NIS2-Betroffenheitscheck: Wer ist betroffen, was ist zu tun, welche Fristen gelten

1. Warum ein strukturierter Betroffenheitscheck unerlässlich ist

Die deutsche Wirtschaft wurde durch NIS2 von rund 4.700 Unternehmen unter der alten IT-Sicherheitsgesetz-Regelung auf geschätzte 29.500 Unternehmen erweitert. Wer erstmalig reguliert wird, hat keine Erfahrung mit BSI-Meldepflichten, keine etablierten Prozesse für Incident Response und häufig keinen dedizierten CISO. Der Betroffenheitscheck legt den Grundstein: Er entscheidet, ob ein Unternehmen überhaupt registrieren muss, und klassifiziert es als „wesentliche" oder „wichtige" Einrichtung. Von dieser Einstufung hängen Aufsichtstiefe, Bußgeldrahmen und Meldeaufwand ab.

Wer den Check unterlässt, riskiert nicht nur Bußgelder, sondern auch die persönliche Haftung der Geschäftsleitung. Das BSI hat angekündigt, die Aufsicht in den ersten 24 Monaten nach Inkrafttreten primär reaktiv zu gestalten — sobald aber ein Vorfall eintritt oder eine Anzeige vorliegt, wird geprüft, ob die Einrichtung sich hätte registrieren müssen.

2. Die drei Stufen des NIS2-Betroffenheitschecks

Die Prüfung folgt einer klaren Logik: Sektor-Zuordnung, Größenschwelle, besondere Kriterien. Nur wenn alle drei Stufen erfüllt sind, gilt eine Einrichtung als betroffen. In der Praxis entstehen die meisten Fehlinterpretationen auf Stufe 1, weil viele Unternehmen ihren Sektor nicht eindeutig zuordnen können oder als Tochtergesellschaft im Konzern übersehen werden.

Stufe 1 — Sektor-Zuordnung: Der NIS2UmsuCG-Anhang listet 11 wesentliche und 7 wichtige Sektoren. Wesentlich sind unter anderem Energie, Verkehr, Banken, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, digitale Infrastruktur, ICT-Service-Management, öffentliche Verwaltung und Weltraum. Wichtig sind Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Anbieter und Forschung.

Stufe 2 — Größenschwelle: Anwendung der EU-KMU-Definition 2003/361/EG. Mittelgroß sind Unternehmen ab 50 Mitarbeitern und mit 10 bis 50 Mio. Euro Jahresumsatz oder Bilanzsumme. Groß sind Unternehmen ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz oder 43 Mio. Euro Bilanzsumme. Kleine Einrichtungen (unter 50 MA und unter 10 Mio. Euro) sind grundsätzlich ausgenommen — außer in besonderen Fällen nach Stufe 3.

Stufe 3 — Besondere Kriterien: Einige Einrichtungen fallen unabhängig von der Größe unter NIS2, zum Beispiel qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registrare, Anbieter öffentlicher elektronischer Kommunikationsnetze oder Einrichtungen, die alleinige Anbieter eines kritischen Dienstes sind. Auch eine Einstufung nach § 28 Absatz 7 NIS2UmsuCG durch die zuständige Behörde ist möglich.

3. Wesentliche versus wichtige Einrichtungen — was der Unterschied kostet

Die Einteilung in „wesentliche" und „wichtige" Einrichtungen entscheidet über Aufsichtsintensität und Bußgeldhöhe. Wesentliche Einrichtungen werden proaktiv vom BSI beaufsichtigt (Ex-ante). Das heißt: regelmäßige Nachweisprüfungen, Audits, Anordnungsmöglichkeiten. Wichtige Einrichtungen werden reaktiv beaufsichtigt (Ex-post) — erst nach einem Vorfall, einer Beschwerde oder Anhaltspunkten für Nichteinhaltung.

Beide Kategorien unterliegen denselben inhaltlichen Pflichten: Risikomanagementmaßnahmen nach Artikel 21 NIS2, Meldepflicht bei erheblichen Sicherheitsvorfällen nach Artikel 23, Schulung der Geschäftsleitung. Unterschiedlich sind die Überwachungsinstrumente und der Bußgeldrahmen. Für Konzerne entscheidend: Die Einstufung wird pro Tochtergesellschaft vorgenommen, nicht für den Konzern als Ganzes.

4. Aufwand, Budget und typische Dauer des Betroffenheitschecks

Ein strukturierter Betroffenheitscheck benötigt für einen deutschen Mittelständler mit 150 bis 500 Mitarbeitern und einer Tochtergesellschaft typischerweise 8 bis 15 Arbeitstage. Davon entfallen 2 bis 4 Personentage auf Sektor-Zuordnung und Größenprüfung, 3 bis 5 Personentage auf die Analyse der Konzernstruktur und ausländischer Tochtergesellschaften, 2 bis 4 Personentage auf Legal Review und 1 bis 2 Personentage auf Dokumentation und Managementreport.

Unternehmen, die bereits ein ISMS nach ISO 27001 oder BSI-Grundschutz betreiben, liegen im unteren Aufwandsbereich, weil vieles an Dokumentation schon vorhanden ist. Erstregulierte Unternehmen ohne bestehende Cybersicherheits-Governance liegen am oberen Rand. Typische Mittelstandsbudgets für den Gesamtprozess (Betroffenheitscheck plus Gap-Analyse plus Umsetzungsplan): 55.000 bis 180.000 Euro extern über 6 bis 12 Monate.

5. Pflichten nach positiver Betroffenheitsfeststellung

Ergibt der Check eine Betroffenheit, beginnt die eigentliche Arbeit. Die Einrichtung muss sich binnen 3 Monaten nach Inkrafttreten beim BSI registrieren (sektorabhängig zum Teil auch beim Bundesamt für Landwirtschaft und Ernährung oder anderen zuständigen Behörden). Die Meldedaten umfassen Name, Anschrift, Sektorzuordnung, Kontaktdaten eines Sicherheitsverantwortlichen und Angaben zur Erbringung grenzüberschreitender Dienste.

Parallel sind die Risikomanagementmaßnahmen nach Artikel 21 zu implementieren: Konzepte zu Risikoanalyse und Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Backup-Management, Lieferkettensicherheit, Sicherheit bei Erwerb und Entwicklung, Grundregeln der Cyberhygiene, Kryptographie, Personalsicherheit und Zugriffskontrolle, Einsatz von Multi-Faktor-Authentifizierung. Die Geschäftsleitung ist persönlich verantwortlich und muss regelmäßige Schulungen absolvieren.

Zum kontinuierlichen Betrieb gehört das Meldewesen für erhebliche Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, förmliche Meldung binnen 72 Stunden, Abschlussbericht binnen 1 Monat. Die Meldefristen sind strikt — auch an Wochenenden und Feiertagen. Unternehmen ohne 24/7-Bereitschaft müssen entsprechende Dienstleister einbinden oder rotierende Rufbereitschaft einrichten.

6. Häufig gestellte Fragen zum NIS2-Betroffenheitscheck