NIS-2: Ist mein Unternehmen betroffen? Der 10-Minuten-Selbst-Check

Das NIS-2-Umsetzungsgesetz betrifft deutlich mehr Unternehmen, als viele Geschäftsführer vermuten — auch klassische Mittelständler ohne „kritische Infrastruktur". Dieser Selbst-Check führt Sie in zehn Minuten zur Antwort.

Schritt 1: Größenprüfung

NIS-2 greift grundsätzlich ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz — sofern Ihr Unternehmen in einem der regulierten Sektoren tätig ist. Kleinere Unternehmen können betroffen sein, wenn sie eine besondere Rolle in der Lieferkette einnehmen oder als einziger Anbieter eines Dienstes fungieren.

Schritt 2: Sektorprüfung

Zu den besonders wichtigen und wichtigen Einrichtungen zählen unter anderem: Energie, Transport, Banken und Finanzmarkt, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IT-Dienstleister und Managed Services, öffentliche Verwaltung, Weltraum — sowie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Maschinenbau, Fahrzeugbau, Medizinprodukte, Elektronik), digitale Dienste und Forschung.

Gerade der Punkt „verarbeitendes Gewerbe" holt viele Mittelständler in die Pflicht, die sich nie als KRITIS verstanden haben.

Schritt 3: Lieferketten-Prüfung

Auch wer selbst nicht direkt betroffen ist, bekommt NIS-2 über Kunden zu spüren: Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette managen — und reichen die Anforderungen vertraglich an Zulieferer weiter. Wenn Ihre Großkunden betroffen sind, werden deren Auditoren früher oder später bei Ihnen anklopfen.

Wenn Sie betroffen sind: die Pflichten

Betroffene Unternehmen müssen die zehn Mindestmaßnahmen nach § 30 BSIG umsetzen — darunter Risikomanagement, Vorfallbehandlung, Backup- und Krisenmanagement, Lieferkettensicherheit, Verschlüsselung, Zugriffskontrolle und Schulungen. Dazu kommen die Registrierung beim BSI, Meldepflichten bei erheblichen Vorfällen (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats) und die Schulungspflicht für die Geschäftsleitung.

Die Haftungsfrage

§ 38 BSIG macht die Geschäftsleitung persönlich verantwortlich für die Umsetzung. Bußgelder reichen je nach Einstufung bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Ein formal bestellter, qualifizierter ISB ist der zentrale dokumentierte Sorgfaltsnachweis.

Ihr Ergebnis

Zwei oder mehr Schritte treffen zu? Dann sollten Sie Ihre Betroffenheit verbindlich klären lassen — die Registrierungspflicht läuft, und „wir prüfen das noch" ist gegenüber dem BSI kein Argument. Im kostenfreien Erstgespräch nehmen wir die Einstufung gemeinsam vor.

Diesen Selbst-Check als PDF herunterladen — drei Seiten zum Ausfüllen, mit den zehn Mindestmaßnahmen als Arbeitsliste. Ohne Registrierung.