Fällt Ihr Unternehmen unter NIS2?
Beantworten Sie fünf Fragen und erhalten Sie eine erste Einschätzung nach dem deutschen NIS2-Umsetzungsgesetz (BSIG). Ohne Anmeldung, ohne Datenübermittlung – die Auswertung läuft vollständig in Ihrem Browser.
Ihr Ergebnis
Besonders wichtige Einrichtung
Nach Ihren Angaben fällt Ihr Unternehmen voraussichtlich als besonders wichtige Einrichtung unter das NIS2-Umsetzungsgesetz. Damit gelten die vollen Pflichten – einschließlich aktiver Aufsicht durch das BSI.
Was das für Sie bedeutet
- Registrierung beim BSI innerhalb von drei Monaten
- Risikomanagement-Maßnahmen nach dem Stand der Technik: u. a. Notfallmanagement, Lieferkettensicherheit, Multi-Faktor-Authentifizierung, Verschlüsselung, Schulungen
- Meldung erheblicher Sicherheitsvorfälle: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat
- Persönliche Umsetzungs- und Schulungspflicht der Geschäftsleitung
- Nachweispflichten gegenüber dem BSI – für KRITIS-Betreiber regelmäßig alle drei Jahre, sonst auf Verlangen
Ihr Ergebnis
Wichtige Einrichtung
Nach Ihren Angaben fällt Ihr Unternehmen voraussichtlich als wichtige Einrichtung unter das NIS2-Umsetzungsgesetz. Registrierung, Risikomanagement und Meldepflichten gelten in vollem Umfang; die Aufsicht durch das BSI erfolgt anlassbezogen.
Was das für Sie bedeutet
- Registrierung beim BSI innerhalb von drei Monaten
- Risikomanagement-Maßnahmen nach dem Stand der Technik: u. a. Notfallmanagement, Lieferkettensicherheit, Multi-Faktor-Authentifizierung, Verschlüsselung, Schulungen
- Meldung erheblicher Sicherheitsvorfälle: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat
- Persönliche Umsetzungs- und Schulungspflicht der Geschäftsleitung
- Aufsicht durch das BSI anlassbezogen, z. B. nach Vorfällen oder Hinweisen
Ihr Ergebnis
Nicht direkt betroffen – aber über die Lieferkette
Nach Ihren Angaben fällt Ihr Unternehmen voraussichtlich nicht direkt unter NIS2. Da Sie NIS2-Einrichtungen beliefern oder betreuen, sollten Sie damit rechnen, dass Kunden Sicherheitsnachweise, vertragliche Zusagen und feste Meldewege von Ihnen verlangen.
Was das für Sie bedeutet
- Sicherheitsnachweise für Kunden bereithalten, z. B. Richtlinien, Penetrationstest-Bericht, Schulungsnachweise
- Vertragliche Anforderungen zu Meldewegen und Reaktionszeiten prüfen und erfüllen
- Eigenes Sicherheitsniveau an einem anerkannten Standard ausrichten, z. B. BSI IT-Grundschutz oder ISO 27001
Ihr Ergebnis
Nicht direkt betroffen
Nach Ihren Angaben fällt Ihr Unternehmen voraussichtlich nicht unter das NIS2-Umsetzungsgesetz. Das entbindet nicht von der DSGVO und der allgemeinen Sorgfaltspflicht der Geschäftsführung – und Kunden können trotzdem Sicherheitsnachweise verlangen.
Was das für Sie bedeutet
- Basisschutz sicherstellen: Backups, Multi-Faktor-Authentifizierung, Patches, Awareness
- Betroffenheit jährlich prüfen – Schwellenwerte und Sektorzuordnungen können sich ändern
- Bei Wachstum, Zukäufen oder neuen Geschäftsfeldern erneut prüfen
Grundlage der Einschätzung
- Ihr Sektor gehört zu den Sektoren mit hoher Kritikalität (Anhang I).
- Ihr Sektor gehört zu den sonstigen kritischen Sektoren (Anhang II).
- Ihr Sektor ist in den NIS2-Anhängen nicht aufgeführt.
- Ihr Unternehmen gilt als Großunternehmen (ab 250 Mitarbeitenden oder über 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme).
- Ihr Unternehmen gilt als mittleres Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. Euro Umsatz und Bilanzsumme).
- Ihr Unternehmen liegt unter den Schwellenwerten für mittlere Unternehmen.
- Als KRITIS-Betreiber gelten die Pflichten unabhängig von der Unternehmensgröße.
- Vertrauensdienste, TLD-Registries und DNS-Anbieter sind unabhängig von der Größe erfasst.
- Anbieter öffentlicher Telekommunikationsnetze und -dienste sind unabhängig von der Größe erfasst.
- Als einziger Anbieter eines unentbehrlichen Dienstes kann eine Einstufung unabhängig von der Größe erfolgen – das BSI entscheidet im Einzelfall.
- Einrichtungen der Bundesverwaltung unterliegen eigenen Vorgaben im BSIG.
- Sie beliefern oder betreuen NIS2-Einrichtungen – Anforderungen werden häufig vertraglich weitergegeben.
Kostenloses Erstgespräch – wir prüfen die Einstufung verbindlich und zeigen die nächsten Schritte.
Diese Einschätzung ersetzt keine Rechtsberatung und keine Prüfung durch das BSI. Maßgeblich sind das BSI-Gesetz in der jeweils geltenden Fassung, die BSI-Kritisverordnung sowie die Zuordnung Ihrer konkreten Tätigkeiten zu den gesetzlichen Einrichtungsarten. Ihre Angaben werden weder gespeichert noch übermittelt.