Wesentliche Einrichtung nach NIS-2 einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/wesentliche-einrichtung

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Wesentliche Einrichtungen unterliegen unter NIS-2 der strengeren Aufsicht, mit mehr Pflichten und mehr Kontrolle. Die Zuordnung folgt Sektor, Größe und kritischer Funktion. Ob das Unternehmen darunterfällt, ist eine rechtliche Einordnung; die Plattform dokumentiert die Maßnahmen und entscheidet den Status nicht.

Die Richtlinie trennt zwei Kreise. Wesentliche Einrichtungen stehen unter engerer Aufsicht: mehr Kontrolle, in der Praxis oft mehr Nachweisdruck. Im deutschen Gesetz heißt derselbe Kreis meist „besonders wichtige Einrichtung“. Wer Folien mit beiden Labels mischt, ohne das Datum der Einordnung festzuhalten, redet aneinander vorbei.

Die Zuordnung hängt nicht an einer freiwilligen Erklärung und nicht an einem Zertifikat. Sektor, Größe und die Funktion für Versorgung oder digitale Dienste entscheiden. Manche Anbieter digitaler Dienste landen unabhängig vom klassischen Mittelstandsschwellenwert in diesem Kreis. Das ist Auslegungssache; Catenis speichert, was das Unternehmen festgehalten hat, und bewertet den Fall nicht.

Operativ ändert der Status vor allem Aufsicht und Erwartung, nicht den Inhalt des Mindestkatalogs. Risikoanalyse, Leitlinie, Vorfälle, Lieferkette und Zugriff bleiben zu dokumentieren. Der Unterschied zeigt sich, wenn die Behörde nachfasst oder Bußgeldrahmen ins Spiel kommen – das liegt außerhalb der Plattform.

Im Konzern kann eine Gesellschaft wesentlich sein und die Schwester nur wichtig oder außen vor. Dann brauchen beide eine eigene Notiz, sonst kopiert die eine die Akte der anderen. Catenis führt Maßnahmen pro Mandant. Die Zurechnung zwischen Gesellschaften bleibt Rechtsfrage.

Geltungsbereich

Typische Felder sind kritische Sektoren der Richtlinie und die Entsprechung in den Anlagen des BSIG: Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, bestimmte große Anbieter. Die genaue Liste und die Schwellen stehen im Gesetz. Hier wird kein Unternehmen zugeordnet.

Größe allein reicht oft nicht. Ein kleiner Betreiber mit kritischer Funktion kann erfasst sein; ein großer Betrieb außerhalb der Anlagen bleibt außen vor. Konzernzurechnung und mehrere Tätigkeiten machen die Prüfung unübersichtlich. Deshalb gehört die Einordnung in die Rechtsberatung, nicht in eine Ampel.

Wer wesentliche Einrichtung ist, muss denselben dokumentierten Satz Maßnahmen tragen wie die wichtige Einrichtung, plus die strengere Aufsicht. Kunden eines solchen Unternehmens erwarten häufig dieselben Nachweise in der Kette. Der Cyber-Fragebogen trifft dann auch Partner, die selbst nicht erfasst sind.

Digitale Dienste und bestimmte große Anbieter können unabhängig vom klassischen Industrie-Schwellenwert in diesen Kreis fallen. Das ist der Punkt, an dem Broschüren und das eigene Gefühl oft auseinanderlaufen. Deshalb die Prüfung datieren und die Quelle nennen, statt den Status aus der Branche abzuleiten.

Was zu tun ist

Die Einordnung schriftlich machen: Sektor, Größe, Funktion, Datum, wer entschieden hat. „Wir sind wahrscheinlich wesentlich“ ohne Quelle ist später wertlos. Catenis nimmt das als Ausgangslage für die Maßnahmen, entscheidet den Status nicht.

Den Maßnahmenkatalog führen, als gälte er schon: Owner, Nachweis, Review. Leitlinien von der Geschäftsleitung freigeben. Vorfallstatus halten. Lieferanten mit Zugang oder IKT-Leistung priorisieren. Registrierung im BSI-Portal vorbereiten; die Plattform hält die Checkliste.

Wenn der Status unsicher ist, die Lücke benennen statt sie zu schönen. Eine begründete offene Prüfung ist prüfbar. Ein stillschweigendes „wir machen nichts, bis jemand klärt“ ist es nicht. Parallel die Kundenanfragen bedienen; die warten nicht auf den eigenen Bescheid.

In Catenis bleiben Maßnahmen, Fragebögen und Vorfallstatus die Arbeitsebene. Die Einordnung wesentliche Einrichtung und die Aufsichtskommunikation bleiben extern.

Was die Leitung sieht, sollte kurz bleiben: offene Maßnahmen, fehlende Freigaben, Vorfälle ohne Status. Die Einordnungsnotiz liegt daneben, damit niemand im Review rät. Ändert sich Größe oder Tätigkeit, die Notiz anfassen, nicht nur die Ampel.

Kundenfragebögen mit dem eigenen Status abgleichen. Wer nach außen wesentlich ist, sollte intern denselben Katalog führen. Abweichungen datiert begründen. Catenis hält beide Spuren, entscheidet keine.

Typischer Fehler

Der häufigste Fehler: den Status aus einer Branchenbroschüre zu übernehmen. „Wir sind Maschinenbau, also wichtig, nicht wesentlich“ kann stimmen oder nicht. Digitale Tochter, Rechenzentrum oder Größe können die Lage drehen. Ohne dokumentierte Prüfung bleibt das eine Behauptung.

Der zweite: den strengeren Kreis als Grund zu nehmen, sofort ein Konzern-GRC zu kaufen und den Mindestkatalog liegen zu lassen. Aufsicht fragt zuerst nach Leitlinie, Vorfallweg, Lieferkette und Freigabe, nicht nach der Tool-Landschaft.

Der dritte: den Status intern anders zu führen als gegenüber Kunden. Nach außen „wesentlich“, in der Akte „noch offen“. Spätestens der Fragebogen eines Großkunden legt das offen. Eine Version, ein Datum, eine Begründung. Wer den Status jährlich nicht anfasst, obwohl Größe oder Tätigkeit sich geändert haben, hat die Vorbereitung veralten lassen.

Grenze

Das Lexikon sagt nicht, ob ein bestimmtes Unternehmen wesentliche Einrichtung ist. Schwellen, Konzernzurechnung und Ausnahmen bleiben beim Gesetz und bei der Beratung.

Catenis dokumentiert Maßnahmen, Fragebögen und Vorfallstatus. Die Einordnung und das BSI-Portal bleiben extern. Grün heißt dokumentiert, nicht „die Behörde hat uns so eingestuft“. Eine Ampel ist Arbeitsansicht, kein Rechtsgutachten. Behördenmeldung bleibt ebenfalls außen. Wer unsicher ist, arbeitet den Katalog trotzdem und hält die offene Prüfung in der Akte.