NIS2-Checker
Beantworten Sie Fragen zu Tätigkeit, Größe und Sicherheitsorganisation. Das Ergebnis zeigt Prüfbedarf und nächste Themen, ersetzt aber keine rechtliche Scope-Bewertung.
01 / 05
Methode
Der Checker trennt ein erstes Betroffenheitssignal von einer operativen Selbsteinschätzung. Verstehen Sie das Signal als dokumentierte Prüffrage, nicht als verbindliche Entscheidung zu NIS2 oder zum deutschen BSIG.
01
Die erste Stufe verbindet grobe Tätigkeit, Mitarbeitenden- und Umsatzband, EU-Tätigkeit und KRITIS-Angabe. § 28 BSIG verweist dagegen auf genaue Einrichtungsarten in den Anlagen 1 und 2. Die Auswahl eines Sektors ist deshalb nur ein erster Filter.
02
Die zweite Stufe stellt 20 Fragen in neun Arbeitsbereichen, darunter Governance, Vorfallsbehandlung, Notfallvorsorge, Lieferkettensicherheit und Zugriffskontrolle. Sie greifen Themen aus § 30 BSIG auf, sind aber weder vollständiger Maßnahmenkatalog noch Auditprogramm.
03
Jede Antwort erhält 0 Punkte für nicht begonnen, 50 für in Bearbeitung oder 100 für umgesetzt. Das Gesamtergebnis ist der arithmetische Mittelwert. Die Prüfliste zeigt bis zu drei nicht vollständig umgesetzte Maßnahmen mit den niedrigsten Werten; bei Gleichstand gilt die Reihenfolge des Fragebogens und keine höhere Risikobewertung. Das ist eine einfache KaitoSec-Selbsteinschätzung, kein BSI-Score.
Ihr Ergebnis
Das Ergebnis dient der Triage: Annahmen und nächste Prüffragen werden sichtbar, damit die zuständigen Personen sie anhand offizieller Quellen und belastbarer Nachweise verifizieren können.
Der Checker zeigt anhand der eingegebenen Daten eine möglicherweise besonders wichtige Einrichtung, möglicherweise wichtige Einrichtung oder keinen direkten Treffer. Er trifft keine rechtliche Feststellung.
Sie sehen einen Gesamtwert und den Status jeder beantworteten Maßnahme. Das Ergebnis gibt nur Ihre Auswahl wieder; Dokumente, Konfigurationen und Wirksamkeit werden nicht geprüft.
Bis zu drei nicht vollständig umgesetzte Maßnahmen mit den niedrigsten Werten werden zur Prüfung hervorgehoben. Gleiche Werte bleiben in Fragebogen- statt Risikoreihenfolge. Der per E-Mail gesendete Bericht hält die Selbsteinschätzung fest, ist für sich allein aber kein Compliance-Nachweis.
Grenzen
Ein kurzer Fragebogen kann nicht jede Schwelle, Ausnahme und tatsächliche Abhängigkeit im BSIG abbilden. Nutzen Sie diese Lücken als Prüfliste, bevor Sie sich auf das Ergebnis stützen.
Die Sektorauswahl ist breiter als die Einrichtungsarten in den Anlagen 1 und 2. Die allgemeine Auswahl „Verarbeitendes Gewerbe“ bedeutet zum Beispiel nicht, dass jeder Hersteller erfasst ist; entscheidend sind die tatsächlichen Waren oder Dienste.
Der Checker fragt die Bilanzsumme nicht ab. Wo § 28 eine finanzielle Schwelle vorsieht, müssen sowohl die genannte Umsatz- als auch die Bilanzsummengrenze geprüft werden; der Umsatz allein ist nur ein Warnsignal.
Mitarbeitenden- und Finanzdaten können nach Empfehlung 2003/361/EG Daten von Partner- oder verbundenen Unternehmen einschließen. Niederlassung, Hauptniederlassung, angebotene Dienste und größenunabhängige Sonderfälle können Zuständigkeit und Einstufung ebenfalls beeinflussen.
Die Angaben zur Bereitschaft sind Selbstauskünfte und testen keine Wirksamkeit. DORA-, Telekommunikations-, Energie- und andere sektorspezifische Vorschriften oder Ausnahmen können die anwendbaren Pflichten ändern. Maßgeblich sind aktuelles Recht, BSI-Hinweise und qualifizierte Beratung.
Offizielle Quellen dieser Methodik
Quellen geprüft am 3. September 2026
FAQ
Nein. Es ist eine vereinfachte Orientierung allein auf Basis Ihrer Angaben. Eine belastbare Einstufung verlangt die genaue gesetzliche Einrichtungsart, alle relevanten Größen- und Verbunddaten, die Zuständigkeit und anwendbare Sonderregeln. Holen Sie bei wesentlichen Entscheidungen qualifizierten Rechtsrat ein.
Der aktuelle Ablauf ist bewusst als kurzer Erstcheck angelegt. § 28 BSIG verbindet bei den finanziellen Schwellen Umsatz und Bilanzsumme. Da der Checker nur den Umsatz erfasst, muss ein dadurch ausgelöstes Ergebnis anhand beider Werte verifiziert werden.
Nicht begonnen zählt als 0, in Bearbeitung als 50 und umgesetzt als 100. Der Checker mittelt die 20 Antworten und hebt bis zu drei nicht vollständig umgesetzte Maßnahmen mit den niedrigsten Werten hervor. Bei Gleichstand gilt die Reihenfolge des Fragebogens. Das ist eine Prüfhilfe, keine Risikorangfolge, kein offizieller BSI-Reifegrad und kein Wirksamkeitsnachweis.
Das kann der Fall sein. § 28 Absatz 4 BSIG verweist für Mitarbeitenden- und Finanzdaten auf die Empfehlung 2003/361/EG mit Regeln für Partner- und verbundene Unternehmen. Welche Daten zu addieren sind und ob die Unabhängigkeitsregel des BSIG greift, hängt vom Einzelfall ab und wird hier nicht berechnet.
Verifizieren und dokumentieren Sie zuerst Einrichtungsart und Größenberechnung. Bestätigt sich die Einstufung, ordnen Sie Verantwortliche für §§ 30, 32 und 38 zu und prüfen den Ablauf im BSI-Portal. § 33 setzt die Registrierung grundsätzlich spätestens drei Monate nach der erstmaligen oder erneuten Einstufung an.
Nein. Das Ergebnis bedeutet nur, dass diese vereinfachten Eingaben keinen direkten Treffer ergeben haben. Prüfen Sie ausgelassene Sonderkategorien, Verbund- und Zuständigkeitsdaten sowie vertragliche Lieferkettenanforderungen regulierter Kunden.
KaitoSec verbindet Scope-Begründung, Maßnahmen, Verantwortliche und Nachweise mit Ihrem bestehenden ISMS und BCMS.
