Gilt NIS2 für unser Unternehmen?
Einstufung als wesentliche oder wichtige Einrichtung – mit Sektor, Größe, Konzernstruktur und dem Artikel je Stufe.
5 Schritte · PDF-Vermerk · keine Speicherung
Prüfung starten- Server in Deutschland, Daten in der EU
- Prüfungen ohne Cookies und Tracking
- Jede Antwort mit Fundstelle
- Vorprüfung, keine Rechtsberatung
Ein Ergebnis ohne Artikel ist eine Meinung.
„Betroffen“ oder „nicht betroffen“ – das sagen viele Checklisten. Die nächste Frage beantworten sie nicht: Woraus folgt das? Genau das fragen Geschäftsführung, Prüfer und Anwalt. Ein Ergebnis mit Artikel, Absatz und Anhang ist ein Vermerk für die Akte. Ein Ergebnis ohne Fundstelle ist eine Vermutung.
- Welcher Artikel macht uns zur wichtigen Einrichtung? Sektor, Größe und Konzernstruktur entscheiden – jede Stufe hat ihre Fundstelle.
- Ab wann gilt welche Pflicht? Meldepflichten und übrige Pflichten haben verschiedene Daten. Ein Ergebnis nennt beide.
- Was bleibt Auslegungsfrage? Ob ein Produkt unter eine Anhang-Kategorie fällt, entscheidet kein Werkzeug. Ein ehrliches Ergebnis sagt, wo Menschen urteilen müssen.
Vier übliche Wege – und was Sie danach in der Hand haben
| Kriterium | Gesetzestext selbst lesen | Einen KI-Chat fragen | Checkliste eines Anbieters | Beratung beauftragen | otatel |
|---|---|---|---|---|---|
| Fundstelle je Antwort | ja – Sie suchen sie selbst | je nach Dienst; ob sie stimmt, prüfen Sie selbst | je nach Anbieter | ja | bei jeder Antwort |
| Ihre Angaben | bleiben bei Ihnen | gehen an den Anbieter des Dienstes | gehen an den Anbieter; oft wird eine Kontaktangabe verlangt | beim Berater | werden nicht gespeichert |
| Zeit bis zum Ergebnis | je nach Umfang | kurz | kurz | je nach Auftrag | wenige Minuten |
| Was bleibt | Ihre Notizen | ein Chatverlauf | je nach Anbieter | ein Gutachten oder eine Stellungnahme | ein Vermerk mit Begründung, Fristen und offenen Auslegungsfragen |
| Kosten | Ihre Zeit | je nach Dienst | je nach Anbieter | Honorar | kostenlos, kein Konto |
Der Weg über Beratung ist für manche Fragen der richtige – ein Vermerk mit Fundstellen gibt dem Gespräch eine Grundlage.
So läuft eine Prüfung
- Fragen beantworten. Jede Frage erklärt, warum sie gestellt wird, und nennt ihren Artikel. NIS2: fünf Abschnitte. CRA: 13 Fragen in fünf Schritten.
- Ergebnis lesen. Einstufung oder Rolle, Begründung in der Reihenfolge, in der das Gesetz sie anwendet, Pflichten mit Datum – und die Punkte, die menschliches Urteil brauchen.
- Vermerk ablegen. Für die Akte. Auf unserem Server bleibt von der Prüfung nichts zurück.
Art. 3 Abs. 2 NIS2 So kennzeichnen wir jede Aussage: Artikel, Absatz, Anhang. Was das Werkzeug nicht entscheiden kann, steht dabei.
Welche Frage haben Sie heute?
NIS2 · Richtlinie (EU) 2022/2555 · BSIG
Ist dieser Vorfall meldepflichtig – und bis wann?
Zweistufiger Test nach Art. 23 Abs. 3 und die Schwellen der DVO 2024/2690; Fristen 24 h / 72 h / 1 Monat ab Kenntnisnahme.
für Übungen · keine Speicherung
Prüfung startenWie tief müssen wir diesen Lieferanten prüfen?
Prüftiefe, Nachweise und Vertragsklauseln aus Ihren eigenen Antworten – nicht aus dem Fragebogen des Lieferanten.
9 Angaben · keine Speicherung
Triage startenWelche ISO-27001-Kontrolle deckt welche NIS2-Maßnahme?
Art. 21 Abs. 2 lit. a–j neben ISO/IEC 27001:2022, NIST CSF 2.0 und SP 800-53 – mit den Nachweisen, die Prüfer erwarten.
Nachschlagewerk
Tabelle öffnenCRA · Verordnung (EU) 2024/2847
Gilt der CRA für unser Produkt – und in welcher Rolle?
Anwendungsbereich, Ausschlüsse, Rolle (Hersteller, Einführer, Händler, Open-Source-Verwalter), Pflichten mit Geltungsdatum.
13 Fragen · PDF · keine Speicherung
Prüfung startenWelche Konformitätsbewertung braucht unser Produkt?
Kategorie nach Anhang III/IV aus den Funktionen des Produkts; optional die Komponentenliste gegen bekannte Schwachstellen.
für Hersteller · der Scan sendet Paketnamen an OSV.dev
EinstufenKönnen wir die EU-Konformitätserklärung schon ausstellen?
Entwurf nach Anhang V – als ausstellbar markiert nur, wenn der Bewertungsweg es erlaubt und keine blockierende Schwachstelle bekannt ist.
für Hersteller · PDF
Entwurf erstellenSehen Sie ein Ergebnis, bevor Sie eine Frage beantworten.
Das ist die Ausgabe der NIS2-Betroffenheitsprüfung für die Beispielangaben oben – unverändert, mit jeder Fundstelle und den Punkten, die offen bleiben.
Wichtige Einrichtung
Art. 3(2) NIS2- Beispielangaben
- Verarbeitendes Gewerbe · 120 Beschäftigte · 30 Mio. € Umsatz · nur Deutschland
- Deutsche Einordnung
- Deutschland: „wichtige Einrichtung“ (§ 28 Abs. 2 BSIG).
- Unternehmensgröße
- Mittleres Unternehmen
- Regelwerk
- scope-check-1.0.0 · Stand 28.09.2026
Begründung
- Mittleres oder großes Unternehmen in einem sonstigen kritischen Sektor (Anhang II). Art. 3(2) NIS2
Wo menschliches Urteil nötig bleibt
- Keine Bilanzsumme angegeben; die Grenze mittel/groß wurde über den Umsatz genähert. Bilanzsumme eintragen, um die Näherung zu beseitigen.
- Auch eine Organisation außerhalb von NIS2 kann als Lieferant einer betroffenen Einrichtung vertragliche Sicherheitsanforderungen erhalten (Art. 21 Abs. 2 lit. d); die Lieferanten-Triage zeigt, wie die aussehen.
So prüfen wir
- Quelle ist der Rechtstext, nicht eine Zusammenfassung.
- Deterministisch – dieselben Angaben führen zum selben Ergebnis; kein Sprachmodell entscheidet.
- Die Regeln sind mit automatischen Tests abgesichert.
- Die Grenzen stehen beim Ergebnis. Mehr unter Methodik.
Für wen das gedacht ist – und für wen nicht
Für Sie, wenn
- Sie in einem Unternehmen mit 50 bis 1 000 Beschäftigten für IT, Sicherheit oder die Geschäftsführung verantwortlich sind und wissen wollen, ob NIS2 greift.
- Sie Software oder vernetzte Geräte herstellen, einführen oder unter eigener Marke vertreiben.
- Sie eine Erstbewertung brauchen, die Sie der Geschäftsführung oder dem Anwalt vorlegen können.
Nicht das Richtige, wenn
- Sie ein Finanzunternehmen unter DORA sind – dafür gibt es hier kein Werkzeug.
- Sie eine verbindliche Rechtsauskunft oder eine behördliche Feststellung brauchen.
- Sie eine fertige Umsetzung wollen: Die Werkzeuge prüfen Anwendbarkeit und Einstufung; sie bewerten keine Maßnahmen.
Wer die Regeln geschrieben hat
Mahmoud Qaddoura, Inhaber HADBA e.K., Hamburg (Handelsregister Amtsgericht Hamburg, HRA 130169). Herkunft Finanzsektor: Cyber-Risiko und IT-Governance, mit Regelwerken wie DORA, BAIT, MaRisk, NIS2 und ISO 27001.
Kontakt: kontakt@hadba.net
Jede Regel in den Werkzeugen nennt den Artikel, aus dem sie folgt. Wie die Werkzeuge rechnen, steht unter Methodik; was sie nicht können, unter Grenzen. Mehr über otatel →
Häufige Fragen
Ist das Rechtsberatung?
Nein. Die Werkzeuge bilden den veröffentlichten Rechtstext ab, nicht seine behördliche oder gerichtliche Auslegung. Jedes Ergebnis nennt die Punkte, an denen ein Mensch entscheiden muss. Mehr unter Grenzen.
Was passiert mit meinen Angaben?
Bei den Betroffenheits- und Vorprüfungen: nichts – sie werden berechnet, angezeigt und nicht gespeichert. Beim optionalen Komponenten-Scan im CRA-Werkzeug gehen Paketnamen und Versionen an OSV.dev und die gefundenen Schwachstellen-Kennungen an FIRST.org (auf Wunsch auch an die NVD); das steht dort noch einmal, bevor Sie eine Datei hochladen. Mehr unter Datenschutz.
Warum ist das kostenlos?
Die Prüfungen sind der öffentliche Teil der Arbeit der HADBA e.K. Sie bleiben kostenlos, ohne Konto und ohne Speicherung. Wenn Sie danach Unterstützung wollen, finden Sie uns – müssen aber nicht.
Kann ich das Ergebnis der Geschäftsführung vorlegen?
Ja, dafür ist der Vermerk gedacht: Ergebnis, Begründung in Prüfreihenfolge, Fundstellen, Fristen, offene Punkte. Er ersetzt keine Rechtsprüfung, gibt ihr aber eine Grundlage.
Was, wenn das Ergebnis „nicht betroffen“ lautet?
Dann prüfen Sie es besonders sorgfältig. Ein falsches „nicht betroffen“ wiegt schwerer als ein falsches „betroffen“, weil es Pflichten übersieht; das Werkzeug listet deshalb bei jedem Nein die Punkte, die Sie gegenprüfen sollten.
Und DORA?
Für Finanzunternehmen unter DORA gibt es hier kein Werkzeug; die NIS2-Prüfung erkennt diesen Fall und sagt es Ihnen.
Welche Fassung ist verbindlich?
Bei NIS2 die nationale Umsetzung – in Deutschland das BSIG – und die Praxis des BSI. Der CRA ist eine Verordnung und gilt unmittelbar; verbindlich ist die Auslegung der Marktüberwachung und der notifizierten Stellen.
Ergebnis in der Hand – und jetzt?
Legen Sie den Vermerk ab. Wenn Sie ihn mit jemandem durchgehen wollen, der die Regeln geschrieben hat, genügt eine E-Mail. Sie bekommen eine persönliche Antwort – ohne Angebot und ohne Nachfassen.