# Welche Unternehmen in Deutschland fallen unter das neue BSIG?

Vor allem Unternehmen der in den Anlagen 1 und 2 zum BSIG genannten Einrichtungsarten, die die Größenschwellen des § 28 erreichen, dazu einige Einrichtungen unabhängig von ihrer Größe. Nach § 28 Abs. 1 gelten als besonders wichtige Einrichtungen unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter sowie Unternehmen einer Einrichtungsart aus Anlage 1 mit mindestens 250 Mitarbeitern oder einem Jahresumsatz von über 50 Mio. EUR und einer Jahresbilanzsumme von über 43 Mio. EUR. Nach § 28 Abs. 2 gelten als wichtige Einrichtungen unter anderem sonstige Vertrauensdiensteanbieter und Unternehmen einer Einrichtungsart aus Anlage 1 oder 2 mit mindestens 50 Mitarbeitern oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR. Vernachlässigbare Nebentätigkeiten können unberücksichtigt bleiben (§ 28 Abs. 3), und Zahlen von Partner- oder verbundenen Unternehmen werden bei IT-Unabhängigkeit nicht hinzugerechnet (§ 28 Abs. 4). Das BSI bietet auf seiner Website eine Betroffenheitsprüfung an.

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

FAQ: [Deutschland: BSIG](https://netsenx.com/de/faq/germany) · https://netsenx.com/de/faq/which-german-companies-fall-under-the-bsig

## Weiterlesen

- https://netsenx.com/de/blog/2026-11-07_nis2-germany-bsig
- https://netsenx.com/de/nis2-incident-reporting-deadlines

## Verwandte Fragen

- [Was unterscheidet besonders wichtige von wichtigen Einrichtungen?](https://netsenx.com/de/faq/what-is-a-particularly-important-entity-in-germany)
- [Warum fragt die BSI-Registrierung nach unseren öffentlichen IP-Adressbereichen?](https://netsenx.com/de/faq/why-does-bsi-registration-ask-for-public-ip-ranges)
- [Was passiert, wenn wir uns nicht beim BSI registrieren?](https://netsenx.com/de/faq/what-happens-if-we-do-not-register-with-the-bsi)
- [Was ist ein System zur Angriffserkennung nach dem BSIG?](https://netsenx.com/de/faq/what-is-a-system-for-attack-detection-under-the-bsig)
- [Gilt die Pflicht zur Angriffserkennung auch für KMU?](https://netsenx.com/de/faq/does-the-attack-detection-duty-apply-to-smes-in-germany)