Informationssicherheit
NIS2-Betroffenheitsprüfung: Klarheit, bevor Sie Geld ausgeben
Seit Dezember 2025 gilt das deutsche NIS2-Umsetzungsgesetz. Ob Ihr Unternehmen darunter fällt, entscheidet nicht die Branche allein, sondern das Zusammenspiel aus Tätigkeit, Größe, Beteiligungen und Sonderfällen. Wir prüfen das für jeden Rechtsträger, begründen das Ergebnis schriftlich und sagen Ihnen, was daraus folgt. Unabhängig, ohne Produktinteresse, ohne Provision.
Was eine Betroffenheitsprüfung klärt, und was nicht
Die Betroffenheitsprüfung beantwortet eine Frage: Fällt Ihr Unternehmen unmittelbar unter das BSI‑Gesetz, und wenn ja, als „wichtige“ oder als „besonders wichtige“ Einrichtung? Dafür zählt, was Sie tatsächlich tun, wie groß Sie sind, mit wem Sie verbunden sind und ob ein Sonderfall greift. Das Ergebnis bestimmt, ob Sie sich beim BSI registrieren müssen, welche Meldepflichten gelten und welche Pflichten die Geschäftsführung persönlich trifft.
Sie ist keine Prüfung Ihrer IT‑Sicherheit. Ob Ihre Firewall ausreicht, klärt sie nicht. Sie ersetzt auch kein ISO-27001-Zertifikat und keine Rechtsberatung im Grenzfall. Und sie ist nicht dauerhaft gültig: Ein Zukauf, eine neue Tätigkeit oder ein Schwellenwechsel können das Ergebnis ändern.
Der Online-Test des BSI ist eine gute erste Orientierung. Rechtlich verbindlich ist er ausdrücklich nicht, und er prüft nicht, ob Ihre Eingaben stimmen. Wer Gesellschaftern oder dem Aufsichtsrat ein Ergebnis vorlegen will, braucht eine Prüfung, die ihre Begründung mitliefert.
Für wen die Prüfung Pflicht ist, und für wen sie Klarheit bringt
Hersteller aus Anlage 2.
Maschinen- und Fahrzeugbau, Elektronik und elektrische Ausrüstungen, Medizinprodukte, Chemie, Lebensmittelherstellung und -großhandel: Ab 50 Mitarbeitenden oder ab 10 Millionen Euro Umsatz und Bilanzsumme sind diese Einrichtungsarten „wichtige Einrichtungen“. Nicht jeder Industriebetrieb ist erfasst, es kommt auf die konkrete Tätigkeit an.
Gesundheit und Sozialwirtschaft.
Gesundheitsdienstleistungen stehen in Anlage 1. Kirchliche oder gemeinnützige Trägerschaft nimmt niemanden aus: Krankenhaus, Pflegeangebot, Verwaltung und Tochtergesellschaft werden einzeln nach ihrer Tätigkeit und ihrer rechtlichen Zuordnung geprüft.
Unternehmensgruppen.
Partner- und verbundene Unternehmen zählen bei Mitarbeitenden, Umsatz und Bilanzsumme grundsätzlich mit. Es gibt eine Ausnahme für Gesellschaften, die bei IT‑Systemen und Prozessen nachweisbar unabhängig sind. Ob sie greift, ist Teil der Prüfung.
Zulieferer mit Kundenauflagen.
Wenn ein Kunde unter NIS2 fällt, muss er die Risiken seiner Lieferanten berücksichtigen. Daraus entstehen Fragebögen und Vertragsklauseln, aber keine eigene Registrierungspflicht. Wir trennen sauber, was Ihr Kunde verlangt und was das Gesetz von Ihnen verlangt.
Besonders wichtige Einrichtungen brauchen eine Tätigkeit aus Anlage 1 und mindestens 250 Mitarbeitende oder mehr als 50 Millionen Euro Umsatz bei mehr als 43 Millionen Euro Bilanzsumme. Für die meisten unserer Kunden lautet die Frage deshalb nicht „betroffen oder nicht“, sondern „wichtige Einrichtung, ja oder nein, und für welche Gesellschaft“.
Online-Test oder dokumentierte Prüfung?
Beides hat seinen Platz. Der Unterschied liegt darin, was Sie hinterher in der Hand haben.
| Kriterium | Online-Test des BSI | Dokumentierte Prüfung |
|---|---|---|
| Verbindlichkeit | Ausdrücklich unverbindlich, Ergebnis hängt von Ihren Eingaben ab | Begründetes Ergebnis mit Gesetzesfassung, Quellen und Prüfdatum |
| Beteiligungen | Müssen Sie selbst richtig einrechnen | Beteiligungsübersicht und Unabhängigkeitsausnahme werden geprüft |
| Sonderfälle | Werden abgefragt, nicht erklärt | Werden gekennzeichnet und mit der Geschäftsführung besprochen |
| Mehrere Gesellschaften | Ein Durchlauf je Gesellschaft, ohne Zusammenhang | Ergebnis je Rechtsträger in einem Vermerk |
| Nachweis | Ein Screenshot | Prüfvermerk, den die Geschäftsführung zur Kenntnis nimmt und ablegt |
| Aktualität | Niemand erinnert Sie | Wiedervorlageanlässe stehen im Vermerk: Zukauf, neue Tätigkeit, Schwellenwechsel |
Wer sicher nicht betroffen ist und das auch so bleibt, kommt mit dem Online-Test aus. Sobald Beteiligungen, mehrere Gesellschaften, Gesundheitsdienstleistungen oder Kundenauflagen im Spiel sind, lohnt sich die dokumentierte Prüfung, schon weil die Registrierungsfrist von drei Monaten ab Betroffenheit nicht auf die Klärung wartet.
Prüfung
Was die Betroffenheitsprüfung von itkomm umfasst
Ein abgegrenztes Projekt mit festem Umfang. Sie liefern die Unterlagen, wir liefern das Ergebnis und die Begründung.
Tätigkeiten erfassen.
Was Ihr Unternehmen tatsächlich tut, zugeordnet zu den Einrichtungsarten der Anlagen 1 und 2. Nicht die Branchenüberschrift zählt, sondern die konkrete Tätigkeit je Gesellschaft.
Größe richtig rechnen.
Mitarbeitende in Jahresarbeitseinheiten, Umsatz und Bilanzsumme aus den Abschlüssen, Bezugszeiträume bei Schwellenwechseln. Mit Partner- und verbundenen Unternehmen.
Beteiligungen und Sonderfälle.
Beteiligungsübersicht, Prüfung der Unabhängigkeitsausnahme, Kennzeichnung größenunabhängiger Sonderfälle und sektorspezifischer Sonderregeln.
Kundenauflagen getrennt bewerten.
Was Ihre Kunden aus ihrer eigenen NIS2‑Pflicht an Sie weitergeben, und was davon gesetzliche Betroffenheit ist. Zwei Listen, nicht eine.
Prüfvermerk.
Rechtsträger, Prüfdatum, Gesetzesfassung, Tätigkeiten, Größenberechnung, Beteiligungen, Ausnahmen, Ergebnis je Rechtsträger, offene Rechtsfragen, Wiedervorlageanlässe. Vorlagefähig für Gesellschafter und Aufsichtsrat.
Besprechung mit der Geschäftsführung.
Ergebnis, Registrierungsbedarf, Meldepflichten, Schulungspflicht der Geschäftsleitung und die nächsten Entscheidungen. Falls Sie betroffen sind, geht es weiter mit der NIS2‑Beratung und Umsetzung.
Was nicht enthalten ist: die Bewertung Ihrer technischen Sicherheit, die Registrierung in Ihrem Namen und Rechtsberatung bei ungeklärten juristischen Grenzfällen. Die Registrierung beim BSI bereiten wir vor, durchführen tun Sie sie. Für Grenzfälle empfehlen wir eine spezialisierte Kanzlei und bereiten die Fragen auf.
So läuft die Prüfung
01
Erstgespräch.
30 Minuten, telefonisch oder per Video. Sie schildern Tätigkeiten, Gesellschaften und Kundenanforderungen, wir sagen Ihnen, ob der Online-Test reicht oder die dokumentierte Prüfung Sinn ergibt.
02
Unterlagen und Einordnung.
Sie stellen Tätigkeitsbeschreibung, Organigramm, Abschlüsse und Kundenauflagen bereit, wir ordnen ein und klären Zweifelsfragen.
03
Prüfvermerk und Entscheidung.
Sie erhalten den Vermerk, wir besprechen ihn mit der Geschäftsführung und legen fest, wer was bis wann tut.
Was kostet eine NIS2-Betroffenheitsprüfung?
Die Prüfung ist ein Festpreis, der vom Umfang abhängt: Zahl der Gesellschaften, Beteiligungsstruktur, Kundenauflagen. Den Betrag nennen wir Ihnen im Erstgespräch, nachdem wir wissen, was zu prüfen ist. Zum Vergleich: Eine falsche Einordnung kostet entweder unnötigen Aufwand für Maßnahmen, die das Gesetz nicht verlangt, oder eine versäumte Registrierung mit allem, was daran hängt.
Wer die Prüfung bei itkomm macht
Oliver Bajunovic ist persönlich nach ISO 27001 zertifiziert und war Führungskraft in der Industrie und im Großhandel, bevor er itkomm gegründet hat. Heute arbeitet er für Industriebetriebe, Mittelständler und Träger der Sozialwirtschaft im Umkreis von rund 100 Kilometern um Fulda und darüber hinaus.
Mehr über itkommHäufige Fragen zur NIS2‑Betroffenheit
Sind wir allein wegen unserer Mitarbeiterzahl betroffen?
Nein. Die Größe zählt nur zusammen mit einer Tätigkeit aus Anlage 1 oder 2 des BSI‑Gesetzes oder mit einem Sonderfall. Ein Maschinenbauer mit 300 Mitarbeitenden ist eine wichtige Einrichtung, ein Großhändler ohne gelistete Tätigkeit mit derselben Größe nicht.
Müssen wir auf ein Schreiben des BSI warten?
Nein. Die Einordnung müssen Sie selbst vornehmen, und die Registrierungsfrist von drei Monaten läuft ab Betroffenheit, nicht ab einem Schreiben.
Reicht das Ergebnis des Online-Tests?
Als erste Orientierung ja. Als Nachweis gegenüber Gesellschaftern, Aufsichtsrat oder Kunden nicht, weil der Test unverbindlich ist und Ihre Eingaben nicht prüft.
Zählt unsere Konzernmutter mit?
Grundsätzlich ja, Partner- und verbundene Unternehmen fließen in die Größenberechnung ein. Es gibt eine Ausnahme für Gesellschaften, die bei IT‑Systemen und Prozessen nachweisbar unabhängig sind. Ob sie bei Ihnen greift, prüfen wir.
Sind kirchliche oder gemeinnützige Träger ausgenommen?
Nicht wegen der Trägerschaft. Entscheidend ist, was die jeweilige Einrichtung tut. Gesundheitsdienstleistungen zum Beispiel stehen in Anlage 1.
Unser Kunde verlangt NIS2‑Nachweise. Müssen wir uns registrieren?
Nicht deshalb. Ihr Kunde gibt seine eigene Pflicht an die Lieferkette weiter, das ist Vertragssache. Ob Sie selbst unter das Gesetz fallen, ist eine getrennte Frage.
Was ist, wenn wir die Registrierung versäumt haben?
Betroffenheit klären und die Registrierung unverzüglich nachholen. Die Pflicht besteht fort, Abwarten macht es nicht besser.
Ist das Ergebnis dauerhaft gültig?
Nein. Zukauf, neue Tätigkeit, Wachstum über eine Schwelle oder eine Umstrukturierung können es ändern. Deshalb stehen im Prüfvermerk die Anlässe, bei denen Sie neu prüfen sollten.
Sprechen wir über Ihre Situation
Rufen Sie an oder schreiben Sie kurz, worum es geht. Sie erhalten innerhalb eines Werktags eine Antwort.