NIS2-Checker

Ist Ihre Organisation von NIS2 betroffen?

Beantworten Sie Fragen zu Tätigkeit, Größe und Sicherheitsorganisation. Das Ergebnis zeigt Prüfbedarf und nächste Themen, ersetzt aber keine rechtliche Scope-Bewertung.

01 / 05

In welchem Sektor ist Ihre Organisation tätig?

Was der Checker prüft und was er nicht entscheiden kann

Der Checker trennt ein erstes Betroffenheitssignal von einer operativen Selbsteinschätzung. Verstehen Sie das Signal als dokumentierte Prüffrage, nicht als verbindliche Entscheidung zu NIS2 oder zum deutschen BSIG.

01
Mit der rechtlichen Schwelle beginnen
Die erste Stufe verbindet grobe Tätigkeit, Mitarbeitenden- und Umsatzband, EU-Tätigkeit und KRITIS-Angabe. § 28 BSIG verweist dagegen auf genaue Einrichtungsarten in den Anlagen 1 und 2. Die Auswahl eines Sektors ist deshalb nur ein erster Filter.
02
Operative Bereitschaft stichprobenartig prüfen
Die zweite Stufe stellt 20 Fragen in neun Arbeitsbereichen, darunter Governance, Vorfallsbehandlung, Notfallvorsorge, Lieferkettensicherheit und Zugriffskontrolle. Sie greifen Themen aus § 30 BSIG auf, sind aber weder vollständiger Maßnahmenkatalog noch Auditprogramm.
03
Bewertung nachvollziehbar halten
Jede Antwort erhält 0 Punkte für nicht begonnen, 50 für in Bearbeitung oder 100 für umgesetzt. Das Gesamtergebnis ist der arithmetische Mittelwert. Die Prüfliste zeigt bis zu drei nicht vollständig umgesetzte Maßnahmen mit den niedrigsten Werten; bei Gleichstand gilt die Reihenfolge des Fragebogens und keine höhere Risikobewertung. Das ist eine einfache KaitoSec-Selbsteinschätzung, kein BSI-Score.

Was Sie nach dem Ausfüllen erhalten

Das Ergebnis dient der Triage: Annahmen und nächste Prüffragen werden sichtbar, damit die zuständigen Personen sie anhand offizieller Quellen und belastbarer Nachweise verifizieren können.

Ein Betroffenheitssignal
Der Checker zeigt anhand der eingegebenen Daten eine möglicherweise besonders wichtige Einrichtung, möglicherweise wichtige Einrichtung oder keinen direkten Treffer. Er trifft keine rechtliche Feststellung.
Eine Bereitschaftsübersicht
Sie sehen einen Gesamtwert und den Status jeder beantworteten Maßnahme. Das Ergebnis gibt nur Ihre Auswahl wieder; Dokumente, Konfigurationen und Wirksamkeit werden nicht geprüft.
Eine kurze Prüfliste
Bis zu drei nicht vollständig umgesetzte Maßnahmen mit den niedrigsten Werten werden zur Prüfung hervorgehoben. Gleiche Werte bleiben in Fragebogen- statt Risikoreihenfolge. Der per E-Mail gesendete Bericht hält die Selbsteinschätzung fest, ist für sich allein aber kein Compliance-Nachweis.

Beispiel: ein Betroffenheitssignal richtig lesen

Ausgangslage: Die tatsächliche Tätigkeit eines fiktiven Unternehmens entspricht einer Einrichtungsart aus Anlage 2 BSIG. Es hat 120 Mitarbeitende, ist in der EU tätig und betreibt keine kritische Anlage.
Checker-Signal: Das Mitarbeitendenband führt zum Ergebnis einer möglicherweise wichtigen Einrichtung. Damit ist ein Prüfpfad benannt; nicht jedes Unternehmen im breiter gewählten Sektor ist automatisch erfasst.
Verifizierung: Prüfen Sie die genaue Einrichtungsart aus Anlage 2, die Größenberechnung nach § 28, Daten von Partner- oder verbundenen Unternehmen, Umsatz und Bilanzsumme, die deutsche Zuständigkeit sowie Sonder- oder Sektorregeln. Halten Sie Nachweis und verantwortliche Person für jede Schlussfolgerung fest.

Vier Punkte brauchen weiterhin menschliche Prüfung

Ein kurzer Fragebogen kann nicht jede Schwelle, Ausnahme und tatsächliche Abhängigkeit im BSIG abbilden. Nutzen Sie diese Lücken als Prüfliste, bevor Sie sich auf das Ergebnis stützen.

Genaue Einrichtungsart
Die Sektorauswahl ist breiter als die Einrichtungsarten in den Anlagen 1 und 2. Die allgemeine Auswahl „Verarbeitendes Gewerbe“ bedeutet zum Beispiel nicht, dass jeder Hersteller erfasst ist; entscheidend sind die tatsächlichen Waren oder Dienste.
Vollständige Größenprüfung
Der Checker fragt die Bilanzsumme nicht ab. Wo § 28 eine finanzielle Schwelle vorsieht, müssen sowohl die genannte Umsatz- als auch die Bilanzsummengrenze geprüft werden; der Umsatz allein ist nur ein Warnsignal.
Verbund- und Zuständigkeitsdaten
Mitarbeitenden- und Finanzdaten können nach Empfehlung 2003/361/EG Daten von Partner- oder verbundenen Unternehmen einschließen. Niederlassung, Hauptniederlassung, angebotene Dienste und größenunabhängige Sonderfälle können Zuständigkeit und Einstufung ebenfalls beeinflussen.
Nachweise und Sektorregeln
Die Angaben zur Bereitschaft sind Selbstauskünfte und testen keine Wirksamkeit. DORA-, Telekommunikations-, Energie- und andere sektorspezifische Vorschriften oder Ausnahmen können die anwendbaren Pflichten ändern. Maßgeblich sind aktuelles Recht, BSI-Hinweise und qualifizierte Beratung.

Offizielle Quellen dieser Methodik

Quellen geprüft am 3. September 2026

§§ 28–33 und 38 BSIG · Bundesministerium der Justiz und Bundesamt für Justiz
NIS-2-Betroffenheitsprüfung: Entscheidungsbaum · Bundesamt für Sicherheit in der Informationstechnik (BSI)
Informationen zur NIS-2-Registrierung · Bundesamt für Sicherheit in der Informationstechnik (BSI)
Richtlinie (EU) 2022/2555, Artikel 2, 3, 20 und 21 · EUR-Lex
Empfehlung 2003/361/EG zur Unternehmensgröße · EUR-Lex

Fragen, die Sie vor der Nutzung des Ergebnisses klären sollten

Ist das Ergebnis des NIS2-Checkers rechtlich verbindlich?

Nein. Es ist eine vereinfachte Orientierung allein auf Basis Ihrer Angaben. Eine belastbare Einstufung verlangt die genaue gesetzliche Einrichtungsart, alle relevanten Größen- und Verbunddaten, die Zuständigkeit und anwendbare Sonderregeln. Holen Sie bei wesentlichen Entscheidungen qualifizierten Rechtsrat ein.

Warum fragt der Checker die Bilanzsumme nicht ab?

Der aktuelle Ablauf ist bewusst als kurzer Erstcheck angelegt. § 28 BSIG verbindet bei den finanziellen Schwellen Umsatz und Bilanzsumme. Da der Checker nur den Umsatz erfasst, muss ein dadurch ausgelöstes Ergebnis anhand beider Werte verifiziert werden.

Wie wird der Bereitschaftswert berechnet?

Nicht begonnen zählt als 0, in Bearbeitung als 50 und umgesetzt als 100. Der Checker mittelt die 20 Antworten und hebt bis zu drei nicht vollständig umgesetzte Maßnahmen mit den niedrigsten Werten hervor. Bei Gleichstand gilt die Reihenfolge des Fragebogens. Das ist eine Prüfhilfe, keine Risikorangfolge, kein offizieller BSI-Reifegrad und kein Wirksamkeitsnachweis.

Zählen Mutter-, Partner- oder verbundene Unternehmen bei der Größe mit?

Das kann der Fall sein. § 28 Absatz 4 BSIG verweist für Mitarbeitenden- und Finanzdaten auf die Empfehlung 2003/361/EG mit Regeln für Partner- und verbundene Unternehmen. Welche Daten zu addieren sind und ob die Unabhängigkeitsregel des BSIG greift, hängt vom Einzelfall ab und wird hier nicht berechnet.

Was folgt auf ein mögliches Betroffenheitsergebnis?

Verifizieren und dokumentieren Sie zuerst Einrichtungsart und Größenberechnung. Bestätigt sich die Einstufung, ordnen Sie Verantwortliche für §§ 30, 32 und 38 zu und prüfen den Ablauf im BSI-Portal. § 33 setzt die Registrierung grundsätzlich spätestens drei Monate nach der erstmaligen oder erneuten Einstufung an.

Klärt „nicht direkt betroffen“ die Frage abschließend?

Nein. Das Ergebnis bedeutet nur, dass diese vereinfachten Eingaben keinen direkten Treffer ergeben haben. Prüfen Sie ausgelassene Sonderkategorien, Verbund- und Zuständigkeitsdaten sowie vertragliche Lieferkettenanforderungen regulierter Kunden.