NIS2-Check / KMU-Ausnahme
Gilt NIS2 auch für kleine Unternehmen?
Die kurze Antwort: unterhalb von 50 Beschäftigten meistens nicht, aber es gibt Ausnahmen von der Ausnahme, und über die Lieferkette kommen die Anforderungen trotzdem an.
NIS2 folgt einer Größenregel. Erfasst sind grundsätzlich mittlere und große Unternehmen in den Sektoren der Anlagen 1 und 2. Kleine Unternehmen und Kleinstunternehmen bleiben im Grundsatz außen vor. Konkret heißt das nach § 28 BSIG: Betroffenheit entsteht ab 50 Beschäftigten oder wenn Jahresumsatz und Bilanzsumme zugleich mehr als 10 Millionen Euro betragen.
Die Rechnung, die am häufigsten falsch gemacht wird
Die beiden Finanzkennzahlen sind mit Und verknüpft. Ein Handelsunternehmen mit 20 Beschäftigten, 25 Millionen Euro Umsatz und 4 Millionen Euro Bilanzsumme bleibt unterhalb der Schwelle, weil die Bilanzsumme die Grenze nicht überschreitet. Umgekehrt genügt die Beschäftigtenzahl allein: Wer 50 Vollzeitäquivalente erreicht, ist erfasst, unabhängig von Umsatz und Bilanz.
Ausnahmen von der Ausnahme
Bestimmte Rollen sind unabhängig von der Größe erfasst. Dazu gehören Betreiber Kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter, Anbieter öffentlicher Telekommunikationsnetze und -dienste sowie Einrichtungen der Bundesverwaltung. Ein Fünf-Personen-Unternehmen, das DNS-Dienste anbietet, ist deshalb besonders wichtige Einrichtung. Das ist kein Randfall, sondern der Punkt, an dem kleine Anbieter im IT-Umfeld am häufigsten überrascht werden.
Was auch ohne Betroffenheit ankommt
Betroffene Kunden müssen die Sicherheit ihrer Lieferkette steuern. Sie geben ihre Anforderungen vertraglich weiter, an Dienstleister, Zulieferer und Softwareanbieter jeder Größe. Ein Betrieb mit 15 Personen kann also formal nicht betroffen sein und trotzdem einen Sicherheitsfragebogen ausfüllen müssen, um Lieferant zu bleiben.
Wachstum ändert die Lage
Die Einstufung ist kein Dauerzustand. Eine Übernahme, ein Personalaufbau oder eine neue Dienstleistung kann die Schwelle überschreiten. Sinnvoll ist eine jährliche Wiederholung der Prüfung, dokumentiert mit Datum.
Prüfen Sie es in unter einer Minute
Der kostenlose NIS2-Check rechnet die Schwellen korrekt, fragt die größenunabhängigen Sonderrollen ausdrücklich ab und liefert ein Ergebnis mit Paragrafenbezug.
Häufige Fragen
Sind Unternehmen unter 50 Mitarbeitenden immer ausgenommen?
Nein. Wenn Umsatz und Bilanzsumme zugleich über 10 Millionen Euro liegen oder eine größenunabhängige Sonderrolle zutrifft, entsteht die Betroffenheit trotzdem.
Zählen Konzernschwestern zusammen?
Die Größenberechnung folgt der EU-Definition der Unternehmensgröße, die verbundene und Partnerunternehmen berücksichtigt. Bei Konzernstrukturen sollte das rechtlich geprüft werden.
Müssen nicht betroffene Firmen etwas tun?
Gesetzlich nicht. Praktisch verlangen betroffene Kunden häufig Nachweise, weil sie ihre Lieferkette steuern müssen.
Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.
Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.
Betroffenheit prüfenKeine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.