NIS2-Betroffenheits-Check: in 10 Minuten wissen, ob Sie drin sind

NIS2 betrifft in Deutschland rund 30.000 Unternehmen – und erfahrungsgemäß weiß das ein guter Teil davon noch nicht. Der Grund ist selten Ignoranz. Die Frage „Sind wir betroffen?“ klingt nach einem Anwaltstermin, ist aber in Wahrheit eine Kombination aus zwei Angaben: Ihrem Sektor und Ihrer Größe. Beides können Sie in zehn Minuten klären.

Warum der Check an erster Stelle steht

Alles Weitere hängt an dieser einen Antwort. Wer betroffen ist, muss sich registrieren, Risiken analysieren, Maßnahmen dokumentieren und Sicherheitsvorfälle melden können. Wer nicht betroffen ist, darf aufatmen. Er sollte das Ergebnis aber festhalten und die Schwellen im Blick behalten.

Ohne dokumentierten Check fehlt Ihnen in beiden Fällen die Grundlage: Betroffene merken die Pflicht oft erst, wenn ein Vorfall oder eine Behördenanfrage kommt. Nicht-Betroffene können später nicht belegen, dass sie sich ernsthaft mit der Frage auseinandergesetzt haben. Der Check ist also kein Formalismus, sondern der erste Baustein Ihrer Nachweiskette.

Die gute Nachricht: Der Aufwand hält sich in Grenzen. Sektor und Größe liegen in jedem Unternehmen griffbereit: in der Buchhaltung, im HR-System oder im letzten Jahresabschluss. Wer den Check einmal sauber dokumentiert hat, muss ihn später nur noch auffrischen, wenn sich an Größe oder Tätigkeit etwas ändert.

Schritt 1: Ihr Sektor, Anhang 1 oder Anhang 2?

Das Gesetz listet 18 Sektoren in zwei Anhängen. Anhang 1 nennt die hochkritischen Bereiche, Anhang 2 weitere wichtige. Die Zuordnung entscheidet zusammen mit der Größe darüber, ob Sie als „besonders wichtige“ oder „wichtige“ Einrichtung gelten. Daran hängt, wie scharf die Aufsicht ausfällt. Den Begriff „wesentliche Einrichtung“ kennt das BSIG nicht; er stammt aus der Richtlinie.

Nehmen Sie sich für die Zuordnung einen Moment Zeit. Entscheidend ist das, was Ihr Unternehmen tatsächlich tut, nicht die Bezeichnung im Handelsregister. Ein Hersteller, der zusätzlich einen Paketdienst für eigene Waren betreibt, ordnet in der Regel die Haupttätigkeit zu. Im Zweifel dokumentieren Sie Ihre Annahme. Das ist später Gold wert.

Schritt 2: Ihre Größe und die beiden Schwellen

Steht Ihr Sektor in einem der Anhänge, greifen die Größenkriterien des § 28 Abs. 2 Nr. 3 BSIG: wichtige Einrichtung ist, wer mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. € aufweist. Beachten Sie, wo das „oder“ steht: zwischen Mitarbeiterzahl und Finanzweg. Innerhalb des Finanzwegs zählen beide Zahlen zusammen. Ein Produzent mit 80 Mitarbeitern und 8 Mio. € Umsatz ist über die Mitarbeiterzahl drin. Ein Dienstleister im Gesundheitsbereich mit 30 Mitarbeitern und 12 Mio. € Umsatz dagegen nur dann, wenn auch seine Jahresbilanzsumme über 10 Mio. € liegt; ohne diese Zahl bleibt die Einstufung offen.

Zählen Sie mit aktuellen Zahlen, nicht mit dem Gefühl aus dem Vorjahr. Gerade wachsende Unternehmen überspringen die Schwelle, ohne es zu merken, und genau die trifft die Pflicht dann unvorbereitet.

Die vier möglichen Ergebnisse

Aus Sektor und Größe ergibt sich einer von vier Status:

• Besonders wichtige Einrichtung: Anhang-1-Sektor und die große Schwelle erreicht, also mindestens 250 Mitarbeiter oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme (§ 28 Abs. 1 Nr. 4 BSIG). Volle NIS2-Pflichten: Registrierung beim BSI, Aufsicht und die persönliche Verantwortung der Geschäftsführung.
• Wichtige Einrichtung: Sektor nach Anhang 1 oder 2 und die kleinere Schwelle erreicht (§ 28 Abs. 2 Nr. 3 BSIG). Ebenfalls NIS2-Pflichten, dazu das sogenannte Fehlerkultur-Regime und die Verantwortung der Geschäftsführung.
• Prüffall: Kritischer Bereich, aber unter den Schwellen – oder der Umsatz liegt über der Schwelle und die Jahresbilanzsumme ist nicht erhoben. In besonders kritischen Teilbereichen kann NIS2 auch kleinere Firmen erfassen. Hier lohnt der zweite Blick.
• Nicht betroffen: Weder Sektor noch Schwelle passen. Halten Sie das Ergebnis schriftlich fest und prüfen Sie die Schwellen jährlich neu. Wachstum kann den Status ändern.

Prüffälle: wenn es unter den Schwellen trotzdem greift

Zwei Konstellationen unterschätzen viele. Erstens die Sonderregeln: In besonders kritischen Teilbereichen kann das Gesetz auch Unternehmen unterhalb der Schwellen des § 28 Abs. 2 Nr. 3 BSIG treffen. Wer in einem Anhang-1-Sektor arbeitet, sollte die Schwelle nicht als automatischen Freifahrtschein lesen, sondern die Einordnung mit der Fachabteilung dokumentieren.

Zweitens der indirekte Druck: Kunden aus kritischen Sektoren fragen NIS2-Nachweise zunehmend auch bei kleinen Lieferanten an. Sie sind dann formell nicht betroffen, müssen aber faktisch ähnliche Grundlagen vorweisen, wenn Sie im Geschäft bleiben wollen. Viele mittelständische Zulieferer spüren NIS2 zuerst über diesen Weg: als Fragebogen eines Großkunden.

Praxisbeispiel: Maschinenbauer, 85 Mitarbeiter

Ein Maschinenbauunternehmen mit 85 Mitarbeitern und 12 Mio. € Jahresumsatz macht den Check. Sektor: Produktion, also Anhang 2. Größe: 85 Mitarbeiter, also mindestens 50 – damit ist die Mitarbeiterschwelle des § 28 Abs. 2 Nr. 3 BSIG erreicht und auf die Jahresbilanzsumme kommt es nicht mehr an. Ergebnis: wichtige Einrichtung. Damit ist klar, was auf dem Tisch liegt, und das Unternehmen geht die ersten Punkte in dieser Reihenfolge an:

• Innerhalb von 30 Tagen: Verantwortung für Informationssicherheit in der Geschäftsführung festlegen und dokumentieren.
• Innerhalb von 90 Tagen: Risikoanalyse und Maßnahmenkatalog nach § 30 BSIG dokumentieren.
• Innerhalb von 90 Tagen: Prozess für Sicherheitsvorfälle und die Meldewege definieren.
• Regelmäßig: Schulung der Unternehmensleitung nachweisen. § 38 Abs. 3 BSIG nennt kein Intervall.

Der Clou: Kein einziger dieser Punkte verlangt ein Großprojekt. Sie verlangen Entscheidungen, schriftlich festgehaltene Prozesse und einen Termin im Kalender. Das ist eher Ordnung als Technik.

Ihre nächsten Schritte nach dem Check

• Sektor eindeutig einem Anhang zuordnen und kurz begründen, warum
• Mitarbeiterzahl und Jahresumsatz mit aktuellen Zahlen ermitteln
• Ergebnis mit Datum und Annahmen schriftlich festhalten
• Bei „betroffen“: Verantwortung in der Geschäftsführung festlegen
• Bei „nicht betroffen“: jährliche Erinnerung für den Re-Check setzen
• Bei „Prüffall“: Teilbereich und mögliche Sonderregel dokumentiert prüfen

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall. Wenden Sie sich dafür an fachkundige Beratung.