NIS2 in der öffentlichen Verwaltung: Warum der Anwendungsbereich Ihres Behördenkunden von der Postleitzahl abhängt

Eine niederländische Gemeinde mit 180 Beschäftigten und ein deutscher Landkreis mit derselben Personalstärke können auf entgegengesetzten Seiten von NIS2 landen. Gleicher Sektor, gleiche Bürgerdaten, gleiche Lieferanten - unterschiedliche Pflichten, weil die Richtlinie regionale und kommunale Verwaltung als Mitgliedstaatenoption ausgestaltet hat.

Diese eine Konstruktionsentscheidung macht die öffentliche Verwaltung zum am schwersten abzugrenzenden Sektor in NIS2. Jeder andere Sektor aus Anhang I folgt in allen 27 Mitgliedstaaten derselben Größenschwellenlogik. Dieser nicht.

Und es wiegt dieses Jahr schwerer als im letzten. Der ENISA-Bericht NIS360 2026 verortet die öffentliche Verwaltung in der Risikozone: einer von acht Sektoren, deren Cyber-Reifegrad hinter ihrer Kritikalität zurückbleibt - neben Gesundheit, Schiene, Seeverkehr, Raumfahrt, Trinkwasser und Abwasser. Aufsichtsbehörden lesen diesen Bericht, und er prägt, wohin die Aufmerksamkeit zuerst geht. Diese Dynamik haben wir in wie Aufsichtsbehörden entscheiden, welche Kunden zuerst geprüft werden beschrieben.

Wenn Sie Behörden beraten - oder beliefern - ist Folgendes für die Pflichtenlage tatsächlich entscheidend.

Die Zentralregierung ist überall im Anwendungsbereich, und die Beschäftigtenzahl ist irrelevant

Anhang I führt Einrichtungen der öffentlichen Verwaltung der Zentralregierung als Sektor mit hoher Kritikalität. Anders als ein Logistikdienstleister oder ein Lebensmittelhersteller können sich diese Einrichtungen nicht über ihre Größe herausargumentieren.

Die Größenschwelle - 50 oder mehr Mitarbeitende, oder weniger als 50 mit sowohl Jahresumsatz als auch Bilanzsumme über 10 Mio. €, für mittlere; 250 oder mehr Mitarbeitende, oder weniger als 250 mit einem Jahresumsatz über 50 Mio. € und einer Bilanzsumme über 43 Mio. €, für große Einrichtungen - ist der allgemeine Filter für den NIS2-Anwendungsbereich. Einrichtungen der Zentralregierung fallen unabhängig davon darunter. Ein Ministerialreferat mit 30 Personen trägt dieselben Pflichten aus Article 21 wie eine Behörde mit 3.000.

Praktische Folge: Beginnen Sie ein Scoping-Gespräch mit einer Behörde nicht mit der Beschäftigtenzahl. Stellen Sie stattdessen zwei Fragen. Welches Rechtsinstrument hat diese Einrichtung errichtet, und auf welcher Verwaltungsebene ist sie angesiedelt? Diese Antworten entscheiden.

Beachten Sie auch die Definition, die NIS2 verwendet. Eine Einrichtung der öffentlichen Verwaltung ist eine Stelle, die zur Erfüllung von im Allgemeininteresse liegenden Aufgaben nichtgewerblicher Art errichtet wurde, Rechtspersönlichkeit besitzt und vom Staat finanziert oder beaufsichtigt wird. Das erfasst viele verselbstständigte Organisationen, die sich selbst nicht als "Behörde" verstehen - öffentliche Register, Sozialversicherungsträger, statistische Ämter, Zulassungsstellen.

Regionale und kommunale Verwaltung ist nationale Entscheidung, keine EU-Regel

Die Richtlinie erfasst Einrichtungen der öffentlichen Verwaltung auf NUTS-Ebene 1 und 2 - grob gesagt nationale und große regionale Verwaltungen. Darunter räumt Article 2 den Mitgliedstaaten die Option ein, den Anwendungsbereich auf Kommunen zu erstrecken. Viele haben das getan. Mehrere nicht.

Das Ergebnis ist eine Anwendungsbereichskarte, die zu keinem anderen NIS2-Sektor passt. Eine städtische IT-Abteilung in einem Mitgliedstaat ist eine regulierte wesentliche Einrichtung mit Registrierungspflicht, Meldefristen und Leitungsverantwortung. Die vergleichbare Stadt jenseits der Grenze liegt vollständig außerhalb und kauft Sicherheit rein freiwillig ein.

Deshalb wiegt der nationale Umsetzungsstand hier schwerer als anderswo. Mit 22 von 27 umgesetzten Mitgliedstaaten Mitte 2026 und der Verweisung Irlands, Spaniens, Frankreichs und der Niederlande an den Gerichtshof der Europäischen Union durch die Kommission ist die Kommunalfrage in manchen Märkten rechtlich weiterhin offen. Unser Umsetzungstracker nach Ländern enthält den aktuellen Stand.

Nehmen Sie nie eine konzernweite Antwort für einen grenzüberschreitend tätigen Kunden an. Eine Shared-Service-Organisation, die Kommunen in drei Mitgliedstaaten bedient, kann in einem reguliert sein und in den anderen nicht - bei einer einzigen darunterliegenden IT-Landschaft.

Vier Ausnahmen, die Berater regelmäßig falsch lesen

NIS2 gilt nicht für alles mit Behördenbriefkopf. Vier Ausnahmen sind relevant, und alle vier sind enger, als angenommen wird.

Nationale Sicherheit, öffentliche Sicherheit, Verteidigung und Strafverfolgung. Die Ausnahme knüpft an die Tätigkeit an, nicht an die Organisation. Ein Innenministerium ist nicht pauschal befreit, weil ein Teil davon Polizeiaufgaben wahrnimmt. Die Teile mit anderen Funktionen können weiterhin im Anwendungsbereich liegen.

Die Justiz. Gerichte sind ausgenommen. Justizverwaltungsdienste, die als eigene Rechtsträger verfasst sind, sind nicht automatisch mit ausgenommen.

Parlamente. Legislativorgane sind ausgenommen. Parlamentarische IT-Dienstleister, die eigene Stellen sind, möglicherweise nicht.

Zentralbanken. Unter NIS2 ausgenommen - viele derselben Institute werden jedoch von DORA erfasst. Wenn Sie einen Kunden auf dieser Grundlage aus NIS2 herausargumentiert haben, prüfen Sie in NIS2 vs. DORA, was an dessen Stelle trat.

Zwei Punkte gehören klar gesagt. Erstens: Eine Ausnahme ist kein Schritt, dessen Dokumentation entfallen kann. Wird die Einrichtung später gefragt, warum sie nicht registriert ist, muss jemand die Begründung vorlegen. Zweitens: Mitgliedstaaten dürfen NIS2-Anforderungen dennoch auf ausgenommene Einrichtungen anwenden, und mehrere haben genau das für Teile des öffentlichen Sektors getan.

Erfasste öffentliche Stellen sind wesentliche Einrichtungen, und das ändert das Aufsichtsmodell

Fällt eine Einrichtung der öffentlichen Verwaltung in den Anwendungsbereich, gilt sie als wesentliche Einrichtung. Das ist kein Etikettendetail. Es bestimmt, wie die Aufsicht agiert.

Wesentliche Einrichtungen unterliegen der Ex-ante-Aufsicht. Die Behörde braucht weder Vorfall noch Beschwerde, um tätig zu werden - sie kann routinemäßig Inspektionen durchführen, Nachweise verlangen und Sicherheitsaudits auf Kosten der Einrichtung anordnen. Wichtige Einrichtungen unterliegen der Ex-post-Aufsicht, bei der die Behörde in der Regel erst handelt, wenn etwas schiefgegangen ist.

Für einen Behördenkunden ist die Prüfung damit ein geplanter Termin, kein Ausnahmefall. Die Nachweise müssen fortlaufend existieren, nicht nach einem Anruf zusammengestellt werden. Was Aufsichtsbehörden tatsächlich verlangen, führen wir in der NIS2-Checkliste für Prüfnachweise aus.

Auch die Bestimmungen zur Leitungsverantwortung greifen hier. Leitungsorgane, Staatssekretäre und kommunale Verwaltungsspitzen müssen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen und können persönlich in die Verantwortung genommen werden. In mehreren Umsetzungen ist die verantwortliche Person gesetzlich benannt statt der internen Delegation überlassen.

Die Sektordaten zeigen: Die öffentliche Verwaltung ist der am schlechtesten vorbereitete hochkritische Sektor

Die ENISA-Bewertung NIS360 2026 ist der nützlichste externe Maßstab, wenn ein Kunde aus dem öffentlichen Sektor die Dringlichkeit bestreitet.

Die öffentliche Verwaltung liegt in der Risikozone: hohe Kritikalität, ein Reifegrad, der nicht nachgezogen hat. ENISA rahmt das ausdrücklich um Sektoren, die neu in der Regulierung sind, und um die Frage, ob sie schneller Kapazität aufbauen können, als ihre Kritikalität steigt. Die öffentliche Verwaltung ist der deutlichste Fall dieser Lücke.

Die Gründe sind jedem vertraut, der ein Behördenmandat betreut hat. Beschaffungszyklen in Quartalen. Legacy-Landschaften, die niemand durchgängig verantwortet. Sicherheitsbudgets, die direkt mit gesetzlicher Leistungserbringung konkurrieren. Verantwortung zersplittert zwischen zentraler IT und Dutzenden halbautonomen Ämtern mit eigenen Anwendungen.

Nichts davon akzeptiert eine Aufsichtsbehörde als Entschuldigung. Es ist aber ein starkes Argument, die Gap-Analyse jetzt zu beginnen statt nach dem ersten Prüfschreiben. Unser Schritt-für-Schritt-Leitfaden zur Gap-Analyse funktioniert für eine Kommune genauso wie für einen Hersteller.

Wer Behörden beliefert, wird Teil einer regulierten Lieferkette

Das ist der Teil, den die meisten IT-Berater und MSPs übersehen. Sie müssen nicht selbst im Anwendungsbereich sein, damit NIS2 Sie erreicht. Ihr Kunde muss es sein.

Article 21(2)(d) verpflichtet erfasste Einrichtungen, die Sicherheit ihrer unmittelbaren Lieferanten und Dienstleister zu steuern und dabei deren spezifische Schwachstellen und allgemeine Sicherheitspraxis zu berücksichtigen. Wendet ein Ministerium oder eine Landesbehörde das auf seine Lieferantenbasis an, landet die Pflicht vertraglich bei Ihnen - in Vergabeanforderungen, in Rahmenverträgen, in Sicherheitsanlagen, die den Vertrag überdauern.

Öffentliche Beschaffung verschärft das gegenüber dem Privatmarkt. Anforderungen werden in standardisierte Vergabeunterlagen geschrieben und über Hunderte Verträge wiederverwendet. Sobald eine nationale Beschaffungsstelle NIS2-Lieferantenklauseln in ihre Vorlage aufnimmt, erbt sie jeder Bieter auf einen Schlag.

Wenn Sie bereits Behördenverträge halten, lesen Sie die Lieferantenpflichten aus Article 21 vor Ihrer nächsten Verlängerung. Diese Klauseln kommen hinein, ob Sie darüber verhandeln oder nicht.

Was eine Readiness-Bewertung für eine öffentliche Stelle zuerst klären muss

Klären Sie vor jeder Maßnahmenarbeit vier Fragen schriftlich:

1. Ebene und Rechtsgrundlage. Zentral, regional (NUTS 1 oder 2) oder kommunal - und welches Instrument die Einrichtung errichtet hat. Das entscheidet den Anwendungsbereich, nicht die Beschäftigtenzahl.
2. Nationale Erstreckung. Hat der Mitgliedstaat NIS2 auf Kommunen erstreckt, und unter welchen Bedingungen? Das ist nationales Recht, nicht die Richtlinie.
3. Ausnahmeanalyse. Welche Tätigkeiten fallen gegebenenfalls unter die Ausnahmen für nationale Sicherheit, Justiz, Parlament oder Zentralbank - und welche Teile der Einrichtung bleiben dennoch erfasst.
4. Zuständige Behörde. Welche Aufsicht ist für diese Einrichtung zuständig, und veröffentlicht sie sektorspezifische Leitlinien? Die öffentliche Verwaltung wird oft von einer anderen Behörde beaufsichtigt als kommerzielle Sektoren im selben Land. Siehe welche Aufsichtsbehörde Ihren Kunden tatsächlich beaufsichtigt.

Erst danach ergibt Gap-Arbeit gegen Article 21 Sinn. Scoping-Fehler sind in diesem Sektor in beide Richtungen teuer: Entweder Sie bauen ein Compliance-Programm für eine Einrichtung, die nie eines brauchte, oder Sie lassen eine wesentliche Einrichtung unregistriert und unvorbereitet auf die Ex-ante-Inspektion zurück.

Wenn Sie einen schnellen, strukturierten Ausgangspunkt für einen Behördenkunden wollen - oder für Ihre eigene Position als deren Lieferant - nutzen Sie den NIS2 Quick Scan. Er dauert Minuten und liefert eine belastbare Readiness-Basislinie, auf der die Bewertung aufbaut.

Die Kurzfassung

Die Zentralregierung ist in jedem Mitgliedstaat erfasst, unabhängig von der Größe. Regionale Verwaltungen auf NUTS 1 und 2 sind erfasst. Kommunen hängen vollständig vom nationalen Recht ab. Die Ausnahmen sind tätigkeitsbezogen und enger, als sie wirken. Erfasste öffentliche Stellen sind wesentliche Einrichtungen, was Ex-ante-Aufsicht und benannte Leitungsverantwortung bedeutet.

Und wenn Sie an eine von ihnen verkaufen, werden deren Pflichten zu Ihren Vertragsbedingungen.