工具 05 · NIS-2
您是否在适用范围内？
这是什么。依据 BSI 法（BSI-Gesetz）进行的预先审查；德国自 06.12.2025 起通过该法转化 NIS-2 指令。十项信息——营业所、行业、业务活动、规模、特殊情形——据此得出属于特别重要实体还是重要实体（§ 28 BSIG），以及与之相关的义务。纯粹的计算，不使用语言模型。在个案中，某项业务活动应归入哪一类实体，往往比选择列表所显示的更具争议。
该企业在德国设有营业所。对于云、数据中心、平台、DNS 及类似数字服务，则以其在欧盟的主要营业所为准。
该业务活动对企业而言不只是附带业务。§ 28 Abs. 3 BSIG：相对于全部业务而言可忽略不计的业务活动，在归类时不予考虑。
我们运营一项关键设施——例如超过《关键基础设施条例》（Kritisverordnung）门槛值的发电厂、电网、医院或水厂。关键设施的运营者无论规模大小，均为特别重要实体（§ 28 Abs. 1 Nr. 1 BSIG）。
我们是 DORA 条例（EU）2022/2554 意义上的金融企业。对于此类企业，DORA 关于风险管理和报告的义务在很大程度上优先于 BSIG 适用。
该企业隶属于某一企业集团，或拥有伙伴企业。此时，依中小企业建议 2003/361/EG，须将其数据一并计入——除非贵公司的 IT 独立于集团。
您的现状——可选，不影响分类
我们已在 BSI 注册。§ 33 BSIG。注册是一项独立义务——而不仅仅是分类的结果。
已建立并演练过安全事件报告流程。§ 32 BSIG——24 小时、72 小时、一个月。等到事件发生时才去寻找的报告流程，等于没有。
管理层已接受培训，并正式批准风险措施。§ 38 BSIG——批准、监督和培训是管理层本人的义务，而非 IT 部门的义务。
下一步需要：该企业在德国设有营业所。
所属: 监管与合规