Betroffenheitsprüfung

Bevor Sie eine einzige Maßnahme umsetzen, muss eine Frage beantwortet sein: Fallen Sie überhaupt unter NIS2 — und in welcher Kategorie? Ohne diese Antwort planen Sie ins Blaue, und ohne dokumentierte Antwort fehlt Ihnen bei der BSI-Registrierung eine Pflichtangabe.

Was die Prüfung beantwortet

Die Betroffenheitsprüfung führt durch drei Fragen, die zusammen die Einstufung ergeben:

1. Sektorzugehörigkeit — fällt Ihre Haupttätigkeit in einen der 18 NIS2-Sektoren nach Anlage 1 oder Anlage 2 des NIS2UmsuCG?
2. Größenschwellen — erreichen Sie 50 Mitarbeiter oder 10 Mio. Euro Umsatz und 10 Mio. Euro Bilanzsumme? Und liegen Sie über der höheren Schwelle von 250 Mitarbeitern oder 50 Mio. Euro Umsatz?
3. Sonderregeln — greift eine der größenunabhängigen Regelungen, etwa für DNS-Dienste, TLD-Namenregister oder qualifizierte Vertrauensdiensteanbieter?

Das Ergebnis ist keine Ja-Nein-Antwort, sondern eine Einstufung: nicht betroffen, wichtige Einrichtung oder besonders wichtige Einrichtung. Davon hängen Aufsichtsregime und Bußgeldrahmen ab.

Warum die Selbsteinschätzung oft scheitert

Drei Fehler tauchen immer wieder auf:

• Anlage mit Kategorie verwechselt. Ein Anlage-1-Sektor macht Sie nicht automatisch zur besonders wichtigen Einrichtung — dafür müssen Sie zusätzlich die höhere Größenschwelle erreichen.
• Konzernstruktur ignoriert. Bei der Größenbestimmung zählen Partner- und verbundene Unternehmen mit. Eine 30-Personen-Tochter im 4.000-Personen-Konzern ist in aller Regel betroffen.
• Nebentätigkeit übersehen. Maßgeblich ist die tatsächliche Tätigkeit, nicht der Eintrag im Handelsregister. Wer neben dem Kerngeschäft Managed Services für Dritte betreibt, kann über Sektor 9 erfasst sein.

Was NIS2coPilot dabei tut

Der Betroffenheitscheck fragt Sektor, Größe und Tätigkeitsfelder strukturiert ab und leitet daraus die wahrscheinliche Einstufung ab. Sie erhalten das Ergebnis als Dokument, das Sie intern verwenden und bei der BSI-Registrierung heranziehen können. Der Check ist kostenlos und benötigt keine Anmeldung.

Was er nicht leistet

Die Prüfung ist eine strukturierte Selbsteinschätzung, keine Rechtsberatung. Bei Grenzfällen — Mischbetrieben, komplexen Konzernstrukturen oder der Abgrenzung zu sektorspezifischen Regimen wie DORA — sollten Sie die Einstufung anwaltlich absichern. Der Check liefert dafür die Vorarbeit und verkürzt das Mandat erheblich.

Der Ablauf im Detail

Schritt 1: Haupttätigkeit bestimmen. Maßgeblich ist, was Sie tatsächlich tun, nicht der Gegenstand im Handelsregister. Bei Mischbetrieben zählt die Tätigkeit, die den überwiegenden Teil der Wertschöpfung ausmacht — und zusätzlich jede Nebentätigkeit, die für sich einen Sektor erfüllt.

Schritt 2: Sektor zuordnen. Prüfen Sie beide Anlagen. Anlage 1 umfasst elf Sektoren hoher Kritikalität, Anlage 2 sieben weitere. Ein Unternehmen kann mehrere Sektoren gleichzeitig erfüllen — bei Stadtwerken ist das der Normalfall.

Schritt 3: Größe ermitteln. Beschäftigte, Jahresumsatz und Bilanzsumme, jeweils unter Einbeziehung von Partner- und verbundenen Unternehmen. Bei Konzernstrukturen ist das der Punkt, an dem Selbsteinschätzungen am häufigsten kippen.

Schritt 4: Sonderregeln prüfen. DNS-Diensteanbieter, TLD-Namenregister, qualifizierte Vertrauensdiensteanbieter und Anbieter öffentlicher Telekommunikationsnetze sind unabhängig von der Größe betroffen.

Schritt 5: Einstufung ableiten und dokumentieren. Aus Anlage und Größe ergibt sich die Kategorie. Halten Sie Ergebnis, Datum, Datengrundlage und die verantwortliche Person fest.

Warum die Dokumentation wichtiger ist als das Ergebnis

Auch ein Ergebnis "nicht betroffen" gehört schriftlich festgehalten. Zwei Gründe: Die Einstufung ist Pflichtangabe bei der BSI-Registrierung, sobald Sie betroffen sind. Und wenn eine Aufsichtsbehörde später anderer Auffassung ist, macht es einen Unterschied, ob Sie eine dokumentierte Prüfung mit nachvollziehbarer Begründung vorlegen können oder gar nichts.

Die Prüfung sollte außerdem wiederholt werden, wenn sich etwas Wesentliches ändert: Überschreiten der Schwellenwerte durch Wachstum, Zukauf eines Unternehmens, Aufnahme einer neuen Tätigkeit oder Konzernumbau.

Häufige Fragen

Wir liegen knapp unter 50 Beschäftigten. Was zählt genau?

Maßgeblich sind Jahresarbeitseinheiten, also Vollzeitäquivalente über das Geschäftsjahr, einschließlich anteilig gezählter Teilzeitkräfte. Verbundene Unternehmen zählen vollständig, Partnerunternehmen anteilig mit.

Zählt eine ausländische Muttergesellschaft mit?

Für die Größenbestimmung ja. Für die Frage, welche Behörde zuständig ist, kommt es auf die Niederlassung an: Unternehmen mit Sitz oder Hauptniederlassung in Deutschland unterliegen dem NIS2UmsuCG und der Aufsicht des BSI.

Müssen wir die Prüfung jährlich wiederholen?

Es gibt keine gesetzliche Frist. Sinnvoll ist eine Überprüfung mit dem Jahresabschluss und immer dann, wenn sich Größe, Struktur oder Tätigkeit wesentlich ändern.