Tool 05 · NIS-2
Fallen Sie darunter?
Was das ist. Eine Vorprüfung nach dem BSI-Gesetz, mit dem Deutschland die NIS-2-Richtlinie seit dem 06.12.2025 umsetzt. Zehn Angaben — Niederlassung, Sektor, Tätigkeit, Größe, Sonderfälle —, daraus die Einstufung als besonders wichtige oder wichtige Einrichtung (§ 28 BSIG) und die Pflichten, die daran hängen. Reine Rechnung, kein Sprachmodell. Die Zuordnung einer Tätigkeit zu einer Einrichtungsart ist im Einzelfall oft strittiger, als eine Auswahlliste es aussehen lässt.
Das Unternehmen hat eine Niederlassung in Deutschland.Für Cloud, Rechenzentren, Plattformen, DNS und ähnliche digitale Dienste zählt stattdessen die Hauptniederlassung in der EU.
Diese Tätigkeit ist für das Unternehmen mehr als eine Randerscheinung.§ 28 Abs. 3 BSIG: Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, bleiben bei der Zuordnung außer Betracht.
Wir betreiben eine kritische Anlage — etwa ein Kraftwerk, Netz, Krankenhaus oder Wasserwerk oberhalb der Schwellenwerte der Kritisverordnung.Betreiber kritischer Anlagen sind unabhängig von ihrer Größe besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG).
Wir sind ein Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554.Für diese Unternehmen gehen die DORA-Pflichten zu Risikomanagement und Meldungen dem BSIG weitgehend vor.
Das Unternehmen gehört zu einer Unternehmensgruppe oder hat Partnerunternehmen.Dann zählen deren Zahlen nach der KMU-Empfehlung 2003/361/EG mit — es sei denn, Ihre IT ist von der Gruppe unabhängig.
Wo Sie stehen — optional, ändert die Einstufung nicht
Wir sind beim BSI registriert.§ 33 BSIG. Die Registrierung ist eine eigene Pflicht — nicht bloß Folge der Einstufung.
Ein Meldeweg für Sicherheitsvorfälle steht und ist erprobt.§ 32 BSIG — 24 Stunden, 72 Stunden, ein Monat. Ein Meldeweg, der erst im Vorfall gesucht wird, ist keiner.
Die Geschäftsleitung ist geschult und billigt die Risikomaßnahmen förmlich.§ 38 BSIG — Billigung, Überwachung und Schulung sind Pflichten der Leitung persönlich, nicht der IT.
Als Nächstes gebraucht: Das Unternehmen hat eine Niederlassung in Deutschland.
Gehört zu: Regulierung & Compliance