NIS2-Betroffenheitsprüfung

So entscheidet die Prüfung: der NIS2-Entscheidungsbaum

Die Prüfung bildet die Einstufung nach § 28 BSIG in drei Schritten ab. Vorrang hat eine Angabe: Wer eine kritische Anlage betreibt, ist unabhängig von Sektor und Größe besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG).

1. 1

   Sektor: Fällt Ihre Tätigkeit unter Anlage 1 oder 2 BSIG?

   Anlage 1 umfasst u. a. Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (einschließlich Managed Services) und Weltraum. Anlage 2 umfasst u. a. Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (z. B. Maschinenbau, Fahrzeugbau, Elektronik, Medizinprodukte), digitale Dienste und Forschung. Trifft keine Einrichtungsart zu, sind Sie voraussichtlich nicht direkt betroffen. Vernachlässigbare Nebentätigkeiten bleiben außer Betracht (§ 28 Abs. 3 BSIG).

2. 2

   Größe: Erreichen Sie die Schwelle für mittlere Unternehmen?

   Maßgeblich sind mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. €. Liegt Ihr Unternehmen darunter, ist es wahrscheinlich nicht direkt betroffen. Ausnahme sind die Sonderfälle unten.

3. 3

   Einrichtungsart: besonders wichtig oder wichtig?

   Besonders wichtige Einrichtung sind Unternehmen eines Anlage-1-Sektors mit mindestens 250 Mitarbeitern oder einem Jahresumsatz über 50 Mio. € und einer Jahresbilanzsumme über 43 Mio. €. Alle übrigen Unternehmen, die Schritt 1 und 2 erfüllen, sind wichtige Einrichtungen. Anlage-2-Sektoren führen ohne KRITIS-Betrieb immer zur Einstufung als wichtige Einrichtung.

Die Prüfung fragt nur den Jahresumsatz ab und nutzt ihn als Näherung für beide Finanzkennzahlen. Liegt Ihre Bilanzsumme unter der jeweiligen Schwelle, kann das Ergebnis strenger ausfallen als die Rechtslage. Die Pflichten besonders wichtiger und wichtiger Einrichtungen sind inhaltlich gleich; sie unterscheiden sich bei der Aufsicht (proaktiv bzw. anlassbezogen) und beim Bußgeldrahmen (bis 10 Mio. € oder 2 % bzw. bis 7 Mio. € oder 1,4 % des Jahresumsatzes).

Häufige Fragen zur NIS2-Betroffenheitsprüfung

Was fragt die NIS2-Betroffenheitsprüfung ab?

Drei Angaben: den Sektor Ihres Unternehmens nach Anlage 1 und 2 BSIG, die Größenklasse nach Mitarbeitern und Jahresumsatz sowie, ob Sie eine kritische Anlage (KRITIS) betreiben. Das Ergebnis erscheint sofort und ordnet Ihr Unternehmen als besonders wichtige Einrichtung, wichtige Einrichtung oder voraussichtlich nicht direkt betroffen ein.

Welche Schwellenwerte gelten für die NIS2-Betroffenheit?

Wichtige Einrichtung: mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. €. Besonders wichtige Einrichtung (nur Anlage-1-Sektoren): mindestens 250 Mitarbeiter oder ein Jahresumsatz über 50 Mio. € und eine Jahresbilanzsumme über 43 Mio. € (§ 28 BSIG). Mitarbeiter werden nach der KMU-Empfehlung der EU-Kommission in Jahresarbeitseinheiten gezählt, Teilzeitkräfte also anteilig.

Zählen Mitarbeiter und Umsatz von Konzerngesellschaften mit?

Grundsätzlich ja. § 28 Abs. 4 BSIG verweist auf die KMU-Empfehlung der EU-Kommission (2003/361/EG), nach der Daten von Partner- und verbundenen Unternehmen hinzugerechnet werden. Sie werden nicht hinzugerechnet, wenn Ihr Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen rechtlich, wirtschaftlich und tatsächlich unabhängig von der Gruppe ist. Die Prüfung fragt das nicht gesondert ab; klären Sie diese Ausnahme im Einzelfall.

Ist das Ergebnis der Prüfung rechtsverbindlich?

Nein. Die Prüfung liefert eine erste Orientierung auf Basis von Sektor, Größenklasse und KRITIS-Status. Sie fragt die Bilanzsumme nicht ab und nutzt den Umsatz als Näherung. Sonderfälle wie Vertrauensdienste oder Telekommunikationsanbieter wählen Sie im Sektor-Feld eigens aus. Sie ersetzt keine Rechtsberatung; maßgeblich sind die offizielle Betroffenheitsprüfung des BSI bzw. eine rechtliche Prüfung des Einzelfalls.

Ist die Prüfung kostenlos, und werden meine Eingaben gespeichert?

Die Prüfung ist kostenlos und ohne Anmeldung nutzbar. Sie läuft vollständig in Ihrem Browser: Es werden keine Eingaben an einen Server übertragen und keine identifizierenden Daten abgefragt.

Was muss ich tun, wenn die Prüfung „betroffen“ ergibt?

Vier Pflichtenkomplexe: Registrierung beim BSI (§ 33 BSIG; die Frist ist abgelaufen, unverzüglich nachholen), Umsetzung der 10 Mindestmaßnahmen des Risikomanagements (§ 30 BSIG), Meldung erheblicher Sicherheitsvorfälle in drei Stufen (§ 32 BSIG) sowie Billigungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§ 38 BSIG).