Gilt NIS2 für Ihr Unternehmen?
Beispielangaben Verarbeitendes Gewerbe · 120 Beschäftigte · 30 Mio. € Umsatz · nur Deutschland
Wichtige Einrichtung
Deutschland: „wichtige Einrichtung“ (§ 28 Abs. 2 BSIG).
Was Sie jetzt in der Hand haben: Einstufung, Begründung in Prüfreihenfolge, Pflichten, offene Punkte – als Vermerk für die Akte.
- Unternehmensgröße
- Mittleres Unternehmen — mittel nach Beschäftigtenzahl (≥ 50) (Bilanzsumme über den Umsatz genähert)
- Zugrunde gelegte Zahlen
- 120 Beschäftigte · 30.000.000 € Jahresumsatz (€)
- Maßgebliches Regime
- NIS2 gilt
- Pflichten
- Art. 21 Risikomanagementmaßnahmen Art. 23 Meldepflichten Art. 27 Registrierung Kapitel VII Aufsicht und Durchsetzung
Begründung (stärkster Grund zuerst)
- Mittleres oder großes Unternehmen in einem sonstigen kritischen Sektor (Anhang II). Art. 3(2) NIS2
- Keine Bilanzsumme angegeben; die Grenze mittel/groß wurde über den Umsatz genähert. Bilanzsumme eintragen, um die Näherung zu beseitigen.
- Auch eine Organisation außerhalb von NIS2 kann als Lieferant einer betroffenen Einrichtung vertragliche Sicherheitsanforderungen erhalten (Art. 21 Abs. 2 lit. d); die Lieferanten-Triage zeigt, wie die aussehen.
Deutschland: NIS2UmsuCG / BSIG (in Kraft seit 6. Dezember 2025)
- Wesentliche Einrichtungen heißen „besonders wichtige Einrichtungen“, wichtige Einrichtungen „wichtige Einrichtungen“ (§ 28 BSIG); Betreiber kritischer Anlagen sind eine weitere Kategorie mit eigenen Schwellen (§ 28 Abs. 6, BSI-KritisV).
- Registrierung beim BSI innerhalb von drei Monaten, nachdem man Einrichtung geworden ist (§ 33 BSIG); Kontaktstelle und Erreichbarkeit.
- Risikomanagementmaßnahmen (§ 30 BSIG, entspricht Art. 21), Meldepflichten (§ 32 BSIG, entspricht Art. 23: 24 h / 72 h / 1 Monat), Unterrichtungspflichten gegenüber Kunden (§ 35).
- Die Geschäftsleitung muss die Maßnahmen billigen und überwachen und an Schulungen teilnehmen (§ 38 BSIG, entspricht Art. 20).
Wie das Ergebnis entsteht · Wo menschliches Urteil nötig bleibt · Nationale Umsetzung
Regelwerk: 1.0.1 · 1.0.0 · scope-check-1.0.0
Ihr nächster Arbeitsschritt
Verantwortung, Nachweis und Termin direkt vorbereiten. Nur in dieser geöffneten Seite; vor dem Verlassen als CSV sichern. Eine Selbsteinschätzung ist kein Compliance-Nachweis.
Ergebnis in der Hand – und jetzt?
Legen Sie den Vermerk ab. Wenn Sie ihn mit jemandem durchgehen wollen, der die Regeln geschrieben hat, genügt eine E-Mail. Sie bekommen eine persönliche Antwort – ohne Angebot und ohne Nachfassen.
Ergebnis per E-Mail besprechen