Dieser Selbsttest hilft Ihnen, in wenigen Minuten einzuordnen, ob Ihr Unternehmen unter die NIS2-Pflichten fällt. Er ersetzt keine rechtliche Prüfung, gibt Ihnen aber eine klare Richtung. Arbeiten Sie die Fragen der Reihe nach ab.
Hintergründe zu Pflichten, Fristen und Strafen finden Sie im ausführlichen Beitrag NIS2 einfach erklärt.
Der Ablauf im Überblick
Die fünf Fragen laufen auf drei Entscheidungen hinaus: Größe, Sektor und Einstufung. Die Grafik zeigt den Weg vorab. Die einzelnen Fragen darunter erläutern jeden Schritt und die Sonderfälle.
Frage 1 – Größe
Hat Ihr Unternehmen 50 oder mehr Beschäftigte oder einen Jahresumsatz und eine Bilanzsumme von jeweils über 10 Mio. Euro?
- Nein: Sie sind sehr wahrscheinlich nicht direkt betroffen. Springen Sie zu Frage 5.
- Ja: weiter mit Frage 2.
Frage 2 – Sektor
Fällt Ihre Haupt- oder eine wesentliche Nebentätigkeit in einen dieser Bereiche?
| Hohe Kritikalität (Anhang I) | Sonstige kritische Sektoren (Anhang II) |
|---|---|
| Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trink-/Abwasser, digitale Infrastruktur, verwaltete IKT-Dienste (B2B), öffentliche Verwaltung, Weltraum | Post-/Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinen-, Fahrzeugbau), digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung |
- Nein, keiner davon: Direkte Betroffenheit unwahrscheinlich. Weiter mit Frage 5.
- Ja, Anhang I: weiter mit Frage 3.
- Ja, Anhang II: weiter mit Frage 4.
Frage 3 – Einstufung bei Anhang I
Haben Sie 250 oder mehr Beschäftigte oder über 50 Mio. Euro Jahresumsatz?
- Ja: Sie sind voraussichtlich eine wesentliche Einrichtung – die strengere Kategorie mit proaktiver Aufsicht.
- Nein (mittleres Unternehmen): Sie sind voraussichtlich eine wichtige Einrichtung.
Frage 4 – Einstufung bei Anhang II
Mittlere und große Unternehmen in Anhang-II-Sektoren gelten als wichtige Einrichtung. Kleinstunternehmen und kleine Unternehmen sind ausgenommen – sofern nicht eine der Sonderregelungen greift (Frage 5).
Frage 5 – Sonderfälle und Lieferkette
Auch unabhängig von Größe und Sektor kann NIS2 auf Sie zutreffen oder wirken:
- Sie sind DNS-Diensteanbieter, TLD-Registry, qualifizierter Vertrauensdiensteanbieter oder alleiniger Anbieter eines kritischen Dienstes – dann meist unabhängig von der Größe betroffen.
- Sie sind Teil der öffentlichen Verwaltung – je nach nationaler Ausgestaltung erfasst.
- Ihre Kunden sind betroffen und verlangen vertraglich Sicherheitsnachweise – dann treffen Sie die Anforderungen mittelbar über die Lieferkette, auch als kleines Unternehmen.
Ihr Ergebnis – und der nächste Schritt
| Ergebnis | Empfehlung |
|---|---|
| Wesentliche oder wichtige Einrichtung | Gap-Analyse gegen die zehn Anforderungsbereiche starten, Governance aufsetzen, Meldeprozess definieren. Realistischer Vorlauf: 3–9 Monate. |
| Nur mittelbar (Lieferkette) | Die konkreten Kundenanforderungen sichten und die geforderten Nachweise gezielt aufbauen – oft ein Teilset der vollen Pflichten. |
| Nicht betroffen | Keine Pflicht – die zehn Maßnahmenbereiche sind trotzdem eine gute Grundlage für solide IT-Sicherheit. |
Typische Konstellationen
Fünf fiktive, aber typische Betriebe helfen bei der Einordnung. Die Beispiele sind eine Orientierung, keine verbindliche Einstufung.
| Betrieb | Größe | Sektor | Voraussichtliche Einstufung |
|---|---|---|---|
| Maschinenbau-Zulieferer | 120 Beschäftigte, 28 Mio. € Umsatz | verarbeitendes Gewerbe (Anhang II) | wichtige Einrichtung |
| Spedition | 300 Beschäftigte, 60 Mio. € Umsatz | Verkehr (Anhang I) | wesentliche Einrichtung |
| Lebensmittelhersteller | 60 Beschäftigte, 12 Mio. € Umsatz | Lebensmittel (Anhang II) | wichtige Einrichtung |
| Arztpraxis | 8 Beschäftigte | Gesundheitswesen (Anhang I) | wegen der Größe meist nicht direkt betroffen |
| IT-Dienstleister | 30 Beschäftigte | verwaltete IKT-Dienste (Anhang I) | wegen der Größe meist nicht direkt, aber Lieferkettenanforderungen der Kunden |
Vier Missverständnisse zu NIS2
- „Wir sind klein, das betrifft uns nicht.“ Direkt vielleicht nicht, mittelbar aber oft: Betroffene Kunden geben ihre Anforderungen an Zulieferer weiter.
- „Das ist ein IT-Thema.“ NIS2 nimmt die Geschäftsleitung ausdrücklich in die Pflicht. Die Verantwortung lässt sich nicht an die IT-Abteilung delegieren.
- „Mit Firewall und Virenschutz sind wir durch.“ Technik ist nur ein Teil. Verlangt werden auch Prozesse, Schulungen, Notfallplanung und Nachweise.
- „Wir warten, bis das Gesetz da ist.“ Ein realistischer Umsetzungspfad dauert drei bis neun Monate. Wer erst bei Inkrafttreten beginnt, verliert diesen Vorlauf.
Die zehn Maßnahmenbereiche: Ihre Standortbestimmung
Egal, wie das Ergebnis lautet: Die zehn Bereiche sind ein guter Maßstab für den Ist-Stand Ihrer IT-Sicherheit. Stellen Sie sich zu jedem Bereich die Frage in der mittleren Spalte:
| Bereich | Frage zur Selbstprüfung | Typischer Nachweis |
|---|---|---|
| Risikoanalyse | Kennen wir unsere wichtigsten Risiken und haben sie schriftlich bewertet? | Risikoregister, Sicherheitskonzept |
| Vorfallbewältigung | Wissen alle, was bei einem Sicherheitsvorfall zu tun ist und wer entscheidet? | Notfallplan, geübter Ablauf |
| Business Continuity | Können wir nach einem Ausfall in der geplanten Zeit wieder arbeiten? | Getestetes Backup, Wiederanlaufplan |
| Lieferkette | Kennen wir die Sicherheit unserer wichtigsten Dienstleister und Softwareanbieter? | Lieferantenliste, vertragliche Anforderungen |
| Beschaffung und Wartung | Werden Schwachstellen erkannt und Systeme zeitnah gepatcht? | Patch-Berichte, Schwachstellen-Übersicht |
| Wirksamkeitsprüfung | Prüfen wir regelmäßig, ob die Maßnahmen wirken? | Auditberichte, Testprotokolle |
| Cyberhygiene und Schulung | Sind Mitarbeitende und Führung geschult? | Schulungsnachweise |
| Kryptografie | Sind sensible Daten und Übertragungen verschlüsselt? | Verschlüsselungskonzept |
| Personal, Zugriff, Assets | Wissen wir, welche Geräte und Konten es gibt und wer worauf zugreift? | Asset-Liste, Berechtigungskonzept |
| MFA und sichere Kommunikation | Ist Mehrfaktor-Anmeldung überall aktiv, auch für Administratoren? | Konfigurationsnachweis, Richtlinie |
Fragen an Ihren IT-Dienstleister
Wenn Sie oder Ihre Kunden unter NIS2 fallen, wird der IT-Dienstleister Teil Ihrer Lieferkette. Diese Fragen sollten Sie ihm stellen, am besten schriftlich:
- Wie und in welcher Frist informiert er Sie über Sicherheitsvorfälle, die Ihre Daten betreffen könnten?
- Wie werden Zugriffe auf Ihre Systeme verwaltet und protokolliert, und gilt für Administratorkonten Mehrfaktor-Anmeldung?
- Wie sind Backups gesichert, und wann wurde die Wiederherstellung zuletzt getestet?
- Setzt er Unterauftragnehmer ein, und wie stellt er deren Sicherheit sicher?
- Welche Nachweise kann er Ihnen liefern, etwa Richtlinien, Schulungsnachweise oder Prüfberichte?
Gute Dienstleister beantworten diese Fragen ohne Zögern. Zögern ist selbst eine Information.
Wenn es ernst wird: die Meldekette
Für wesentliche und wichtige Einrichtungen gilt bei erheblichen Sicherheitsvorfällen eine gestaffelte Meldepflicht. Die Frist beginnt mit dem Erkennen des Vorfalls, deshalb sollten Zuständigkeiten vorher geklärt sein.
Was im Ernstfall in welcher Reihenfolge zu tun ist, beschreibt der Ransomware-Notfallplan.
Was Sie in 30 Tagen anstoßen können
Auch ohne Gewissheit über die Betroffenheit lohnen sich diese Schritte. Sie sind die Grundlage für jede Umsetzung:
| Maßnahme | Aufwand | Nutzen |
|---|---|---|
| Verantwortlichkeit in der Geschäftsleitung klären | gering | NIS2 macht Cybersicherheit zur Chefsache, ein Name fehlt oft |
| Asset-Liste anlegen (Geräte, Server, Cloud-Dienste, Konten) | mittel | ohne Überblick keine Risikoanalyse |
| Mehrfaktor-Anmeldung für alle Konten aktivieren | gering bis mittel | schließt die häufigste Einfallstür |
| Wiederherstellung eines Backups testen | gering | macht aus einer Annahme eine Gewissheit |
| Notfallkontakte zusammenstellen, auch ausgedruckt | gering | beschleunigt die ersten Stunden im Ernstfall |
| Wichtigste Dienstleister und Software auflisten | gering | Basis für die Lieferkettenbewertung |
| Kurze Schulung für die Geschäftsleitung | gering | Schulung der Leitungsorgane wird gefordert |
Häufige Fragen
Gilt NIS2 auch für Kleinunternehmen?
Kleinstunternehmen und kleine Unternehmen sind grundsätzlich ausgenommen, mit Ausnahmen für besonders kritische Anbieter. Mittelbar betrifft NIS2 aber auch kleine Betriebe, wenn Kunden Sicherheitsnachweise verlangen.
Wann gelten die Pflichten in Österreich?
Die Pflichten gelten, sobald das nationale Gesetz in Kraft ist. Wer jetzt beginnt, nutzt den Vorlauf: Ein realistischer Umsetzungspfad dauert je nach Ausgangslage drei bis neun Monate. Den aktuellen Stand des Gesetzes prüfen wir mit Ihnen im Readiness-Check.
Was kostet die Umsetzung von NIS2?
Das hängt von Ausgangslage, Größe und Sektor ab. Am Anfang steht eine Gap-Analyse, die zeigt, was fehlt und was schon erfüllt ist. Erst danach lässt sich der Aufwand seriös einschätzen.
Reicht Microsoft 365 Business Premium für NIS2?
Premium liefert viele technische Bausteine wie Mehrfaktor-Anmeldung, bedingten Zugriff und Endpoint-Schutz. NIS2 verlangt zusätzlich Prozesse, Meldewege und Governance. Die Details stehen im Lizenz-Guide.
Haftet die Geschäftsführung persönlich?
NIS2 nimmt die Leitungsorgane ausdrücklich in die Pflicht: Sie müssen Maßnahmen genehmigen, die Umsetzung überwachen und sich schulen lassen. Bei Versäumnissen kann eine persönliche Haftung folgen. Die konkrete Ausgestaltung regelt das nationale Gesetz.
Brauche ich eine ISO-27001-Zertifizierung?
NIS2 schreibt keine bestimmte Zertifizierung vor. Ein Managementsystem nach ISO 27001 kann aber als Rahmen dienen und viele Nachweise liefern. Ob sich das für Sie lohnt, hängt von Größe und Kundenanforderungen ab.
Dieser Selbsttest ist eine Orientierung und keine Rechtsberatung. Die verbindliche Einstufung sollten Sie mit dem finalen nationalen Gesetzestext und rechtlicher Begleitung vornehmen.
NIS2-Readiness-Check
Wir klären Ihre Betroffenheit verbindlich, machen die Gap-Analyse und legen einen priorisierten Maßnahmenplan vor – damit Sie den Vorlauf nutzen, statt in die Frist zu laufen.
Readiness-Check anfragen