Bin ich von NIS2 betroffen? Selbsttest für KMU.

Als grobe Orientierung gilt: NIS2 erfasst Unternehmen in einem der 18 regulierten Sektoren grundsätzlich ab rund 50 Mitarbeitenden oder über 10 Mio. EUR Jahresumsatz. Besonders wichtige Einrichtungen beginnen bei rund 250 Mitarbeitenden oder über 50 Mio. EUR. In Deutschland sind nach Größenordnung rund 29.500 Unternehmen betroffen. Wichtig: Diese Schwellen sind nur ein erster Anhaltspunkt. Das ersetzt keine Rechtsberatung; die Betroffenheit ist ein Einzelfall und hängt von Sektor, Tätigkeit und Größe ab.

NIS2 nennt 18 regulierte Sektoren , von Energie, Wasser, Gesundheit, Transport und Finanzen bis zu IT, digitalen Diensten, Lebensmitteln, Abfall und verarbeitendem Gewerbe. Ob Ihr Betrieb darunterfällt, hängt nicht nur am Namen des Sektors, sondern an Ihrer konkreten Tätigkeit und Ihrer Rolle in der Lieferkette. Diese Seite gibt eine erste Orientierung und ersetzt keine Rechtsberatung; die Einordnung im Einzelfall klären Sie mit fachkundiger Beratung.

Deutscher Referenzrahmen: Das deutsche NIS2-Umsetzungsgesetz ist rund Dezember 2025 in Kraft getreten, und zwar ohne Übergangsfrist. Die Registrierungspflicht beim BSI griff früh: Die Registrierungsfrist lief ca. Anfang März 2026 ab. Zusätzlich gilt eine Meldepflicht mit einer Erstmeldung binnen 24 Stunden nach einem erheblichen Sicherheitsvorfall. Konkrete Fristen für Ihren Fall klären Sie mit fachkundiger Beratung, diese Seite ersetzt keine Rechtsberatung.

Deutscher Referenzrahmen: NIS2 verlangt zehn verbindliche Risikomanagement-Maßnahmenbereiche, eine Registrierung beim BSI, die Meldepflicht (Erstmeldung binnen 24 Stunden), eine Schulungspflicht für die Geschäftsführung und sieht eine persönliche Haftung der Geschäftsführung vor. Bußgelder können bis 10 Mio. EUR oder 2 % des Jahresumsatzes reichen. TULPAR deckt davon den technischen Teil ab, das Identifizieren und nachvollziehbare Dokumentieren von Schwachstellen, und ersetzt weder die organisatorischen Maßnahmen noch Rechtsberatung.

Deutscher Referenzrahmen: Nein. TULPAR macht niemanden konform und ist keine Zertifizierung und keine Rechtsberatung. TULPAR deckt den technischen Teil ab: Es prüft Ihr eigenes Netzwerk auf Schwachstellen und liefert dokumentierte technische Evidenz, die in Ihr NIS2-Risikomanagement einfließen kann. NIS2-Konformität umfasst aber auch organisatorische Pflichten wie Registrierung, Meldewege, Schulung und Governance. Diese Seite und TULPAR erleichtern den technischen Nachweis, ersetzen jedoch keine rechtliche Einordnung Ihrer Betroffenheit.

Jeder technische Scan braucht einen abgestimmten Umfang. Nur lesen bedeutet keine pauschale Risikofreiheit: Last, verwendete Protokolle und empfindliche Geräte sind vorab zu berücksichtigen. Aktive Tests erfolgen ausschließlich nach ausdrücklicher Freigabe; ein Abbruchweg wird vereinbart.

Für den Einsatz in Österreich vereinbaren wir zuerst Systeme, Prüfungsgrenzen, Zugänge, Betriebsfenster und die Behandlung der Ergebnisse. Nur ausdrücklich freigegebene Systeme werden geprüft. Verfügbarkeit, Offline-Betrieb und Datenwege sind vor Beauftragung zu bestätigen.

Ja. Unabhängig von der NIS2-Frage trifft Cyberrisiken sind anhand des konkreten Betriebs zu bewerten. Ein durchschnittlicher Schaden im Mittelstand liegt bei ca. 200.000 bis 500.000 EUR. Ein erster technischer Check zeigt Ihnen im Klartext, wo Sie angreifbar sind , und liefert Evidenz, die später in NIS2-Risikomanagement, einen BSI-Einstiegscheck oder einen Cyberversicherungsantrag einfließen kann. Die rechtliche Betroffenheit bleibt davon getrennt und ist ein Einzelfall.