NIS2 für KMU: Bin ich betroffen? So prüfen Sie Ihre Betroffenheit

Ob Ihr Unternehmen unter NIS2 fällt, entscheiden vor allem zwei Fragen: Gehört Ihre Tätigkeit zu einem der in den Anlagen 1 und 2 des BSI-Gesetzes (BSIG) genannten Sektoren, und erreichen Sie die Größenschwellen? Viele kleine Betriebe sind danach nicht betroffen, ab 50 Beschäftigten in einem erfassten Sektor kann es aber sein. Dieser Artikel zeigt die Prüfschritte, damit Sie die Einordnung selbst nachvollziehen und dokumentieren können.

Schritt 1: Zugehörigkeit zu einem erfassten Sektor prüfen

Das Gesetz knüpft an die Art der Einrichtung an. Anlage 1 des BSIG nennt Sektoren mit hoher Kritikalität, darunter Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (etwa Cloud- und Rechenzentrumsanbieter oder Managed Service Provider) und Weltraum.

Anlage 2 erfasst weitere Sektoren, unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, chemische Stoffe, Lebensmittel im Großhandel und in der industriellen Produktion, bestimmte Zweige des verarbeitenden Gewerbes (Maschinenbau, elektrische Ausrüstungen, Kraftwagen und Teile, sonstiger Fahrzeugbau, Medizinprodukte, Datenverarbeitungsgeräte), digitale Dienste wie Online-Marktplätze und Suchmaschinen sowie Forschungseinrichtungen.

Ein reiner Handels-, Handwerks- oder Dienstleistungsbetrieb außerhalb dieser Listen fällt nicht unter diese Sektorenlogik. Nach § 28 Abs. 3 BSIG können Geschäftstätigkeiten, die im Verhältnis zur Gesamttätigkeit vernachlässigbar sind, bei der Zuordnung unberücksichtigt bleiben.

Schritt 2: Größenschwellen einordnen

§ 28 BSIG unterscheidet zwei Gruppen. Die Werte für Einrichtungen nach den Anlagen 1 und 2 im Überblick:

Einstufung	Sektor	Größenkriterium
Besonders wichtige Einrichtung	Anlage 1	mindestens 250 Beschäftigte, oder Umsatz über 50 Mio. EUR und Bilanzsumme über 43 Mio. EUR
Wichtige Einrichtung	Anlage 1 oder 2	mindestens 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR

Maßgeblich ist zudem, dass die Einrichtung Waren oder Dienstleistungen entgeltlich anbietet. Für Betreiber kritischer Anlagen, Vertrauensdiensteanbieter und Telekommunikationsanbieter gelten Sonderregeln in § 28. Ein Betrieb mit 30 Beschäftigten und unter 10 Mio. EUR Umsatz liegt in den genannten Fällen unter den Schwellen.

Schritt 3: Konzernverbund und Partnerunternehmen beachten

Die Schwellenwerte werden nach der EU-Empfehlung 2003/361/EG berechnet (§ 28 Abs. 4 BSIG). Gehören Sie zu einem Verbund, können Daten von Partner- oder verbundenen Unternehmen eine Rolle spielen. Sie werden nicht hinzugerechnet, wenn Ihr Unternehmen bei seinen informationstechnischen Systemen eigenständig ist. Hängen Ihre IT-Systeme dagegen am Konzern, sollten Sie die Konzernzahlen mitprüfen.

Schritt 4: Ergebnis dokumentieren und BSI-Tool nutzen

Das BSI bietet unter betroffenheitspruefung-nis-2.bsi.de eine Betroffenheitsprüfung an. Sie liefert nach Angaben des BSI eine erste Orientierung; das Ergebnis ist nicht rechtlich bindend und ersetzt die eigene Prüfung nicht. Eine ähnliche, regelbasierte Einordnung nach § 28 BSIG erhalten Sie mit dem kostenlosen NIS2-Check von CyberShield. Halten Sie Ihre Einordnung schriftlich fest, auch wenn sie negativ ausfällt.

Sind Sie betroffen, müssen Sie sich nach den Angaben des BSI spätestens drei Monate nach der erstmaligen Betroffenheit registrieren, zuerst über "Mein Unternehmenskonto", danach im BSI-Portal.

Folgen einer Betroffenheit für den Versicherungsschutz

NIS2 verlangt Risikomanagementmaßnahmen und Meldungen, es schreibt aber keine Versicherung vor. Eine Cyber-Versicherung ersetzt die Pflichten nicht. Sie kann finanzielle Folgen eines Vorfalls abfedern, sofern die Bedingungen passen. Ob Ihre bestehende Police dazu taugt, zeigt die Cyber-Police-Prüfung. Wie alt Ihre Police ist und ob das ein Risiko darstellt, ordnet die Cyber-Ampel ein. Wenn Sie noch keine Police haben, hilft der Versicherbarkeits-Radar bei der ersten Einschätzung, und der Vergleich zeigt Tarifunterschiede. Begriffe klärt das Glossar. CyberShield ist freier Makler der iSurance Gruppe (§ 34d GewO).

Häufige Fragen

Was kostet die Prüfung meiner Betroffenheit?

Der NIS2-Check von CyberShield ist kostenlos. Die Cyber-Police-Prüfung für eine bestehende Police kostet ab 49 EUR zzgl. USt.

Wie läuft die Prüfung ab?

Sie ordnen Ihre Tätigkeit den Sektoren der Anlagen 1 und 2 zu, vergleichen Beschäftigte, Umsatz und Bilanzsumme mit den Schwellen und berücksichtigen Verbundunternehmen. Das Ergebnis halten Sie schriftlich fest.

Bin ich als Betrieb mit 40 Beschäftigten betroffen?

Nach den Schwellen in § 28 BSIG liegen Sie bei 40 Beschäftigten und höchstens 10 Mio. EUR Umsatz oder Bilanzsumme unter den genannten Werten. Prüfen Sie dennoch Sonderfälle wie kritische Anlagen und den Konzernverbund.

Reicht das Ergebnis des BSI-Tools als Nachweis?

Nein. Das BSI beschreibt das Ergebnis als nicht rechtlich bindend und als erste Orientierung. Dokumentieren Sie Ihre eigene Einordnung.

Bis wann muss ich mich registrieren, wenn ich betroffen bin?

Nach den Angaben des BSI spätestens drei Monate nach der erstmaligen Betroffenheit. Der Weg führt über "Mein Unternehmenskonto" und danach das BSI-Portal.

Allgemeine Information, keine Rechtsberatung.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.