NIS2 Betroffenheit: Wer ist von NIS2 betroffen?
Diese Seite gibt KMU und Berater:innen eine strukturierte Orientierung, ob und in welcher Form sie von NIS2 betroffen sein könnten – direkt über Sektor und Größe oder mittelbar über die Lieferkette.
Hinweis
Diese Orientierung ist keine Rechtsberatung, keine technische Sicherheitsprüfung, kein Audit und keine verbindliche Einstufung. Die konkrete Einordnung hängt von Sektor-Spezifika, nationaler Umsetzung und Einzelfallumständen ab und sollte durch geeignete Fachstellen geprüft werden.
Wesentliche vs. wichtige Einrichtungen
NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Die Einstufung hängt im Wesentlichen von Sektor, Größe und Kritikalität ab und beeinflusst Aufsichtsregime, Meldepflichten und Sanktionsrahmen. Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung sowie weitere kritische und wichtige Sektoren sind typischerweise erfasst.
Größenkriterien als grobe Orientierung
- Wichtige Einrichtungen: häufig ab ca. 50 Mitarbeitenden bzw. 10 Mio. EUR Jahresumsatz.
- Wesentliche Einrichtungen: häufig ab ca. 250 Mitarbeitenden bzw. 50 Mio. EUR Jahresumsatz.
- Sektorspezifische Sonderregeln und Ausnahmen können kleinere Organisationen einbeziehen, z. B. bei besonderer Kritikalität.
Strukturierte Selbsteinordnung in drei Schritten
Die folgenden Fragen helfen Ihnen, eine erste Indikation zu Ihrer möglichen Betroffenheit zu erhalten. Es handelt sich um eine methodische Orientierung – nicht um eine verbindliche Einstufung.
Mittelbare Betroffenheit über die Lieferkette
Viele KMU sind nicht direkt NIS2-pflichtig, werden aber durch Anforderungen ihrer Kunden faktisch einbezogen: Onboarding-Fragebögen, Supplier-Audits, Cybersecurity-Anhänge in Verträgen oder Ausschreibungen verlangen strukturierte Antworten zu Governance, Incident-Prozessen, Backup, Zugriffskontrolle und Dienstleistermanagement.
Wie ReadyDeck als Portfolio-Prototyp ansetzt
ReadyDeck NIS2 QuickScan zeigt prototypisch, wie Themen der Umsetzungsbereitschaft strukturiert, mit Domain-Level-Scoring und Nachweislücken abgebildet und in Management-orientierte nächste Schritte übersetzt werden können. Der Prototyp ersetzt keine fachliche Einstufung, sondern strukturiert das Gespräch.
Grenzen dieser Orientierung
Diese Seite ersetzt keine Rechtsberatung, keine technische Sicherheitsprüfung, kein Audit und keine verbindliche Einstufung. Konkrete Einordnungen sollten durch geeignete Fachstellen geprüft werden.