NIS2-Betroffenheits-Check: in 10 Minuten wissen, ob Sie drin sind

NIS2 betrifft in Deutschland rund 30.000 Unternehmen — und erfahrungsgemäß weiß das ein guter Teil davon noch nicht. Der Grund ist selten Ignoranz. Die Frage „Sind wir betroffen?" klingt nach einem Anwaltstermin, ist aber in Wahrheit eine Kombination aus zwei Angaben: Ihrem Sektor und Ihrer Größe. Beides können Sie in zehn Minuten klären.

Warum der Check an erster Stelle steht

Alles Weitere hängt an dieser einen Antwort. Wer betroffen ist, muss sich registrieren, Risiken analysieren, Maßnahmen dokumentieren und Sicherheitsvorfälle melden können. Wer nicht betroffen ist, darf aufatmen — sollte das Ergebnis aber festhalten und die Schwellen im Blick behalten.

Ohne dokumentierten Check fehlt Ihnen in beiden Fällen die Grundlage: Betroffene merken die Pflicht oft erst, wenn ein Vorfall oder eine Behördenanfrage kommt. Nicht-Betroffene können später nicht belegen, dass sie sich ernsthaft mit der Frage auseinandergesetzt haben. Der Check ist also kein Formalismus, sondern der erste Baustein Ihrer Nachweiskette.

Die gute Nachricht: Der Aufwand hält sich in Grenzen. Sektor und Größe liegen in jedem Unternehmen griffbereit — in der Buchhaltung, im HR-System oder im letzten Jahresabschluss. Wer den Check einmal sauber dokumentiert hat, muss ihn später nur noch auffrischen, wenn sich an Größe oder Tätigkeit etwas ändert.

Schritt 1: Ihr Sektor — Anhang 1 oder Anhang 2?

Das Gesetz listet 18 Sektoren in zwei Anhängen. Anhang 1 nennt die hochkritischen Bereiche, Anhang 2 weitere wichtige. Die Zuordnung entscheidet später darüber, ob Sie als „wesentliche" oder „wichtige" Einrichtung gelten — mit unterschiedlich scharfer Aufsicht.

Nehmen Sie sich für die Zuordnung einen Moment Zeit. Entscheidend ist das, was Ihr Unternehmen tatsächlich tut, nicht die Bezeichnung im Handelsregister. Ein Hersteller, der zusätzlich einen Paketdienst für eigene Waren betreibt, ordnet in der Regel die Haupttätigkeit zu. Im Zweifel dokumentieren Sie Ihre Annahme — das ist später Gold wert.

Schritt 2: Ihre Größe — die beiden Schwellen

Steht Ihr Sektor in einem der Anhänge, greifen die Größenkriterien: Ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz sind Sie im Scope. Beachten Sie das „oder": Eine einzige erreichte Schwelle genügt. Ein Dienstleister im Gesundheitsbereich mit 30 Mitarbeitern, aber 12 Mio. € Umsatz fällt also genauso darunter wie ein Produzent mit 80 Mitarbeitern und 8 Mio. € Umsatz.

Zählen Sie mit aktuellen Zahlen, nicht mit dem Gefühl aus dem Vorjahr. Gerade wachsende Unternehmen überspringen die Schwelle, ohne es zu merken — und genau die trifft die Pflicht dann unvorbereitet.

Die vier möglichen Ergebnisse

Aus Sektor und Größe ergibt sich einer von vier Status:

• Wesentliche Einrichtung: Anhang-1-Sektor und Schwelle erreicht. Volle NIS2-Pflichten — Registrierung beim BSI, Aufsicht und die persönliche Verantwortung der Geschäftsführung.
• Wichtige Einrichtung: Anhang-2-Sektor und Schwelle erreicht. Ebenfalls NIS2-Pflichten, dazu das sogenannte Fehlerkultur-Regime und die Verantwortung der Geschäftsführung.
• Prüffall: Kritischer Bereich, aber unter den Schwellen. In besonders kritischen Teilbereichen kann NIS2 auch kleinere Firmen erfassen — hier lohnt der zweite Blick.
• Nicht betroffen: Weder Sektor noch Schwelle passen. Halten Sie das Ergebnis schriftlich fest und prüfen Sie die Schwellen jährlich neu — Wachstum kann den Status ändern.

Prüffälle: wenn es unter den Schwellen trotzdem greift

Zwei Konstellationen unterschätzen viele. Erstens die Sonderregeln: In besonders kritischen Teilbereichen kann das Gesetz auch Unternehmen unter 50 Mitarbeitern und 10 Mio. € Umsatz treffen. Wer in einem Anhang-1-Sektor arbeitet, sollte die Schwelle nicht als automatischen Freifahrtschein lesen, sondern die Einordnung mit der Fachabteilung dokumentieren.

Zweitens der indirekte Druck: Kunden aus kritischen Sektoren fragen NIS2-Nachweise zunehmend auch bei kleinen Lieferanten an. Sie sind dann formell nicht betroffen, müssen aber faktisch ähnliche Grundlagen vorweisen, wenn Sie im Geschäft bleiben wollen. Viele mittelständische Zulieferer spüren NIS2 zuerst über diesen Weg — als Fragebogen eines Großkunden.

Praxisbeispiel: Maschinenbauer, 85 Mitarbeiter

Ein Maschinenbauunternehmen mit 85 Mitarbeitern und 12 Mio. € Jahresumsatz macht den Check. Sektor: Produktion — Anhang 2. Größe: beide Schwellen überschritten. Ergebnis: wichtige Einrichtung. Damit ist klar, was auf dem Tisch liegt, und das Unternehmen geht die ersten Punkte in dieser Reihenfolge an:

• Innerhalb von 30 Tagen: Verantwortung für Informationssicherheit in der Geschäftsführung festlegen und dokumentieren.
• Innerhalb von 90 Tagen: Risikoanalyse und Maßnahmenkatalog nach § 30 des Umsetzungsgesetzes dokumentieren.
• Innerhalb von 90 Tagen: Prozess für Sicherheitsvorfälle und die Meldewege definieren.
• Jährlich: Schulung der Unternehmensleitung nachweisen.

Der Clou: Kein einziger dieser Punkte verlangt ein Großprojekt. Sie verlangen Entscheidungen, schriftlich festgehaltene Prozesse und einen Termin im Kalender — eher Ordnung als Technik.

Ihre nächsten Schritte nach dem Check

• Sektor eindeutig einem Anhang zuordnen — und kurz begründen, warum
• Mitarbeiterzahl und Jahresumsatz mit aktuellen Zahlen ermitteln
• Ergebnis mit Datum und Annahmen schriftlich festhalten
• Bei „betroffen": Verantwortung in der Geschäftsführung festlegen
• Bei „nicht betroffen": jährliche Erinnerung für den Re-Check setzen
• Bei „Prüffall": Teilbereich und mögliche Sonderregel dokumentiert prüfen

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall — wenden Sie sich dafür an fachkundige Beratung.