Mittleres oder großes Unternehmen in einem sonstigen kritischen Sektor (Anhang II).Art. 3(2) NIS2
Wo menschliches Urteil nötig bleibt
01Keine Bilanzsumme angegeben; die Grenze mittel/groß wurde über den Umsatz genähert. Bilanzsumme eintragen, um die Näherung zu beseitigen.
02Auch eine Organisation außerhalb von NIS2 kann als Lieferant einer betroffenen Einrichtung vertragliche Sicherheitsanforderungen erhalten (Art. 21 Abs. 2 lit. d); die Lieferanten-Triage zeigt, wie die aussehen.
Mahmoud Qaddoura, Inhaber HADBA e.K., Hamburg
(Handelsregister Amtsgericht Hamburg, HRA 130169).
Herkunft Finanzsektor: Cyber-Risiko und IT-Governance, mit Regelwerken wie DORA, BAIT, MaRisk, NIS2 und ISO 27001.
Jede Regel in den Werkzeugen nennt den Artikel, aus dem sie folgt. Wie die Werkzeuge rechnen, steht unter
Methodik; was sie nicht können, unter Grenzen.
Mehr über Otatel
Häufige Fragen
Ist das Rechtsberatung?
Nein. Die Werkzeuge bilden den veröffentlichten Rechtstext ab, nicht seine behördliche oder gerichtliche Auslegung. Jedes Ergebnis nennt die Punkte, an denen ein Mensch entscheiden muss. Mehr unter Grenzen & Haftung.
Womit beginne ich – NIS2 oder CRA?
NIS2 fragt, ob Ihr Unternehmen als Einrichtung Pflichten hat – nach Sektor und Größe. Der CRA fragt, ob ein Produkt mit digitalen Elementen, das Sie herstellen, einführen oder vertreiben, Anforderungen erfüllen muss. Viele Hersteller betrifft beides; dann machen Sie beide Prüfungen: NIS2-Betroffenheit prüfen · CRA-Anwendbarkeit prüfen.
Was passiert mit meinen Angaben?
Bei den Betroffenheits- und Vorprüfungen: nichts – sie werden berechnet, angezeigt und nicht gespeichert. Beim optionalen Komponenten-Scan im CRA-Werkzeug gehen Paketnamen und Versionen an OSV.dev und die gefundenen Schwachstellen-Kennungen an FIRST.org (auf Wunsch auch an die NVD); das steht dort noch einmal, bevor Sie eine Datei hochladen. Buchen Sie einen Termin, speichern wir Name, E-Mail-Adresse und Thema zur Organisation des Gesprächs (Datenschutz, Terminbuchung). Mehr unter Datenschutz.
Warum ist das kostenlos?
Die Prüfungen sind der öffentliche Teil der Arbeit der HADBA e.K. Sie bleiben kostenlos, ohne Konto und ohne Speicherung. Wenn Sie danach Unterstützung wollen: Ergebnis besprechen – Sie müssen aber nicht.
Kann ich das Ergebnis der Geschäftsführung vorlegen?
Ja, dafür ist der Vermerk gedacht: Ergebnis, Begründung in Prüfreihenfolge, Fundstellen, Fristen, offene Punkte. Er ersetzt keine Rechtsprüfung, gibt ihr aber eine Grundlage.
Was, wenn das Ergebnis „nicht betroffen“ lautet?
Dann prüfen Sie es besonders sorgfältig. Ein falsches „nicht betroffen“ wiegt schwerer als ein falsches „betroffen“, weil es Pflichten übersieht; das Werkzeug listet deshalb bei jedem Nein die Punkte, die Sie gegenprüfen sollten.
Wie aktuell sind die Regeln?
Jedes Ergebnis nennt die Version des Regelwerks, mit dem es berechnet wurde – zum Beispiel „scope-check-1.0.0“. Das Beispiel auf dieser Seite ist ein echter Lauf dieser Regeln; ein Test hält es mit dem Regelwerk gleich. Grundlage und Fundstelle jeder Regel stehen unter Methodik.
Gilt das auch für Österreich oder die Schweiz?
Die NIS2-Prüfung ordnet nach der Richtlinie (EU) 2022/2555 ein und zeigt zusätzlich die deutsche Einordnung nach dem BSIG. Andere Mitgliedstaaten wie Österreich haben eigene Umsetzungsgesetze; deren Abweichungen bildet die Prüfung nicht ab. Der CRA ist eine Verordnung und gilt in allen EU-Mitgliedstaaten unmittelbar – auch für Hersteller außerhalb der EU, etwa in der Schweiz, sobald ihre Produkte in der EU auf dem Markt bereitgestellt werden.
Welche Fassung ist verbindlich?
Bei NIS2 die nationale Umsetzung – in Deutschland das BSIG – und die Praxis des BSI. Der CRA ist eine Verordnung und gilt unmittelbar; verbindlich ist die Auslegung der Marktüberwachung und der notifizierten Stellen.
Wie kann ich mein Ergebnis besprechen?
Zwei Wege: Termin buchen (30 Minuten, Microsoft Teams) oder eine E-Mail an kontakt@hadba.net schreiben. Sie bekommen eine persönliche Antwort.
Ergebnis in der Hand – und jetzt?
Legen Sie den Vermerk ab. Wenn Sie ihn mit jemandem durchgehen wollen, der die Regeln
kennt: Termin buchen (30 Minuten, Microsoft Teams) oder per E-Mail – ohne Angebot und ohne Nachfassen.
