Das Wichtigste in Kürze
- NIS2-Pflichten können einzelne Konzerngesellschaften unabhängig vom Gesamtkonzern treffen.
- Die EU-KMU-Definition (eigenständig, Partner, verbunden) ist entscheidend für die Zurechnung von Mitarbeiter- und Finanzzahlen bei der NIS2-Prüfung.
- Muttergesellschaften in Drittstaaten können deutsche Töchter zu alleinigen NIS2-Adressaten mit voller Haftung machen, falls keine EU-Vertretung benannt wird.
- Finanzierungsrunden oder Beteiligungen können Scaleups unerwartet NIS2-pflichtig machen, da die Zahlen von Investoren zugerechnet werden können.
- Eine präzise Analyse der Beteiligungs- und Beherrschungsverhältnisse ist für die NIS2-Compliance im Konzern unerlässlich, um Haftungsrisiken zu vermeiden.
Das Wichtigste in Kürze
- Die NIS2-Pflichten können einzelne Tochtergesellschaften treffen, auch wenn der Konzern als Ganzes nicht direkt betroffen ist – und umgekehrt.
- Für die Schwellenwerte (Mitarbeiter, Umsatz) ist entscheidend, ob ein Unternehmen „eigenständig“ ist oder ob eine Konsolidierung mit Partner- oder verbundenen Unternehmen stattfindet.
- Partner- und verbundene Unternehmen werden nach den EU-Definitionen (§ 2 Abs. 2 NIS2UmsuG i.V.m. Anhang der Empfehlung 2003/361/EG) differenziert behandelt.
- Eine Muttergesellschaft im EU-Ausland oder einem Drittland kann dazu führen, dass die deutsche Tochtergesellschaft als alleiniger NIS2-Adressat gilt und vollumfänglich haften muss.
NIS2 in Konzernstrukturen: Wann Tochtergesellschaften und Scaleups separat betroffen sind
Seit dem Inkrafttreten des deutschen NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuG) im Jahr 2025 hat sich die Unternehmenslandschaft stark verändert. Die grundlegenden Fragen zur Anwendbarkeit der Richtlinie auf einzelne Unternehmen sind mittlerweile weitgehend geklärt.
Im Sommer 2026 rücken nun komplexere Konstellationen in den Fokus der Beratungspraxis: die Anwendung von NIS2 in Konzernstrukturen, bei Unternehmensgruppen und in Portfolios von Venture-Capital-Gebern. Besonders für dynamisch wachsende Startups und SaaS-Anbieter, die oft komplexe Beteiligungsstrukturen aufweisen, stellen sich drängende Fragen.
Fällt nur die Muttergesellschaft unter die Regulierung? Oder kann eine kleine, agile Tochtergesellschaft plötzlich selbst zum Adressaten empfindlicher Pflichten werden? Dieser Artikel beleuchtet die entscheidenden Weichenstellungen für die NIS2-Einordnung im Konzernverbund und bringt Licht ins Dunkel.
Grundlagen der NIS2-Anwendung: Die Schwellenwerte im Fokus
Die Anwendbarkeit der NIS2-Richtlinie hängt primär von zwei Faktoren ab: der Tätigkeit in einem der in den Anhängen 1 („wesentliche Einrichtungen“) oder 2 („wichtige Einrichtungen“) der NIS-2-Richtlinie genannten Sektoren und der Unternehmensgröße.
Grundsätzlich gilt die sogenannte „Size-Cap-Regel“, wonach Kleinst- und Kleinunternehmen ausgenommen sind. Betroffen sind somit in der Regel mittlere Unternehmen. Nach der EU-Definition, die auch das NIS2UmsuG zugrunde legt, ist ein mittleres Unternehmen ein solches, das mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz bzw. eine Jahresbilanzsumme von mehr als 10 Millionen Euro aufweist.
Große Unternehmen mit über 250 Mitarbeitern und über 50 Millionen Euro Umsatz oder 43 Millionen Euro Bilanzsumme sind ebenfalls erfasst. Diese auf den ersten Blick klare Abgrenzung wird komplex, sobald ein Unternehmen nicht isoliert, sondern als Teil einer größeren Gruppe agiert.
Die entscheidende Frage ist dann: Wessen Mitarbeiterzahlen und Finanzkennzahlen sind für die Einstufung einer Tochtergesellschaft maßgeblich? Müssen die Zahlen der Muttergesellschaft oder des gesamten Konzerns addiert werden? Die Antwort findet sich nicht direkt im NIS2UmsuG, sondern in einer anderen europäischen Regelung.
Eigenständig, Partner oder verbunden: Die EU-KMU-Definition als Schlüssel
Der Dreh- und Angelpunkt für die Zurechnung von Mitarbeitern und Umsätzen ist die Definition von Kleinst-, kleinen und mittleren Unternehmen (KMU) im Anhang der Empfehlung 2003/361/EG der Kommission. Das deutsche NIS2UmsuG nimmt in seinen Begriffsbestimmungen, etwa in § 2 Abs. 2, explizit auf diese Definitionen Bezug.
- Eigenständige Unternehmen: Ein Unternehmen ist eigenständig, wenn es weniger als 25 % des Kapitals oder der Stimmrechte eines anderen Unternehmens hält und/oder kein anderes Unternehmen mehr als 25 % an ihm hält. Es werden ausschließlich die eigenen Mitarbeiterzahlen und Finanzkennzahlen zur Prüfung der NIS2-Schwellenwerte herangezogen.
- Partnerunternehmen: Hält ein Unternehmen eine Beteiligung zwischen 25 % und 50 % an einem anderen Unternehmen (oder umgekehrt), müssen anteilig die Mitarbeiterzahl und der Umsatz/die Bilanzsumme des Partnerunternehmens zu den eigenen Zahlen hinzugerechnet werden.
- Verbundene Unternehmen: Dies ist der Fall, wenn ein Unternehmen die Mehrheit der Stimmrechte (mehr als 50 %) an einem anderen Unternehmen besitzt oder beherrschenden Einfluss ausüben kann. In dieser Konstellation müssen die Zahlen zu 100 % konsolidiert werden.
Eigenständige Unternehmen
Dies ist der unkomplizierteste Fall. Ein Unternehmen gilt als eigenständig, wenn es weniger als 25 % des Kapitals oder der Stimmrechte eines anderen Unternehmens hält und/oder kein anderes Unternehmen mehr als 25 % an ihm hält. In diesem Szenario werden ausschließlich die eigenen Mitarbeiterzahlen und Finanzkennzahlen zur Prüfung der NIS2-Schwellenwerte herangezogen.
Partnerunternehmen
Hält ein Unternehmen eine Beteiligung zwischen 25 % und 50 % an einem anderen Unternehmen (oder umgekehrt), gelten diese als Partnerunternehmen. Hier wird es bereits komplexer: Das Unternehmen muss zu seinen eigenen Zahlen anteilig die Mitarbeiterzahl und den Umsatz/die Bilanzsumme des Partnerunternehmens hinzurechnen.
Hält also ein Unternehmen A 30 % an Unternehmen B, muss Unternehmen A zu seinen eigenen Werten 30 % der Werte von Unternehmen B addieren. Für die NIS2-Prüfung von Unternehmen B gilt dasselbe umgekehrt.
Verbundene Unternehmen
Die weitreichendste Zurechnung erfolgt bei verbundenen Unternehmen. Dies ist typischerweise der Fall, wenn ein Unternehmen die Mehrheit der Stimmrechte (mehr als 50 %) an einem anderen Unternehmen besitzt oder auf andere Weise einen beherrschenden Einfluss ausüben kann, beispielsweise durch Satzungsbestimmungen oder Beherrschungsverträge.
In dieser Konstellation müssen die Zahlen zu 100 % konsolidiert werden. Das Tochterunternehmen muss die kompletten Mitarbeiterzahlen und Finanzkennzahlen seiner Muttergesellschaft (und aller weiteren verbundenen Unternehmen im Konzern) zu seinen eigenen addieren, um seinen Status zu ermitteln. Umgekehrt muss die Mutter die Zahlen ihrer Tochter vollumfänglich berücksichtigen.
Die Zurechnung in der Praxis: So wird im Konzern gerechnet
Die Unterscheidung zwischen Partner- und verbundenen Unternehmen hat massive praktische Auswirkungen. Nehmen wir das Beispiel einer deutschen SaaS-GmbH mit 40 Mitarbeitern und 8 Millionen Euro Umsatz. Isoliert betrachtet wäre sie ein Kleinunternehmen und fiele nicht unter NIS2.
Gehört diese GmbH jedoch zu 100 % einer US-amerikanischen Muttergesellschaft mit 5.000 Mitarbeitern, handelt es sich um verbundene Unternehmen. Für die NIS2-Prüfung in Deutschland muss die SaaS-GmbH die 5.000 Mitarbeiter und die Umsätze der Mutter zu ihren eigenen Werten addieren. Damit gilt sie unzweifelhaft als Großunternehmen.
Sofern sie in einem relevanten Sektor, beispielsweise als Anbieter von Cloud-Computing-Diensten, tätig ist, wird sie zur wesentlichen oder wichtigen Einrichtung im Sinne des NIS2UmsuG. Interessanterweise können auch Vertragsgestaltungen für SaaS-Unternehmen weitere relevante Aspekte für die NIS2-Compliance offenbaren.
Die Zurechnung wirkt in alle Richtungen: nicht nur „von oben nach unten“ (upstream), sondern auch „von unten nach oben“ (downstream) und „seitwärts“ (sidestream). Eine Holdinggesellschaft mit nur fünf eigenen Mitarbeitern kann durch die Addition der Zahlen ihrer Tochtergesellschaften selbst zur NIS2-pflichtigen Einrichtung werden.
Ebenso muss eine Tochtergesellschaft die Zahlen von Schwestergesellschaften berücksichtigen, wenn alle über eine gemeinsame Muttergesellschaft verbunden sind. Eine präzise Analyse der Beteiligungs- und Beherrschungsverhältnisse ist daher der erste und wichtigste Schritt jeder NIS2-Compliance-Prüfung im Konzern. Eine fundierte it-rechtliche Beratung ist hier unerlässlich, um die komplexen Verflechtungen korrekt zu bewerten.
Sonderfall Ausland: Muttergesellschaften in der EU und in Drittstaaten
Konstellationen mit einer Muttergesellschaft im Ausland erfordern besondere Aufmerksamkeit. Hier muss differenziert werden, ob sich der Sitz der Mutter in einem anderen EU-Mitgliedstaat oder in einem Drittstaat (z. B. USA, UK, Schweiz) befindet.
Muttergesellschaft in einem EU-Staat
Befindet sich die Muttergesellschaft in einem anderen EU-Staat, greift grundsätzlich das Niederlassungsprinzip der NIS-2-Richtlinie (Art. 26). Die Hauptverantwortung für die NIS2-Compliance der gesamten Gruppe liegt in dem Mitgliedstaat, in dem die Mutter ihre Hauptniederlassung hat.
Dennoch ist die deutsche Tochtergesellschaft nicht aus der Pflicht. Sie gilt als „Einrichtung“ in Deutschland und unterliegt den Vorschriften des NIS2UmsuG. Sie muss sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren und die nationalen Vorgaben umsetzen. Dies erfordert eine enge Abstimmung mit der Konzernmutter.
Die Aufsicht erfolgt zwar primär im Sitzstaat der Mutter, doch die deutschen Behörden behalten eine subsidiäre Zuständigkeit. In diesem Kontext ist ein effektiver betrieblicher Datenschutz in beiden Ländern entscheidend.
Muttergesellschaft in einem Drittstaat
Dramatischer ist die Situation bei einer Muttergesellschaft in einem Drittstaat. Gemäß Art. 26 Abs. 3 der NIS-2-Richtlinie müssen Anbieter aus Drittstaaten, die ihre Dienste in der EU erbringen, einen Vertreter in der Union benennen.
| Merkmal | Muttergesellschaft in EU-Staat | Muttergesellschaft in Drittstaat |
|---|---|---|
| Niederlassungsprinzip | Greift (Art. 26 NIS-2-Richtlinie) | Greift nicht (Art. 26 Abs. 3 NIS-2-Richtlinie) |
| Hauptverantwortung NIS2 | Im Mitgliedstaat der Muttergesellschaft | Deutsche Tochtergesellschaft wird primärer Adressat |
| Haftung der deutschen Tochter | Unterliegt NIS2UmsuG, Registrierung beim BSI, subsidiäre Zuständigkeit deutscher Behörden | Vollumfängliche Haftung, muss eigenständig Cybersicherheits-Managementsystem aufbauen |
| Vertreter in der Union | Nicht explizit erforderlich für die Tochter (Niederlassungsprinzip) | Muss benannt werden; falls nicht, wird Tochter primärer Adressat |
Kommt die Muttergesellschaft dieser Pflicht nicht nach, wird die deutsche Tochtergesellschaft zum primären Adressaten. Sie haftet vollumfänglich für die Einhaltung der NIS2-Pflichten in Deutschland. Sie kann sich nicht auf die Konzernmutter berufen.
Stattdessen muss sie eigenständig ein vollständiges Cybersicherheits-Managementsystem aufbauen, Vorfälle melden und alle weiteren Anforderungen erfüllen. Für viele deutsche Töchter von US-Tech-Konzernen ist dies ein erhebliches und oft unterschätztes Risiko.
Auswirkungen auf Scaleups und Venture-Capital-Finanzierung
Die beschriebenen Zurechnungsregeln sind nicht nur für etablierte Konzerne, sondern auch für die Startup- und Scaleup-Szene von enormer Bedeutung. Eine Finanzierungsrunde kann ein Unternehmen über Nacht NIS2-pflichtig machen.
Betrachten wir ein aufstrebendes SaaS-Unternehmen mit 45 Mitarbeitern, das bislang unter der Schwelle lag. Im Rahmen einer Series-B-Finanzierung steigt ein strategischer Investor, ein großer deutscher Industriekonzern, mit einer Beteiligung von 30 % ein.
Durch diese Beteiligung wird der Investor zum „Partnerunternehmen“. Das Scaleup muss nun zu seinen 45 Mitarbeitern 30 % der Mitarbeiter des Investors hinzurechnen. Handelt es sich um einen Konzern mit 20.000 Mitarbeitern, sind das 6.000 (virtuelle) Mitarbeiter, die dem Scaleup zugerechnet werden.
Damit überschreitet es die Schwelle von 50 Mitarbeitern bei Weitem und wird, sofern es in einem NIS2-Sektor tätig ist, zur regulierten Einrichtung. Dieses Szenario muss bei der Due Diligence und der Vertragsgestaltung von Investitionsrunden unbedingt berücksichtigt werden.
Die Kenntnis der Grundlagen der NIS2-Regulierung ist für Gründer und Investoren gleichermaßen essenziell geworden. Zudem sollten Gründer die Rechtsformwahl von Beginn an sorgfältig prüfen.
Fazit und Handlungsempfehlungen
Die Komplexität von Konzernstrukturen im Kontext der NIS2-Richtlinie erfordert eine präzise rechtliche Analyse. Pauschale Aussagen sind gefährlich und können zu empfindlichen Bußgeldern oder Haftungsrisiken für die Geschäftsführung führen.
Es ist daher unerlässlich, frühzeitig zu prüfen, ob Ihr Unternehmen oder eine Ihrer Tochtergesellschaften unter das NIS2UmsuG fällt. Gerne unterstütze ich Sie dabei, Ihre spezifische Situation zu bewerten und die notwendigen Schritte einzuleiten. Vereinbaren Sie einfach einen Termin für ein Erstgespräch: Termin vereinbaren.