NIS2-Check: Ist Ihr Unternehmen betroffen?

Hintergrund

So ordnet der Check ein

• Besonders wichtige Einrichtungen sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter (jeweils unabhängig von der Größe), Anbieter öffentlicher Telekommunikation ab 50 Mitarbeitenden oder jeweils mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme sowie Unternehmen aus Anlage 1 ab 250 Mitarbeitenden oder mit mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Jahresbilanzsumme (§ 28 Abs. 1 BSIG).
• Wichtige Einrichtungen sind Unternehmen aus Anlage 1 oder 2 ab 50 Mitarbeitenden oder mit jeweils mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme, außerdem Vertrauensdiensteanbieter und kleinere Anbieter öffentlicher Telekommunikation (§ 28 Abs. 2 BSIG).
• Gezählt wird nach der KMU-Empfehlung der EU: Mitarbeitende in Vollzeitstellen ohne Auszubildende, Zahlen des letzten Jahresabschlusses. Partner- und verbundene Unternehmen zählen mit, außer die IT ist von ihnen unabhängig (§ 28 Abs. 4 BSIG).
• Nebensächliches zählt nicht: Tätigkeiten, die gemessen am gesamten Geschäft vernachlässigbar sind, können außer Betracht bleiben (§ 28 Abs. 3 BSIG).
• Sonderregeln: Für öffentliche Telekommunikation, Energienetze und -anlagen sowie Finanzunternehmen unter der EU-Verordnung DORA gelten Teile der Pflichten nach anderen Gesetzen (§ 28 Abs. 5 und 6 BSIG).

Quellen: § 28 BSIG, Anlage 1 und Anlage 2 BSIG, § 30, § 32, § 33, § 38 und § 65 BSIG. Zum Vergleich bietet das BSI eine eigene NIS-2-Betroffenheitsprüfung an.