Diese Seite beschreibt, wie jedes Werkzeug zu seinem Ergebnis kommt. Sie ist Teil des Ergebnisses: Wer eine Bewertung in eine Akte legt, soll nachvollziehen können, welche Regel aus welchem Artikel sie erzeugt hat. Die Werkzeuge sind voneinander getrennt; es gibt keine gemeinsame Bewertungslogik und keinen übergreifenden „Score“.

Grundsätze für alle Werkzeuge

• Quelle ist der veröffentlichte Rechtstext. Jede Regel verweist auf Artikel, Absatz und – wo einschlägig – Anhang oder Erwägungsgrund des jeweiligen Rechtsakts.
• Deterministisch. Dieselben Eingaben führen immer zum selben Ergebnis. Es kommen keine Sprachmodelle und keine statistischen Schätzungen zum Einsatz.
• Stärkstes Ergebnis gewinnt, alle Gründe bleiben sichtbar. Treffen mehrere Regeln zu, wird das weitreichendste Ergebnis ausgegeben und jede beitragende Regel mit ihrer Fundstelle aufgeführt.
• Vorprüfung. Die Ergebnisse ersetzen weder Rechtsberatung noch die Entscheidung der zuständigen Behörde. Siehe Grenzen & Haftung.

NIS2 – Betroffenheit und Einstufung

Rechtsgrundlage: Richtlinie (EU) 2022/2555, insbesondere Art. 2 (Anwendungsbereich), Art. 3 (wesentliche und wichtige Einrichtungen), Anhang I und II (Sektoren) sowie die Empfehlung 2003/361/EG (Unternehmensgröße).

Eingaben

• Tätigkeit in der Union, Sektor (Anhang I / Anhang II), Beschäftigte, Jahresumsatz, Bilanzsumme.
• Größenunabhängige Auslöser (z. B. qualifizierter Vertrauensdiensteanbieter, TLD-Registry, DNS-Diensteanbieter, öffentliche elektronische Kommunikationsnetze, Einrichtung nach der CER-Richtlinie, zentrale/regionale öffentliche Verwaltung, alleiniger Anbieter, erhebliche Auswirkungen, Systemrisiko, nationale Bedeutung).
• Ausschlüsse und Ausnahmen (nationale Sicherheit, Verteidigung, Strafverfolgung, Justiz, Parlamente, Zentralbanken, sektorspezifische Rechtsakte / lex specialis wie DORA, Vertrauensdienste in geschlossenen Systemen, Post, Nuklearwertschöpfungskette).
• Mitgliedstaatliche Wahlrechte, soweit die nationale Umsetzung sie ausübt (z. B. Einbeziehung lokaler Verwaltung, Bildungs- und Forschungseinrichtungen, Fortgeltung für frühere Betreiber wesentlicher Dienste).

Bewertung

1. Größenklasse nach Empfehlung 2003/361/EG (Beschäftigte und Umsatz oder Bilanzsumme).
2. Basisergebnis aus Sektor und Größe: Anhang I und groß → wesentlich; Anhang I und mittel → wichtig; Anhang II und mindestens mittel → wichtig.
3. Größenunabhängige Auslöser nach Art. 3 Abs. 1 Buchst. b–f heben das Ergebnis an.
4. Ausschlüsse und Ausnahmen nach Art. 2 Abs. 7–11 und sektorspezifische Rechtsakte nach Art. 4 werden anschließend als Vorrangregeln angewendet.
5. Ausgabe: Einstufung, Größenklasse, geordnete Begründungskette mit Artikelzitaten, Kennzeichnung mitgliedstaatsabhängiger Punkte, Versionsnummer des Regelwerks.

Nicht angewendet wird die Sonderregel für Unternehmen mit mindestens 25 % öffentlicher Beteiligung (Empfehlung 2003/361/EG Art. 3 Abs. 4). Verbundene und Partnerunternehmen fließen über die konsolidierten Kennzahlen ein, die der Nutzer angibt; das Werkzeug ermittelt keine Konzernstrukturen selbst.

CRA – Betroffenheit, Produkt-Einstufung und Konformitätserklärung

Rechtsgrundlage: Verordnung (EU) 2024/2847, Art. 2 (Anwendungsbereich und Ausschlüsse), Art. 3 (Begriffe), Art. 13, 19, 20, 22, 24 (Pflichten der Wirtschaftsakteure), Art. 14 (Meldepflichten), Art. 7–8 und Art. 32 (Konformitätsbewertung), Art. 69 und 71 (Übergang und Geltung), Anhang I (grundlegende Anforderungen), Anhang III/IV (wichtige und kritische Produkte), Anhang V (EU-Konformitätserklärung), Anhang VII (technische Dokumentation).

Betroffenheitsprüfung

1. Anwendungsbereich (Art. 2 Abs. 1, Art. 3): Produkt mit digitalen Elementen, Datenverbindung, Bereitstellung im Rahmen einer Geschäftstätigkeit. Fehlt eines, ist der CRA nicht anwendbar.
2. Ausschlüsse (Art. 2 Abs. 2–7): Medizinprodukte, Fahrzeuge, Luftfahrt, Schiffsausrüstung, Ersatzteile, nationale Sicherheit – jeder Ausschluss ist entscheidend.
3. Rolle (Art. 3, 13, 19, 20, 24): Hersteller, Einführer, Händler oder Open-Source-Verwalter; eine wesentliche Veränderung oder Eigenmarke macht zum Hersteller (Art. 22).
4. Zeitpunkt (Art. 69, 71): Meldepflichten ab 11. September 2026, alles Übrige ab 11. Dezember 2027; früher in Verkehr gebrachte, unveränderte Produkte nur Meldepflichten.
5. Ausgabe: Ergebnis, Rolle, Pflichtenliste mit Fundstelle und Geltungsdatum, Zeitplan, nächste Schritte – als PDF-Vermerk. Es wird nichts gespeichert.

Eingaben der Einstufung

• Deklarierte Funktionen des Produkts, ausgewählt aus einem Katalog, der die Produktlisten von Anhang III und IV abbildet.
• Für die Konformitätserklärung: Hersteller, Produkt, unterzeichnende Person, angewendete harmonisierte Normen, ggf. notifizierte Stelle.

Bewertung

1. Jede gewählte Funktion trägt die Kategorie ihrer Fundstelle (Standard, wichtig Klasse I, wichtig Klasse II, kritisch).
2. Die höchste getroffene Kategorie bestimmt die Einstufung; die auslösende Funktion und ihre Fundstelle werden ausgewiesen.
3. Aus der Kategorie folgt der Konformitätsbewertungsweg nach Art. 32: Eigenbewertung (Modul A), bedingt zulässige Eigenbewertung bei vollständiger Anwendung harmonisierter Normen, oder verpflichtende Drittbewertung (Modul B+C oder H) bzw. Zertifizierung.
4. Die Konformitätserklärung wird nur als „ausstellbar“ markiert, wenn der Bewertungsweg eine Eigenbewertung erlaubt oder eine notifizierte Stelle angegeben ist und keine bekannten blockierenden Schwachstellen vorliegen; andernfalls bleibt sie ein Entwurf.

Die Einstufung ist eine indikative Zuordnung des veröffentlichten Anhangs-Texts. Ob ein konkretes Produkt unter eine Produktkategorie fällt, ist eine Auslegungsfrage, die das Werkzeug nicht entscheidet.

Was ein belastbarer Nachweis ist

In Prüfungen scheitern Maßnahmen selten daran, dass nichts getan wurde, sondern daran, dass das Getane nicht belegbar ist. Die Werkzeuge halten deshalb vier Zustände auseinander und vermischen sie nicht:

Ein Werkzeug kann die Stufen 1 bis 3 strukturiert abfragen. Stufe 4 verlangt eine fachliche Beurteilung des Inhalts und bleibt Menschen vorbehalten.

Umgang mit Normen

Verweise auf Normen wie ISO/IEC 27001 erfolgen über die Nummer des jeweiligen Elements und eine eigene Beschreibung. Normtexte werden nicht wiedergegeben, weil sie urheberrechtlich geschützt sind. Eine Zuordnungstabelle ist eine Argumentationshilfe, kein Konformitätsnachweis.

Verantwortlich für die Methodik

Mahmoud Qaddoura, Inhaber HADBA e.K..

Stand: 18.09.2026