Gilt NIS2 für Ihr Unternehmen? Status, Pflichten und Fristen prüfen
Beantworten Sie etwa 20 kurze Fragen zu Ihrer Tätigkeit, Ihrem Sektor, Ihrer Größe und Ihren Kunden. Erfahren Sie, ob Sie wahrscheinlich eine wesentliche oder wichtige Einrichtung sind, was das bedeutet, welche Fristen gelten und wo Ihre Sicherheitslücken liegen.
Meinen Status prüfen
Keine Rechtsberatung
Dies ist eine vorläufige, automatisierte Einschätzung auf Grundlage Ihrer Antworten. NIS2 ist eine Richtlinie: Jeder Mitgliedstaat setzt sie in nationales Recht um, und dieses Recht entscheidet, wer erfasst ist, wie die Registrierung erfolgt und welche Fristen gelten. Nutzen Sie das Ergebnis, um ein Gespräch mit einem Rechtsberater oder Ihrer nationalen Behörde vorzubereiten.
Fragebogen
Wie die Prüfung funktioniert
Anwendungsbereich. NIS2 erfasst Organisationen, die Dienstleistungen erbringen oder Tätigkeiten in der EU ausüben, zu einem der Einrichtungstypen in Anhang I oder II gehören und mindestens mittelgroß sind. Manche Typen sind unabhängig von der Größe erfasst: qualifizierte Vertrauensdiensteanbieter, TLD-Register, DNS-Anbieter, Anbieter öffentlicher elektronischer Kommunikation und zentralstaatliche Stellen.
Größe. Wir wenden die Schwellenwerte der Empfehlung 2003/361/EG der Kommission an: weniger als 50 Personen und Umsatz oder Bilanzsumme bis 10 Mio. € ist klein; weniger als 250 Personen und Umsatz bis 50 Mio. € oder Bilanzsumme bis 43 Mio. € ist mittelgroß; darüber ist groß. Umsatz und Bilanzsumme sind mit „oder“ verknüpft, sodass ein Unternehmen mit 49 Mitarbeitenden, 60 Mio. € Umsatz und 50 Mio. € Bilanzsumme groß ist.
Kategorie. Große Einrichtungen in Anhang-I-Sektoren sind wesentlich; mittelgroße Anhang-I-Einrichtungen sowie mittelgroße oder große Anhang-II-Einrichtungen sind wichtig. Wesentliche Einrichtungen werden vor und nach Vorfällen überwacht, wichtige nachträglich. Die Pflichten sind dieselben.
Ihre Maßnahmen. Zwölf Prüfpunkte folgen den zehn Bereichen von Art. 21 Abs. 2, der Rechenschaftspflicht der Leitung (Art. 20) und der Vorfallmeldung (Art. 23). Ja = 2 Punkte, teilweise = 1, nein oder weiß nicht = 0. Gruppen sind gewichtet; wenn Governance null Punkte erzielt, kann das Stadium nicht höher als „Anfangsstadium“ sein.
Jede Regel, jeder Artikel und jedes Datum befindet sich in einer veröffentlichten Regeldatei (nis2-rules.v1.json). Die Berechnung läuft in Ihrem Browser; Ihre Antworten werden erst gesendet, wenn Sie den Bericht anfordern.
Was dieses Tool nicht abdeckt
- Sektorspezifische Rechtsakte, die Teile von NIS2 für manche Einrichtungen ersetzen, wie DORA für Finanzunternehmen.
- Die CER-Richtlinie zur physischen Resilienz kritischer Einrichtungen, abgesehen von der Frage, ob Sie danach identifiziert wurden.
- Nationale Erweiterungen: Manche Mitgliedstaaten erfassen mehr Einrichtungen oder setzen kürzere Fristen als die Richtlinie.
- Aggregation von Werten für Gruppen, Partner- und verbundene Unternehmen: Wir weisen darauf hin, berechnen es aber nicht.
Quellen
| Quelle | Was wir verwenden |
|---|---|
| Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex | Art. 2, 3, 20, 21, 23, 26–28, 32–34; Anhang I und II |
| Empfehlung 2003/361/EG der Kommission, EUR-Lex | Größenklassen: Kleinst-, kleine und mittlere Unternehmen |
| Richtlinie (EU) 2022/2557 (CER), EUR-Lex | Kritische Einrichtungen |
| Verordnung (EU) 2022/2554 (DORA), EUR-Lex | Lex specialis für den Finanzsektor |
FAQ
Gilt NIS2 für mein Unternehmen?
Es gilt wahrscheinlich, wenn Sie Dienstleistungen erbringen oder Tätigkeiten in der EU ausüben, Ihre Organisation einem der Einrichtungstypen in Anhang I oder II der Richtlinie entspricht und Sie mindestens mittelgroß sind (50 oder mehr Personen, oder mehr als 10 Mio. € sowohl bei Umsatz als auch Bilanzsumme). Manche Typen sind unabhängig von der Größe erfasst. Der obige Check führt Sie in etwa fünf Minuten durch diese Prüfungen.
Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?
Die Pflichten sind dieselben: Risikomanagementmaßnahmen, Rechenschaftspflicht der Leitung und Vorfallmeldung. Der Unterschied liegt in Aufsicht und Bußgeldern. Wesentliche Einrichtungen werden proaktiv überwacht (ex ante und ex post) und es drohen Höchststrafen von mindestens 10 Mio. € oder 2 % des weltweiten Umsatzes; wichtige Einrichtungen werden nachträglich überwacht (ex post) und es drohen Höchststrafen von mindestens 7 Mio. € oder 1,4 %.
Wie hoch sind die NIS2-Bußgelder?
Die Richtlinie legt Mindesthöchstbeträge fest: für wesentliche Einrichtungen mindestens 10 Mio. € oder 2 % des weltweiten Jahresgesamtumsatzes, je nachdem, welcher Betrag höher ist; für wichtige Einrichtungen mindestens 7 Mio. € oder 1,4 %. Die Mitgliedstaaten legen die genauen Sanktionen im nationalen Recht fest und können höher ansetzen. Auch die Leitung kann persönlich haftbar gemacht werden.
Was muss ich melden und wann?
Bei einem erheblichen Sicherheitsvorfall: eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Meldung des Vorfalls innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Meldung. Die Meldungen gehen an Ihr nationales CSIRT oder Ihre zuständige Behörde.
Ich bin Softwareanbieter. Betrifft mich NIS2, wenn meine Kunden reguliert sind?
Auch wenn Sie selbst nicht erfasst sind, müssen Ihre regulierten Kunden die Sicherheit der Lieferkette nach Art. 21 Abs. 2 Buchst. d verwalten. Erwarten Sie Sicherheitsfragebögen, Audits und Vertragsklauseln. Managed-Service-Provider, Managed-Security-Provider und Cloud-Anbieter sind direkt erfasst, wenn sie mindestens mittelgroß sind.
Gilt das NIS2-Gesetz meines Landes bereits?
Die Umsetzungsfrist war der 17. Oktober 2024, aber die Mitgliedstaaten haben ihre Gesetze zu unterschiedlichen Zeitpunkten verabschiedet. Das Ergebnis zeigt die nationale Behörde für die von uns erfassten Länder; einen Umsetzungsstatus zeigen wir erst an, nachdem eine Person ihn anhand der amtlichen Quelle geprüft hat, mit dem Datum dieser Prüfung.
Ist das eine Rechtsberatung?
Nein. Es handelt sich um eine vorläufige, automatisierte Einschätzung auf Grundlage Ihrer Antworten und der auf der Seite angezeigten Regelversion. Das nationale Recht entscheidet; bestätigen Sie das Ergebnis mit einem Rechtsberater oder Ihrer nationalen Behörde.
Kann YuSMP bei einer Lückenanalyse helfen?
Ja. Wir ordnen Ihre aktuellen Maßnahmen Art. 21 zu, führen Penetrationstests und Sicherheitsaudits durch, bereiten Nachweise für SOC 2 und ISO 27001 vor und bauen sichere Entwicklungspraktiken auf. Nutzen Sie das Formular unter Ihrem Ergebnis.
Dienstleistungen und Branchen
Penetrationstests und Sicherheitsaudits
Testen Sie, ob Ihre Maßnahmen wirken, mit einem Bericht, den Sie Kunden und Prüfern zeigen können.
SOC 2- und ISO-27001-Readiness
Richtlinien, Kontrollen und Nachweise, die auch die meisten Anforderungen von Art. 21 abdecken.
Cloud und DevOps
Protokollierung, Backups, Wiederherstellung und Multi-Faktor-Zugriff in Ihrer Cloud.
DSGVO-Compliance-Beratung
Vorfälle mit personenbezogenen Daten und NIS2-Vorfälle überschneiden sich oft.
EU-AI-Act-Compliance
Wenn Ihr Produkt KI-Funktionen enthält.