NIS2 und Konzern-IT: MSP oder vernachlässigbare Tätigkeit?

Eine Konzerngesellschaft betreibt die IT für ihre Schwestergesellschaften. Sie hat nur wenige Beschäftigte und arbeitet ausschließlich intern. Ist sie damit von NIS2 ausgenommen – oder gerade ein Managed Service Provider?

TL;DR: Müssen wir unsere Konzern-IT auf NIS2 prüfen?

• Ihr betreibt IT für andere Konzerngesellschaften mit administrativem Zugriff? Dann ist eine MSP-Einordnung nach der BSI-FAQ naheliegend. Die tatsächliche Regulierung braucht eine weitere Prüfung.
• Ihr habt weniger als 50 Beschäftigte? Das allein ist keine Ausnahme. Auch verbundene Unternehmen und die weiteren Voraussetzungen können für die Einstufung relevant sein.
• Ihr beruft euch auf eine vernachlässigbare Tätigkeit? Prüft die Tätigkeitsanteile an der jeweiligen Einrichtung. „Unsere IT-Tochter ist klein im Vergleich zum Konzern“ reicht dafür nicht.
• Ihr bietet nur Anwendersupport ohne technischen Zugriff und entsprechende Problemlösungskompetenz? Das grenzt das BSI von MSP-Leistungen ab. Andere Einrichtungsarten bleiben gesondert zu prüfen.

Der nächste Schritt: Für jede Gesellschaft Tätigkeit, technischen Zugriff, Empfängerkreis und Kennzahlen dokumentieren. Erst daraus lässt sich eine begründete Betroffenheitsentscheidung ableiten.

Stand dieses Artikels: 12. Oktober 2026. Grundlage sind das geltende deutsche BSIG und die an diesem Tag geprüften BSI-FAQ. Eigene Einordnungen und Beispiele sind als solche gekennzeichnet.

Warum konzerninterne IT als MSP gelten kann

In der sektorspezifischen FAQ ordnet das BSI Tochterunternehmen mit zentralem IT-Betrieb für einen Unternehmensverbund regelmäßig als MSP oder MSSP ein. Die Beschränkung auf andere Konzerngesellschaften verhindert diese Einordnung also nicht.

Die allgemeine FAQ, Anwendungsbereich, Frage 17 präzisiert den MSP-Fall: Maßgeblich sind operative IT-Leistungen mit administrativem Zugriff auf Systeme anderer Konzerngesellschaften.

Das BSI grenzt davon zwei Konstellationen ab:

• Eine Gesellschaft verantwortet ein Kundenportal geschäftlich, während ein anderes Unternehmen den technischen Betrieb vollständig übernimmt. Ohne eigene einschlägige technische Leistungen und Zugriff genügt die geschäftliche Verantwortung nach dieser FAQ nicht für die MSP-Eigenschaft.
• Reiner Anwendersupport ohne Problemlösungskompetenz oder technischen Zugriff auf Anwendungs- beziehungsweise Systemebene wird ebenfalls abgegrenzt.

Für eure Bestandsaufnahme heißt das: Beschreibt, wer tatsächlich installiert, administriert, betreibt oder wartet. Ein Gesellschaftsname wie „IT Services“ oder ein konzerninterner Vertrag beantwortet die Frage allein nicht.

Was § 28 Absatz 3 BSIG tatsächlich regelt

§ 28 Absatz 3 BSIG erlaubt, bei der Zuordnung zu Einrichtungsarten vernachlässigbare Geschäftstätigkeiten unberücksichtigt zu lassen. Bezugspunkt ist die gesamte Geschäftstätigkeit der Einrichtung.

Das betrifft die Sektorenzuordnung. Es verändert weder die MSP-Definition noch ersetzt es die gesonderte Prüfung der Größenmerkmale und weiterer Voraussetzungen.

Die Prozentwerte und Fallgruppen erläutert das BSI in seiner FAQ. Sie stehen nicht als Zahlenkatalog im Wortlaut dieses Absatzes. Gesetz und behördliche Auslegungshilfe sollten deshalb im Prüfvermerk getrennt erkennbar bleiben.

Die BSI-Kriterien für verbundene Unternehmen

Die allgemeine FAQ, Anwendungsbereich, Frage 1 nennt für verbundene Unternehmen die ausschließliche Leistung innerhalb verbundener Unternehmen und zwei quantitative Varianten:

Kriterium	Variante A	Variante B
Beschäftigte in der betreffenden Tätigkeit	Weniger als 50	Weniger als 10 % der Beschäftigten der jeweiligen Einrichtung; für Unternehmen mit mehr als 500 Beschäftigten
Anteil am Jahresumsatz	Weniger als 10 %	Weniger als 10 %
Anteil an der Jahresbilanzsumme	Weniger als 10 %	Weniger als 10 %

UND und ODER richtig einordnen

Unsere redaktionelle Darstellung liest die ausschließlich konzerninterne Leistung als gemeinsame Voraussetzung und die beiden Größenvarianten als Alternativen:

Nur konzernintern UND (Variante A ODER Variante B).

Innerhalb jeder Variante sind Beschäftigtenkriterium, Umsatzanteil und Bilanzanteil zusammen zu prüfen. Ein kleiner Umsatzanteil allein reicht nach dieser Darstellung nicht. Ebenso wenig ersetzt eine geringe Beschäftigtenzahl die beiden finanziellen Kriterien.

Wichtig: Die nummerierte BSI-Aufzählung ist keine gesetzlich formulierte Rechenregel. Die Klammerung oben ist unsere strukturierte Lesart, kein zusätzliches wörtliches BSI-Zitat. Bei entscheidungserheblichen Zweifeln zur konkreten Konstellation sollte die Anwendung geklärt werden.

Die Grenzen sind streng formuliert: weniger als 50 beziehungsweise weniger als 10 %. Variante B nennt mehr als 500 Beschäftigte. Exakt 50, 10 % oder 500 erfüllen die jeweils so bezeichnete Grenze nicht.

Der entscheidende Bezugspunkt: die jeweilige Einrichtung

Hier liegt der häufigste Denkfehler: Der Anteil einer IT-Tochter am Gesamtkonzern ist nicht automatisch der Anteil ihrer IT-Tätigkeit an ihrer eigenen Gesamtgeschäftstätigkeit.

Eigene Einordnung: Ist eine rechtlich eigenständige Gesellschaft ausschließlich mit IT-Dienstleistungen beschäftigt, kann diese Tätigkeit ihr gesamtes Geschäft ausmachen. Dass sie im Konzern nur einen kleinen Umsatzanteil hat, belegt dann nicht die in der FAQ genannten Anteile auf Einrichtungsebene.

Drei vereinfachte Beispiele

Die folgenden Fälle illustrieren einzelne Prüfpunkte. Sie sind keine vollständigen Betroffenheitsprüfungen und keine BSI-Fallentscheidungen.

Fall	Was daraus folgt
Eine reine IT-Tochter beschäftigt 30 Personen und betreibt ausschließlich Konzern-IT.	Die Zahl 30 genügt nicht als Ausnahmebegründung. Die Umsatz- und Bilanzanteile der Tätigkeit an dieser Einrichtung müssen ebenfalls geprüft werden.
Eine diversifizierte Gesellschaft erbringt nur innerhalb des Verbunds IT-Dienste; die Tätigkeit umfasst 20 Beschäftigte, 5 % ihres Umsatzes und 4 % ihrer Bilanzsumme.	Die Angaben passen zu Variante A unserer Darstellung. Weitere Einrichtungsarten und Voraussetzungen bleiben gesondert zu prüfen.
Eine Gesellschaft mit 800 Beschäftigten hat 60 Personen in dieser Tätigkeit, 7 % Umsatzanteil und 6 % Bilanzanteil; sie leistet ausschließlich konzernintern.	60 von 800 sind 7,5 %. Damit passen die angegebenen Werte zu Variante B, obwohl die Tätigkeit mehr als 50 Beschäftigte umfasst.

Die Beispiele zeigen auch: „Die IT-Tätigkeit liegt unter den NIS2-Schwellenwerten“ ist nicht dieselbe Aussage wie „die Tätigkeit ist nach der BSI-Auslegung vernachlässigbar“.

Nicht mit der Größenberechnung im Konzern verwechseln

§ 28 Absatz 4 BSIG behandelt die Bestimmung von Beschäftigtenzahl, Umsatz und Bilanzsumme für die Größenmerkmale. Dabei sind grundsätzlich die Regeln der europäischen KMU-Empfehlung zu berücksichtigen; der Absatz enthält eine Ausnahme für unter den genannten Umständen unabhängige Unternehmen.

Für die allgemeinen Einrichtungsarten knüpft § 28 Absatz 1 Nummer 4 beziehungsweise Absatz 2 Nummer 3 außerdem an entgeltliche Leistungen gegenüber anderen Personen an. Auch diese Voraussetzung gehört in die Prüfung.

Diese Größenberechnung ist eine andere Frage als die Tätigkeitsanteile bei der Vernachlässigbarkeit. Eine kleine eigene Belegschaft ist daher auch an dieser Stelle kein ausreichender Grund, eine Konzerngesellschaft ungeprüft auszusortieren.

Nach der BSI-FAQ können Mutter- und Tochterunternehmen jeweils erfasst sein, wenn beide die Voraussetzungen erfüllen. Eine konzernweite Organisation der Umsetzung macht diese gesellschaftsbezogene Prüfung nicht überflüssig.

Gemeinsamer Eigentümer, aber keine Tochtergesellschaften?

Auch ohne Mutter-Tochter-Struktur können Gesellschaften für die Größenberechnung verbundene Unternehmen sein. Nach Artikel 3 Absatz 3 des Anhangs zur EU-KMU-Empfehlung setzt eine Verbindung über eine Privatperson neben einer entsprechenden Kontrollbeziehung voraus, dass die Unternehmen zumindest teilweise auf demselben oder auf unmittelbar vor- beziehungsweise nachgelagerten Märkten tätig sind.

Anonymisiertes Beispiel, eigene Einordnung: Eine Privatperson hält jeweils die Mehrheit der Stimmrechte an mehreren Gesellschaften. Diese bieten über einen gemeinsamen Vertrieb zusammenhängende Unternehmenssoftware und IT-Dienstleistungen für dieselben Kunden an. Das spricht für eine mögliche Verbindung auf denselben oder benachbarten Märkten. Gleiche Kunden allein reichen als Nachweis jedoch nicht: Entscheidend sind die tatsächlich angebotenen Leistungen und deren Marktbeziehung. Auch jede einzubeziehende Gesellschaft muss diese Voraussetzungen erfüllen.

Betreibt eine dieser Gesellschaften außerdem die IT der anderen mit administrativem Zugriff, ist ihre mögliche MSP-Eigenschaft separat zu prüfen. Gemeinsame IT spricht zudem gegen eine ungeprüfte Annahme der IT-Unabhängigkeit nach § 28 Absatz 4 BSIG. Daraus folgt noch keine abschließende NIS2-Betroffenheit: Größenmerkmale, Entgeltlichkeit, Tätigkeitszuordnung und mögliche Ausnahmen bleiben zu prüfen.

Was Unternehmen jetzt dokumentieren sollten

Eine belastbare Prüfung braucht nachvollziehbare Angaben:

1. Einrichtung: Welche Gesellschaft oder sonstige Einrichtung wird geprüft? Welche Tätigkeiten übt sie aus?
2. Technischer Betrieb: Welche IT-Leistungen erbringt sie selbst, für wen und mit welchen Zugriffsrechten?
3. Empfängerkreis: Werden Leistungen ausschließlich innerhalb verbundener Unternehmen erbracht oder auch am Markt angeboten?
4. Bezugsgrößen: Wie wurden Beschäftigte, Umsatz- und Bilanzanteile der Tätigkeit bestimmt? Auf welche Einrichtung und welchen Zeitraum beziehen sich die Werte?
5. Gesamtbild: Welche Bedeutung hat die Tätigkeit tatsächlich? Ist sie im Gesellschaftsvertrag oder in der Satzung genannt? Das BSI nennt dies als mögliches Indiz gegen Vernachlässigbarkeit.
6. Weitere Zuordnungen: Ist die Einrichtung aus einer anderen Tätigkeit erfasst? Die FAQ schließt die Anwendung von Absatz 3 etwa für Betreiber kritischer Anlagen und bestimmte digitale Dienste aus.
7. Entscheidung und Änderungen: Welche Quellenfassung wurde verwendet, wer hat die Einordnung geprüft und wann wird sie bei geänderten Tätigkeiten oder Kennzahlen erneut bewertet?

Unsere Empfehlung ist, diese Begründung mit den betroffenen Prozessen, Dienstleistern und Verantwortlichkeiten zu verbinden. Ein Häkchen „nicht betroffen“ ohne Berechnung und Bezugsgröße ist für spätere Rückfragen wenig hilfreich.

Was das für die gemeinsame GRC-Arbeit bedeutet

Die Einordnung einer Gesellschaft und die praktische Absicherung der Konzern-IT gehören zusammen. Über Prozesse und Abhängigkeiten könnt ihr festhalten, welche Gesellschaften dieselben Dienste benötigen. Lieferantenmanagement und Risikomanagement helfen, Zuständigkeiten und offene Maßnahmen im gemeinsamen Kontext zu steuern.

Die Mittelstandsseite zeigt, wie bestehende Managementsysteme auf einer gemeinsamen Arbeitsbasis weitergeführt werden können. Für die Umsetzung konkreter Anforderungen führt die NIS2-Übersicht weiter.

Kopexa unterstützt die Dokumentation und Umsetzung. Die rechtliche Zuordnung folgt aus den tatsächlichen Verhältnissen und den anwendbaren Vorschriften; sie wird nicht durch ein Software-Ergebnis ersetzt.

Dieser Beitrag erläutert die veröffentlichten Regeln für Deutschland und ersetzt keine Prüfung des konkreten Einzelfalls.