NIS2- Betroffenheitstest nach § 28 BSIG
- RechtsgrundlageBSIG seit 06.12.2025
- Dauerrund 2 Minuten
- ErgebnisEinstufung und Plan
Der Test ordnet Ihr Unternehmen nach der Systematik des BSIG ein: besonders wichtige Einrichtung, wichtige Einrichtung, größenunabhängig erfasst oder unterhalb der Schwelle. Dazu kommen ein Reifegrad über fünf Dimensionen, der rechnerische Bußgeldrahmen nach § 65 BSIG und ein Maßnahmenplan. Alle Einstufungsregeln stehen weiter unten auf dieser Seite.
In welchem Sektor sind Sie tätig?
Das BSIG knüpft an die Sektoren der Anlagen 1 und 2 an. Wenn Ihre Tätigkeit nicht dabei ist, wählen Sie „Keiner davon“. Für Einrichtungen der Bundesverwaltung gilt § 29 BSIG mit eigenen Regeln.
Anlage 1: Sektoren hoher Kritikalität
Anlage 2: sonstige kritische Sektoren
Hier erscheint die Auswertung
Aus Ihren Antworten ergeben sich drei Dinge: wie Sie nach § 28 BSIG einzuordnen sind, welcher Bußgeldrahmen dazu gehört und welche Lücke Sie zuerst schließen sollten.
- •Einstufung: besonders wichtige Einrichtung, wichtige Einrichtung, größenunabhängig erfasst oder unterhalb der Schwelle
- •Reifegrad über fünf Dimensionen, damit das schwächste Glied sichtbar wird
- •Rechnerischer Bußgeldrahmen nach § 65 BSIG auf Basis Ihrer Umsatzangabe
- •Maßnahmenplan für 2 Wochen, 30 Tage und 90 Tage
Alle Einstufungsregeln offen auf der Seite
Keine Blackbox. Die sechs Regeln unten erzeugen das Ergebnis, jede mit dem Paragrafen des BSIG, auf den sie sich stützt.
1. Anlage 1 und große Unternehmensgröße
Sektor der Anlage 1 + groß (ab 250 Beschäftigte oder über 50 Mio. EUR Umsatz und über 43 Mio. EUR Bilanzsumme) → besonders wichtige Einrichtung
Anlage 1 umfasst Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur, die Verwaltung von IKT-Diensten sowie Weltraum. Betreiber kritischer Anlagen zählen ebenfalls zu den besonders wichtigen Einrichtungen.
Quelle: § 28 Abs. 1 BSIG
2. Anlage 2 und mittlere Größe
Sektor der Anlage 1 oder 2 + ab 50 Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR → wichtige Einrichtung
Anlage 2 umfasst Post- und Kurierdienste, Abfallbewirtschaftung, chemische Stoffe, Lebensmittel, das verarbeitende Gewerbe, Anbieter digitaler Dienste und die Forschung. Ein mittelgroßes Unternehmen aus Anlage 1 ist ebenfalls wichtige, nicht besonders wichtige Einrichtung.
Quelle: § 28 Abs. 2 BSIG
3. Größenunabhängige Erfassung
Qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Dienstanbieter, Betreiber kritischer Anlagen → erfasst ohne Schwelle
Für diese Tätigkeiten gilt keine Größenschwelle. Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze werden über eine eigene, niedrigere Schwelle eingeordnet. Einrichtungen der Bundesverwaltung regelt § 29 BSIG gesondert.
Quelle: § 28 Abs. 1 BSIG
4. Pflichtenkatalog
Zehn Pflichtbereiche, Stand der Technik, verhältnismäßig zu Größe und Gefährdungslage
Risikoanalyse, Vorfallsbewältigung, Business Continuity, Lieferkette, sichere Entwicklung und Wartung, Schwachstellenmanagement, Wirksamkeitsbewertung, Schulung, Kryptografie sowie Personalsicherheit und Zugriffskontrolle. Für Betreiber kritischer Anlagen kommen Systeme zur Angriffserkennung hinzu.
Quelle: § 30 BSIG, für kritische Anlagen zusätzlich § 31 BSIG
5. Meldefristen
24 Stunden frühe Erstmeldung · 72 Stunden Meldung mit erster Bewertung · ein Monat Abschlussmeldung
Ausgelöst wird die Kette durch einen erheblichen Sicherheitsvorfall. Die Erstmeldung nennt insbesondere, ob rechtswidrige Handlungen in Betracht kommen und ob grenzüberschreitende Auswirkungen möglich sind. Bei noch laufenden Vorfällen tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung.
Quelle: § 32 BSIG
6. Bußgeldrahmen
Besonders wichtig: bis 10 Mio. EUR oder bis 2 % des weltweiten Gesamtumsatzes · wichtig: bis 7 Mio. EUR oder bis 1,4 %
Der Test rechnet die umsatzbezogene Variante mit Ihrer Angabe hoch und zeigt den höheren der beiden Werte. Welcher Rahmen im Einzelfall greift, hängt vom konkreten Tatbestand ab. Zur Bußgeldpraxis der Behörden liegen uns keine belastbaren öffentlichen Zahlen vor.
Quelle: § 65 BSIG
Was das Ergebnis bedeutet
Besonders wichtige Einrichtung
Das BSI führt hier die proaktive Aufsicht nach § 61 BSIG und kann Prüfungen anordnen. Es gelten der volle Pflichtenkatalog aus § 30 BSIG, die Meldekette aus § 32 BSIG und der obere Bußgeldrahmen. Sinnvoller nächster Schritt ist eine Gap-Analyse mit belastbarer Lückenliste.
Wichtige Einrichtung
Die Aufsicht erfolgt anlassbezogen nach § 62 BSIG, meist nach Beschwerde oder Vorfall. Pflichten und Fristen sind dieselben, nur der Verhältnismäßigkeitsmaßstab und der Bußgeldrahmen unterscheiden sich. Die Lücken lassen sich in Teilprojekten von vier bis acht Wochen schließen.
Unterhalb der Schwelle
Keine unmittelbare Pflicht. Über die Lieferkette kommen die Anforderungen dennoch an, weil § 30 BSIG betroffene Auftraggeber zur Steuerung ihrer Dienstleister verpflichtet. Ein vorbereitetes Sicherheitsprofil beantwortet die üblichen Fragebögen.
Unklares Ergebnis
Manche Tätigkeiten lassen sich nicht ohne Prüfung einer Anlage zuordnen, etwa digitale Dienste oder Forschung. Auch die Berechnung im Konzern verschiebt das Ergebnis häufig. In diesen Fällen ist eine juristische Prüfung der richtige nächste Schritt, nicht ein weiterer Selbsttest.
Was dieser Test nicht leistet
Er ersetzt keine Rechtsberatung und keine amtliche Feststellung. Das BSI stellt unter dem Namen NIS-2-Betroffenheitsprüfung eine eigene Prüfhilfe bereit, die Sie ergänzend nutzen sollten. Unser Beitrag beginnt danach: Gap-Analyse gegen § 30 BSIG, Umsetzung der Maßnahmen, Meldeprozess und Dokumentation.
Fragen zum NIS2-Betroffenheitstest
Er ordnet Ihr Unternehmen in wenigen Minuten grob ein: besonders wichtige Einrichtung, wichtige Einrichtung, größenunabhängig betroffen oder unterhalb der Schwelle. Dazu bekommen Sie einen Reifegrad über fünf Dimensionen und einen Maßnahmenplan für 2 Wochen, 30 Tage und 90 Tage. Die Logik folgt der Systematik von § 28 BSIG und den Anlagen 1 und 2. Eine rechtsverbindliche Einstufung ist das nicht. Das BSI stellt unter dem Namen NIS-2-Betroffenheitsprüfung eine eigene amtliche Prüfhilfe bereit, die Sie ergänzend nutzen sollten.
Danach am häufigsten gefragt
Wer die Einstufung kennt, braucht als Nächstes die Umsetzung.
NIS2-Checkliste für IT-Leiter
Die Pflichten aus § 30 BSIG als Arbeitsliste, mit Meldekette, Registrierung und 17 Schritten in sinnvoller Reihenfolge.
MegnézemNIS2-Compliance
Gap-Audit zum Festpreis, Umsetzung der Maßnahmen, Meldeprozess, Dokumentation für die Geschäftsleitung.
MegnézemEU AI Act Hochrisiko-Checkliste
Wenn Sie neben NIS2 auch KI-Systeme betreiben: Pflichten und Fristen nach dem AI Omnibus.
MegnézemSoftwareentwicklung Energiewirtschaft
Energieversorger stehen in Anlage 1. Wie wir NIS2-Anforderungen direkt in Fachanwendungen einbauen.
MegnézemDSGVO-konformer KI-Chatbot mit EU-Hosting
Wenn ein Vorfall zwei Meldewege auslöst: Datenschutz und BSIG in einem Betriebskonzept.
Megnézem
Direkt sprechen
Das BSIG gilt seit dem 06.12.2025, die Registrierungsfrist nach § 33 BSIG ist nach Angabe des BSI abgelaufen. Ein 30-minütiges Gespräch klärt Ihre Einstufung, den Zuschnitt eines Gap-Audits und die Reihenfolge der nächsten sechs Monate. Telefon +36 30 098 0767, E-Mail balint@appforge.hu.
Büro Budapest: Szabadság tér 7., 1054 Budapest (Bank Center), 2. Stock, Büro 217. Montag bis Freitag 9:00 bis 18:00 Uhr nach Vereinbarung.Gap-Audit statt weiterer Selbsteinschätzung
Der Test gibt die Richtung. Die belastbare Lückenliste gegen § 30 BSIG entsteht im Gap-Audit: 4 bis 6 Wochen, Festpreis, mit Roadmap und Budget.