender NIS2-Umsetzung (08.07.2026)
La Moncloa — Ministerrat vom 14.01.2025, Billigung des Gesetzentwurfs (auf Spanisch)
DSN — Gesetzentwurf zur Koordinierung und Governance der Cybersicherheit
BOE — Real Decreto-ley 12/2018 (spanische NIS1-Umsetzung, in Kraft; auf Spanisch)
Bevor Sie den Test starten.
Gilt NIS2 für mich, wenn ich ein KMU bin?+
Die Grundregel (Art. 2.1 der Richtlinie) lautet: NIS2 gilt für Einrichtungen der Anhänge I oder II ab der Größe eines mittleren Unternehmens gemäß der Empfehlung 2003/361/EG (ein mittleres Unternehmen hat weniger als 250 Beschäftigte und einen Jahresumsatz von bis zu 50 Millionen Euro oder eine Bilanzsumme von bis zu 43 Millionen). Ein Kleinst- oder Kleinunternehmen bleibt in der Regel außerhalb des Anwendungsbereichs — mit größenunabhängigen Ausnahmen: DNS-Diensteanbieter, TLD-Namenregister, Vertrauensdiensteanbieter, Anbieter elektronischer Kommunikation oder der einzige Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat, neben weiteren Fällen des Art. 2.2. Und selbst wenn Sie außerhalb bleiben: Ihre unter NIS2 fallenden Kunden können Ihnen vertraglich Maßnahmen im Rahmen der Sicherheit ihrer Lieferkette auferlegen (Art. 21.2.d).
Was ist der Unterschied zwischen einer wesentlichen und einer wichtigen Einrichtung?+
Wesentlich (Art. 3.1) sind die Einrichtungen des Anhangs I, die die Schwellenwerte des mittleren Unternehmens überschreiten, plus mehrere größenunabhängige Fälle: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, die zentrale öffentliche Verwaltung und die nach der CER-Richtlinie benannten kritischen Einrichtungen. Wichtig (Art. 3.2) sind die übrigen erfassten Einrichtungen: mittlere Unternehmen des Anhangs I und Einrichtungen des Anhangs II. Die materiellen Pflichten (Art. 20, 21 und 23) sind dieselben; es ändern sich die Aufsicht — ex ante und ex post bei den wesentlichen (Art. 32), nur ex post bei den wichtigen (Art. 33) — und die Bußgeldobergrenze: mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes gegenüber mindestens 7 Millionen oder 1,4 %, jeweils der höhere Betrag.
Ist NIS2 in Spanien schon durchsetzbar?+
Zum 24. Juli 2026 hat Spanien sein NIS2-Umsetzungsgesetz nicht veröffentlicht: Der Ministerrat billigte am 14. Januar 2025 den Gesetzentwurf zur Koordinierung und Governance der Cybersicherheit, aber im BOE (spanisches Amtsblatt) ist kein Gesetz erschienen. Die Europäische Kommission verklagte Spanien am 8. Juli 2026 wegen der fehlenden Umsetzung der Richtlinie vor dem Gerichtshof der EU (Verfahren INFR(2024)0270) und beantragte finanzielle Sanktionen. In der Zwischenzeit gelten weiterhin das Real Decreto-ley 12/2018 (königliches Gesetzesdekret, spanische NIS1-Umsetzung) und, für den öffentlichen Sektor und seine Lieferanten, das ENS (spanisches nationales Sicherheitsschema, RD 311/2022).
Welche Bußgelder sieht NIS2 vor?+
Art. 34 der Richtlinie sieht Geldbußen von maximal mindestens 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes (der höhere Betrag) für wesentliche Einrichtungen vor und von mindestens 7 Millionen Euro oder 1,4 % (der höhere Betrag) für wichtige. Das sind harmonisierte Mindestwerte der Obergrenze: Das künftige spanische Gesetz kann höhere Obergrenzen festlegen, und seine konkreten Beträge stehen noch unter dem Vorbehalt der offiziellen Bestätigung, weil das Gesetz noch nicht veröffentlicht ist.
Was ist die 24-Stunden-Frühwarnung?+
Sie ist die erste Meldung nach Art. 23.4: Bei einem erheblichen Sicherheitsvorfall muss die Einrichtung dem CSIRT oder der zuständigen Behörde innerhalb von höchstens 24 Stunden nach Kenntniserlangung eine Frühwarnung übermitteln und angeben, ob sie eine rechtswidrige oder böswillige Handlung oder grenzüberschreitende Auswirkungen vermutet. Danach folgen die vollständige Meldung innerhalb von 72 Stunden (mit der ersten Bewertung des Schweregrads und den Kompromittierungsindikatoren) und ein Abschlussbericht innerhalb von 1 Monat. Ausnahme: Vertrauensdiensteanbieter melden innerhalb von 24 Stunden.
Kann ich zugleich NIS2 und dem ENS unterliegen?+
Ja. Das ENS (spanisches nationales Sicherheitsschema, RD 311/2022) ist heute schon für den spanischen öffentlichen Sektor und für die ihn bedienenden Technologielieferanten durchsetzbar; NIS2 kommt zu diesem Rahmen hinzu, sobald Spanien sein Umsetzungsgesetz verabschiedet. Eine öffentliche Verwaltung oder ein Lieferant des öffentlichen Sektors in einem Sektor der Anhänge kann beide erfüllen müssen. Wenn Sie mit der Verwaltung arbeiten, prüfen Sie Ihre Lage auch mit der ENS-Selbstdiagnose.
Muss ich mich in Spanien schon in ein NIS2-Register eintragen?+
Noch nicht: Es gibt keinen offiziellen Mechanismus. Die Richtlinie (Art. 3.3) verpflichtete die Mitgliedstaaten, bis zum 17. April 2025 die Liste der wesentlichen und wichtigen Einrichtungen zu erstellen; da in Spanien das Umsetzungsgesetz nicht verabschiedet wurde, gibt es zum 24. Juli 2026 jedoch weder eine geltende Frist zur Selbstregistrierung noch ein offizielles Registrierungsportal in Betrieb. Behalten Sie das BOE im Blick: Wenn das Gesetz erscheint, legt es das Verfahren und seine Fristen fest.
Sollen wir es gemeinsam durchgehen?
Buchen Sie einen kostenlosen 30-Minuten-Termin. Wir gehen Ihre Einstufung durch, klären, welche Maßnahmen des Art. 21 Ihnen fehlen und womit Sie anfangen sollten, ohne das Projekt zu überdimensionieren.
Kostenlosen Termin buchen →