NIS2 Quick-Check: 10 Fragen in 30 Minuten

Die folgenden 10 Leitfragen ermöglichen eine erste strukturierte Selbst-Einordnung der voraussichtlichen NIS2-Pflichtenstellung. Wie lange die Beantwortung dauert, hängt vom internen Vorwissen und der Komplexität der Unternehmensstruktur ab. Der Selbst-Check ersetzt keine rechtliche Bewertung, er strukturiert das anschließende Beratungsgespräch.

Welche regulatorischen Vorgaben sind einschlägig?

Die Einordnung in den NIS2-Anwendungsbereich erfolgt nach einer mehrstufigen Prüfung:

• Schwellwert-Prüfung nach Art. 2 Abs. 1 NIS2: Mitarbeitendenzahl und Umsatz/Bilanzsumme nach den Kategorien der Empfehlung 2003/361/EG (nach § 28 BSIG: „wichtige Einrichtung" ab mindestens 50 Mitarbeitenden oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €; „besonders wichtige Einrichtung", in der Richtlinie „wesentliche Einrichtung", ab mindestens 250 Mitarbeitenden oder Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. €).
• Sektor-Prüfung nach Anhängen I und II NIS2: Tätigkeit in einem hochkritischen Sektor (Anhang I) oder kritischen Sektor (Anhang II).

• Sonderregel-Prüfung nach Art. 2 Abs. 2 NIS2: Tätigkeit in einem der dort genannten Bereiche (eIDAS-Vertrauensdienste, DNS-Service-Anbieter, TLD-Registries, öffentliche elektronische Kommunikationsnetze, Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste), diese Pflicht greift unabhängig von der Größe. Managed Security Service Provider (MSSP) gehören nicht dazu; sie stehen in Anhang I und unterliegen der Größenschwelle.
• KRITIS-Prüfung nach BSI-Kritisverordnung: Status als Betreiber einer kritischen Anlage; solche Betreiber gelten nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von der Größe als besonders wichtige Einrichtung und tragen ergänzende Pflichten nach §§ 30, 31 und 39 BSIG.

Welche Konstellation passt zu deinem Unternehmen?

Die folgenden 10 Leitfragen strukturieren die Selbst-Einordnung. Jede Frage ist mit „Ja" oder „Nein" zu beantworten; bei Unsicherheit ist eine vorläufige Antwort plus Nachprüfungs-Notiz sinnvoll.

1. Beschäftigt das Unternehmen 50 oder mehr Mitarbeitende (Vollzeitäquivalente)?

Die Größenschwelle ist Eingangsfilter für die Pflichtenstellung (§ 28 Abs. 2 Nr. 3 BSIG). Sie ist auch ohne 50 Mitarbeitende erreicht, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen; dann ist Frage 1 ebenfalls mit „Ja" zu beantworten. Gerechnet wird nach Empfehlung 2003/361/EG; Daten von Partner- oder verbundenen Unternehmen sind nach § 28 Abs. 4 Satz 2 BSIG allerdings nicht hinzuzurechnen, wenn das Unternehmen mit Blick auf seine informationstechnischen Systeme, Komponenten und Prozesse von ihnen unabhängig ist. Eine Antwort mit „Ja" führt zur Sektor-Prüfung in Frage 2.

2. Ist die Haupttätigkeit einem der Sektoren aus Anhang I oder II NIS2 zuzuordnen?

Anhang I (hochkritisch): Energie, Verkehr, Banken, Finanzmarkt-Infrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsverwaltung, öffentliche Verwaltung, Weltraum. Anhang II (kritisch): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstiger Fahrzeugbau), Anbieter digitaler Dienste, Forschung. Bei „Ja" in Kombination mit Frage 1 ist eine direkte NIS2-Pflicht regelmäßig wahrscheinlich.

3. Wird das Unternehmen als Betreiber kritischer Infrastruktur nach BSI-Kritisverordnung geführt?

Betreiber kritischer Anlagen sind seit dem 6. Dezember 2025 nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von ihrer Größe besonders wichtige Einrichtungen; der frühere § 8a BSIG gilt nicht mehr. Bei „Ja" sind die zusätzlichen Pflichten nach §§ 30, 31 BSIG und die Nachweispflicht nach § 39 BSIG (alle drei Jahre) einschlägig.

4. Bestehen Liefer- oder Dienstleistungsbeziehungen zu Einrichtungen, die voraussichtlich oder bestätigt NIS2-pflichtig sind?

Lieferketten-Sicherheit ist Bestandteil der Mindestmaßnahmen nach Art. 21 Abs. 2 lit. d NIS2. Bei „Ja" ist eine indirekte Betroffenheit über Lieferanten-Anforderungen wahrscheinlich, etwa über Sicherheitsfragebögen oder Vertragsklauseln der Kunden.

5. Ist das Unternehmen als Anbieter von Cloud-Computing-Diensten, Datenzentrums-Diensten oder Content-Delivery-Network-Diensten tätig?

Diese Bereiche fallen unter Anhang I „digitale Infrastruktur", unterliegen aber der allgemeinen Größenschwelle (mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €, § 28 Abs. 2 Nr. 3 BSIG). Kleinere Anbieter sind nur erfasst, wenn sie eine kritische Anlage betreiben. Bei „Ja" ist eine Einzelfall-Prüfung der Anwendungsvoraussetzungen zwingend.

6. Werden im Tagesgeschäft personenbezogene Daten in signifikantem Umfang verarbeitet, insbesondere besondere Kategorien nach Art. 9 DSGVO?

NIS2 und DSGVO überschneiden sich in den Anforderungen an Risikomanagement und Maßnahmen-Dokumentation. Bei „Ja" sind die Anforderungen aus Art. 32 DSGVO regelmäßig parallel relevant und können sektoral verschärft sein.

7. Ist das Unternehmen Bank, Versicherer, Wertpapierdienstleister, Zahlungsdienstleister oder anderer Finanzdienstleister im Sinne der einschlägigen Aufsichtsgesetze?

Im Finanzsektor greift parallel die Verordnung (EU) 2022/2554 (DORA). Bei „Ja" ist die spezifische DORA-Regelung für ICT-Risikomanagement, Incident-Reporting und Drittparteien-Risikomanagement vorrangig zu prüfen.

8. Werden vernetzte Maschinen, Industrieanlagen oder Industriekomponenten hergestellt oder betrieben?

Maschinenbau ist Anhang II NIS2; bei Vernetzungs- und Cybersicherheits-relevanten Funktionen können sektorale Spezifika (z.B. Cyber Resilience Act für Produkte) ergänzend einschlägig sein.

9. Ist das Unternehmen in einem der Sektoren Energie, Wasserwirtschaft, Trinkwasser, Abwasser oder Gesundheit tätig?

Diese Sektoren sind Anhang I (hochkritisch) und unterliegen grundsätzlich der allgemeinen Größenschwelle. Unabhängig davon kann ein Unternehmen als Betreiber einer kritischen Anlage erfasst sein, wenn es die anlagenbezogenen Schwellenwerte der BSI-Kritisverordnung erreicht (z.B. Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr). Bei „Ja" ist eine sektorspezifische Einzelfall-Prüfung zwingend.

10. Ist das Unternehmen grenzüberschreitend in mehreren EU-Mitgliedstaaten tätig?

Bei mehrstaatlicher Tätigkeit ist die Zuständigkeit der Aufsichtsbehörde nach Art. 26 NIS2 zu klären; bei DNS-, Cloud- und TLD-Diensten gilt eine spezifische Niederlassungs-Logik.

Welcher Aufbau-Rahmen ist verbreitet?

Die Auswertung der Antworten folgt einer einfachen, aber nicht abschließenden Logik:

• Drei oder mehr Ja-Antworten (insb. bei Kombination Frage 1/2 oder Frage 3/9): hohe Wahrscheinlichkeit für eine direkte NIS2-Pflicht als „wesentliche" oder „wichtige" Einrichtung. Empfohlene Folge-Aktion: rechtsverbindliches Scope-Assessment durch eine spezialisierte Beratung.
• Ein oder zwei Ja-Antworten (insb. bei Frage 4): voraussichtlich indirekte Betroffenheit über Lieferanten-Anforderungen oder über sektorale Sonderregeln. Empfohlene Folge-Aktion: Sichtung der bestehenden B2B-Vertragsklauseln und Vorbereitung eines verwertbaren Sicherheits-Dossiers.

• Null Ja-Antworten: NIS2-Pflicht voraussichtlich nicht einschlägig; eine Wiederholung des Selbst-Checks bei wesentlichen Veränderungen (Wachstum über 50 MA, Sektor-Ausweitung, neue Großkunden) bleibt sinnvoll.

Sonderregel zur Auswertung: Frage 3 kann einzeln zur Pflichtenstellung führen, unabhängig von der Anzahl weiterer Ja-Antworten, weil Betreiber kritischer Anlagen nach § 28 Abs. 1 Nr. 1 BSIG keinem Größenfilter unterliegen. Dasselbe gilt für Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und Telekommunikationsanbieter (Art. 2 Abs. 2 lit. a NIS2). Bei Frage 5 und Frage 9 kommt es dagegen zusätzlich auf die Größenschwelle aus Frage 1 an.

Eine schriftliche Dokumentation der Antworten, einschließlich der Personen, die mitgewirkt haben, und des Datums, ist Bestandteil einer ordnungsgemäßen Compliance-Vorgeschichte und kann in späteren Aufsichtsverfahren als Nachweis der Befassung dienen.

Welche Konstellationen erfordern abweichendes Vorgehen?

Dieser Selbst-Check ist nicht ausreichend oder nicht das geeignete Instrument, sofern eine der folgenden Konstellationen vorliegt:

• KRITIS-Betreiber oder Unternehmen mit dokumentierter KRITIS-Schwellwert-Nähe: Eine Selbst-Bewertung anhand allgemeiner Leitfragen trägt nicht; die KRITIS-Verordnung enthält spezifische, sektorbezogene Schwellwerte mit eigener Berechnungslogik.
• Konzern- oder Holding-Strukturen mit verbundenen Unternehmen: Die konsolidierte Bewertung nach Empfehlung 2003/361/EG ist komplex und sollte durch eine gesellschaftsrechtliche Beratung begleitet werden.

• Tätigkeit als Vertrauensdiensteanbieter, DNS-Service-Anbieter, TLD-Registry oder Telekommunikationsanbieter: Die sektoralen Sonderregeln nach Art. 2 Abs. 2 NIS2 erfordern eine spezifische Einzelfall-Bewertung.
• Bereits laufende Aufsichts- oder Verwaltungsverfahren im Bereich IT-Sicherheit oder Datenschutz: Eine eigenständige Selbst-Bewertung kann die Verteidigungslinie beeinträchtigen; eine Begleitung durch eine spezialisierte Anwaltskanzlei ist ratsam.
• Anstehende M&A-Transaktion oder Unternehmensnachfolge: Die NIS2-Bewertung ist Bestandteil der Due Diligence und sollte transaktionsbegleitend strukturiert werden.

Nächster Schritt

Für eine systematische Erst-Einordnung, die das Ergebnis dieses Selbst-Checks strukturiert dokumentiert und um sektorale Spezifika ergänzt, steht der NIS2-Scope-Check zur Verfügung. Er ersetzt keine rechtliche Bewertung, liefert aber ein verwertbares Ausgangsdokument für die anschließende Beratung.

Bei drei oder mehr Ja-Antworten, bei Sektor-Sonderregel-Verdacht oder bei Konzern-Strukturen ist eine rechtsverbindliche Scope-Bewertung durch eine auf IT-Sicherheits- und Verwaltungsrecht spezialisierte Beratung dringend angezeigt. Die hier dargestellten Informationen sind redaktionell aufbereitet und ersetzen keine Rechtsberatung im Einzelfall.

Grundsätzlicher Einstieg in den Anwendungsbereich der Richtlinie: Was ist NIS2 und wer muss reagieren?.