NIS-2-Betroffenheitsprüfung: Schnellcheck für Unternehmen
Die NIS-2-Betroffenheitsprüfung bringt Ordnung in die wichtigste Frage vor jeder Umsetzung: Gilt NIS-2 überhaupt für dein Unternehmen, und wenn ja, als wichtige Einrichtung (wE) oder besonders wichtige Einrichtung (bwE)? Grundlage sind BSIG, Sektoren (Anlagen) und Schwellenwerte wie Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme.
- Du reduzirst Fehlaufwand: keine Maßnahmen „ins Blaue“.
- Du schaffst Klarheit für Pflichten wie Registrierung beim BSI und Vorfallmeldungen.
- Du bekommst einen wiederholbaren Ablauf inkl. Quiz und Print-Checkliste.
- Du kannst externe Beratung gezielt dort einsetzen, wo Unklarheit bleibt.
Offizielle Orientierung liefert das Bundesamt für Sicherheit in der Informationstechnik (BSI) über seine NIS-2-Informationen und Tools.
Du sorgst dafür, dass M365 läuft. Wir sorgen dafür, dass niemand unbemerkt eindringt, heimlich mitliest und Schaden anrichtet.
Definition
Die NIS-2-Betroffenheitsprüfung ist eine strukturierte Prüfung, ob eine Organisation nach NIS-2 und nationaler Umsetzung im Rahmen des BSI-Gesetzes (BSIG) als wichtige Einrichtung (wE) oder besonders wichtige Einrichtung (bwE) einzuordnen ist. Sie ist keine technische Security-Bestandsaufnahme und keine Rechtsberatung, sondern dient der belastbaren Ersteinordnung von Betroffenheit und Pflichten.
Einleitung
Wenn du sofort mit Maßnahmen startest, ohne Betroffenheit zu klären, verbrennst du Zeit und Budget. Die NIS-2-Betroffenheitsprüfung hilft dir, schnell zu entscheiden, ob du NIS betroffen bist, welche Rolle (wE/bwE/KRITIS) realistisch ist und welche Nachweise du überhaupt brauchst. Danach kannst du Umsetzung und Betrieb so planen, dass Aufwand messbar bleibt.
Wer typischerweise betroffen ist (und wer nicht)
Betroffenheit entsteht meist aus der Kombination von Sektor (Anlage 1 und Anlage 2 des BSIG), Unternehmensgröße nach Schwellenwerten und einer besonderen Rolle (z. B. bestimmte digitale Dienste). Zusätzlich gibt es KRITIS / KRITIS-Betreiber, bei denen die Einordnung über kritische Infrastrukturen und spezifische Kriterien läuft.
- Typisches Betroffenheitsmuster: Sektor passt + Größe erreicht (z. B. ab 50 Mitarbeitenden und 10 Mio. € Jahresumsatz oder 10 Mio. € Jahresbilanzsumme; oder ab 250 Mitarbeitenden und 50 Mio. € Umsatz bzw. 43 Mio. € Bilanzsumme).
- Typisches „nicht betroffen“: Branche/Sektor passt nicht und keine Sonderrolle als Anbieter/Dienstleister im Sinne der NIS-2-Kategorien.
- Typischer Stolperstein: Konzern-/Gruppenbetrachtung (EU-KMU-Definition), wodurch Schwellenwerte über Verbundunternehmen gerissen werden.
NIS-2-Betroffenheitsprüfung: Schnellcheck (Quiz)
Nutze die folgenden Fragen als internen Fragebogen. Wenn du zwei oder mehr Punkte mit „Ja“ beantwortest, lohnt sich fast immer die vertiefte Prüfung mit Dokumentation.
- Fällt die Organisation in einen in den BSIG-Anlagen genannten Sektor (z. B. Transport, digitale Dienstleistungen, bestimmte Infrastrukturen oder Einrichtungen)?
- Werden Schwellenwerte erreicht (Mitarbeitende, Jahresumsatz in Mio. €, Jahresbilanzsumme/Bilanzsumme)?
- Gibt es eine Sonderrolle, z. B. DNS-Diensteanbieter, Top Level Domain Name Registry oder qualifizierter Vertrauensdiensteanbieter?
Ergebnislogik für die Praxis: „Unklar“ ist ein Ergebnis. Es bedeutet nicht „nicht betroffen“, sondern „Datenlage/Einordnung verbessern“.
Schritt-für-Schritt-Ablauf inkl. Checkliste
Ein Ablauf funktioniert nur, wenn er wiederholbar ist und die Entscheidungsgrundlage dokumentiert. So gehst du pragmatisch vor:
- Schritt 1: Scope festlegen (juristische Einheit, Konzernklausel prüfen) und Sektorzuordnung anhand BSIG-Anlagen vornehmen.
- Schritt 2: Größenprüfung durchführen (EU-KMU-Definition, Schwellenwerte, Jahresumsatz/Jahresbilanzsumme) und Ergebnis schriftlich festhalten.
- Schritt 3: Rollen & Pflichten ableiten (wE/bwE/KRITIS, Registrierung beim BSI, Meldepflichten/Vorfallmeldungen, Risikomanagement, Lieferkettenprüfungen).
Print-/Download-Checkliste (für PDF/Entscheidungsbaum): Rechtsform/Einheit, Sektor, Mitarbeitende, Jahresumsatz (Mio. €), Jahresbilanzsumme, Sonderrolle, Ergebnis (wE/bwE/KRITIS/unklar), nächste Pflichten, Verantwortliche, Datum der Prüfung.
Praxisbeispiel zur Einordnung (Mini-Story)
Ein Unternehmen aus dem verarbeitenden Gewerbe liefert Teile an mehrere Betreiber kritischer Infrastrukturen und betreibt zentrale digitale Dienste für die Lieferkette. In der ersten Sicht wirkt es „nur Produktion“, doch in der Betroffenheitsprüfung klärt sich: Sektorbezug, Größe und Dienstleister-Rolle müssen sauber geprüft werden. Das Ergebnis war nicht sofort „betroffen“, aber „unklar“ mit klaren To-dos: Daten konsolidieren, Registrierungspflichten prüfen, Meldewege definieren.
Offizielle Ressourcen und externe Optionen
Für die offizielle Orientierung ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die erste Anlaufstelle, inklusive Informationen zu NIS, NIS-2, Betroffenheit, BSI-Portal/Checks und Hinweisen zur Registrierung beim BSI. Wenn du nach dem Schnellcheck keine eindeutige Einstufung bekommst, sind externe Optionen sinnvoll: juristische Einordnung (BSIG/NIS-2) und operative Umsetzung (Risikomanagement, Incident Management, Nachweisführung).
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung lohnt sich, wenn mindestens einer dieser Punkte zutrifft:
- Die Einstufung bleibt „unklar“ (Sektorenabgrenzung, Konzern-/KMU-Logik, Sonderrollen als Anbieter/Dienstleister).
- Du musst Pflichten in Prozesse übersetzen (Registrierung, Vorfallmeldungen, Risikomanagement, Lieferkettensicherheit) und willst das revisionsfest dokumentieren.
- Du willst messbaren Nutzen statt Papier: weniger Sicherheitsvorfälle, schnellere Reaktion und weniger interner Abstimmungsaufwand durch klare Zuständigkeiten und Reporting.
Wichtig: Betroffenheitsprüfung und Compliance sind die eine Seite. Die andere ist der laufende Betrieb der Security-Maßnahmen, damit Nachweise und Reaktion im Ereignisfall nicht nur „auf dem Papier“ existieren.
Fazit
Die NIS-2-Betroffenheitsprüfung ist der schnellste Weg zu einer belastbaren Einordnung, ob du NIS betroffen bist und welche Pflichten realistisch folgen. Mit einem kurzen Quiz, einem dokumentierten Schritt-für-Schritt-Ablauf und einer Print-Checkliste vermeidest du Fehlaufwand und kannst externe Beratung gezielt einsetzen. Danach zählt vor allem, dass Risikomanagement, Vorfallmeldungen und Nachweise im Alltag funktionieren und nicht erst im Audit.
Häufige Fragen
Ist die NIS-2-Betroffenheitsprüfung rechtlich bindend?
Nein. Sie ist eine strukturierte Ersteinordnung anhand von NIS-2/BSIG-Kriterien (Sektor, Rolle, Schwellenwerte) und ersetzt keine juristische Einzelfallbewertung.
Welche Zahlen brauche ich für die Größenprüfung?
Typisch sind Mitarbeitendenzahl sowie Jahresumsatz und Jahresbilanzsumme (je nach Schwellenwerten, u. a. in Mio. €). Wichtig ist außerdem die EU-KMU-Logik inklusive Verbundunternehmen.
Was folgt nach „betroffen“?
Dann werden Pflichten abgeleitet: u. a. Registrierung beim BSI, Meldepflichten/Vorfallmeldungen, Risikomanagement und Anforderungen an Lieferkettensicherheit. Dafür brauchst du klare Verantwortliche und Dokumentation.
Wie messe ich, ob sich der Aufwand lohnt?
Messbar wird es über wenige Kennzahlen: Zeit bis zur Erkennung und Reaktion, Zahl und Schwere von Sicherheitsvorfällen, Audit-Aufwand sowie Wiederholbarkeit der Nachweise. Ziel ist weniger ungeplante Störungen und weniger „Feuerwehr-Einsätze“.
