Complass – Navigate compliance Complass – Navigate compliance
Sprache DE
Deutsch English Français Italiano Español Nederlands Polski Português
Kostenlos testen

NIS2, CRA und Co.: Ist Ihr Unternehmen betroffen?

Eine erste Einschätzung zu NIS2 (§ 28 BSIG), KRITIS, dem Cyber Resilience Act und der Maschinenverordnung sowie zu ISO 27001, IEC 62443 und TISAX als freiwilligen Nachweisen. Für alle Branchen, mit besonderer Tiefe für Industrie und OT. Ohne Anmeldung, in wenigen Minuten.

Unternehmen

Alle Fragen sind freiwillig; unbeantwortete Fragen werten wir als „Weiß nicht“. Angenommene Rahmenbedingung: entgeltliche Tätigkeit.

1. Wo ist Ihr Unternehmen niedergelassen?

NIS2 setzt EU-Recht national um; dieser Check bewertet die deutsche Umsetzung (BSIG). Der Cyber Resilience Act und die Maschinenverordnung gelten EU-weit unmittelbar.

2. Branche

Nur zur Einordnung und für unverbindliche Hinweise unten; für die Rechtsfolgen zählt Frage 3.

Tätigkeit

3. Genaue Tätigkeit nach NIS2 (Anlage 1/2 BSIG)

Wählen Sie die Tätigkeit, die am besten passt. Die Gruppen entsprechen den Sektoren der Anlagen 1 und 2 BSIG.

Entscheidend ist, was Ihr Unternehmen tatsächlich tut, nicht die Branche. Tätigkeiten, die nur einen vernachlässigbaren Teil Ihres Geschäfts ausmachen, bleiben außen vor (§ 28 Abs. 3 BSIG). Passt keine, wählen Sie „Keine davon“.

Größe

Gemeint ist Ihr Unternehmen als rechtliche Einheit, zum Beispiel die GmbH, mit allen Standorten zusammen, nicht ein einzelner Standort. Ob Zahlen einer Unternehmensgruppe mitzählen, fragen wir im nächsten Schritt. Maßgeblich ist der letzte Jahresabschluss.

4. Mitarbeitende

Vollzeitkräfte zählen 1, Teilzeit- und Saisonkräfte anteilig. Nicht mitgezählt werden Auszubildende sowie Beschäftigte in Mutterschutz oder Elternzeit. Beispiel: 40 Vollzeit- und 20 Halbtagskräfte ergeben 50.

5. Jahresumsatz

Umsatz ohne Umsatzsteuer laut Gewinn- und Verlustrechnung.

6. Bilanzsumme

Die Summe der Aktivseite Ihrer Bilanz. Sie steht im Jahresabschluss oder kommt von Ihrer Steuerberatung.

Ab 50 Mitarbeitenden gilt Ihr Unternehmen als mittleres Unternehmen. Das gilt auch, wenn Umsatz und Bilanzsumme beide über 10 Mio. € liegen. Sind Sie unsicher, wählen Sie „Weiß nicht“, das Ergebnis zeigt dann, was zu prüfen ist.

Unternehmensgruppe

7. Unternehmensgruppe

Eine Gruppe liegt vor, wenn ein anderes Unternehmen mindestens 25 % an Ihrem Unternehmen hält, zum Beispiel eine Konzernmutter, oder Ihr Unternehmen mindestens 25 % an einem anderen. Ist Ihre IT von der Gruppe unabhängig, zählen nur Ihre eigenen Zahlen (§ 28 Abs. 4 BSIG).

So zählen Beteiligungen und gemeinsame IT
  • Mehr als 50 % oder beherrschender Einfluss (verbundenes Unternehmen): Die Zahlen zählen voll mit. Das gilt für die Konzernmutter, Ihre Töchter und die Schwestergesellschaften unter derselben Mutter.
  • 25 bis 50 % (Partnerunternehmen): Die Zahlen zählen anteilig, in Höhe der Beteiligung.
  • Unter 25 %: zählt nicht, Sie gelten als eigenständig. Beteiligungen von Wagniskapitalgebern, Business Angels oder Hochschulen bis 50 % zählen unter Umständen ebenfalls nicht.
  • IT unabhängig heißt rechtlich, wirtschaftlich und tatsächlich getrennt: eigene Systeme und Netze, eigener IT-Betrieb oder ein eigener Dienstleister, eigene Entscheidungen über die Sicherheit.
  • Gemeinsame IT sind zum Beispiel ein Konzern-Rechenzentrum, ein gemeinsames Netz oder eine gemeinsame Anmeldung (Active Directory) oder eine zentrale IT-Abteilung der Mutter.

Beispiel: Die Konzernmutter hält 100 % an Ihrer GmbH, Ihre IT läuft aber vollständig getrennt. Dann zählen nur Ihre eigenen Zahlen. Die Unabhängigkeit sollten Sie belegen können. Im Zweifel wählen Sie „IT gemeinsam“.

Nur ausfüllen, wenn Sie „Teil einer Gruppe, IT gemeinsam“ gewählt haben. Dann zählen die Zahlen der Gruppe: alle verbundenen Unternehmen zusammen, einschließlich Ihres eigenen, bei Beteiligungen zwischen 25 und 50 % anteilig. Fragen Sie im Zweifel Ihre Konzernbuchhaltung.

Mitarbeitende der Gruppe
Jahresumsatz der Gruppe
Bilanzsumme der Gruppe

Besondere Tätigkeiten

8. Betreiben Sie eine kritische Anlage (KRITIS)?

Kritische Anlagen versorgen in der Regel mindestens 500.000 Menschen, zum Beispiel große Kraftwerke, Wasserwerke oder Krankenhäuser ab einer bestimmten Fallzahl. Die Schwellenwerte stehen in der BSI-Kritisverordnung. Betreiber wissen das meist, weil sie beim BSI registriert sind.

9. Sonderfälle (optional, Mehrfachauswahl)

Diese Tätigkeiten fallen unabhängig von der Größe unter NIS2: elektronische Signaturen, Siegel oder Zeitstempel (Vertrauensdienste), DNS-Dienste oder eine Top-Level-Domain, öffentliche Telekommunikationsnetze oder -dienste. Für Banken, Versicherungen und andere Finanzunternehmen gilt vorrangig DORA.

Produkte und Maschinen

10. Produkte mit digitalen Elementen

Gemeint sind Hard- und Software, die sich mit einem Gerät oder Netz verbinden lässt, zum Beispiel Steuerungen, vernetzte Geräte, Apps oder Firmware. Wer ein Produkt unter eigenem Namen verkauft, gilt als Hersteller, auch wenn ein anderer es gebaut hat.

11. Maschinen

Wesentlich verändert ist eine Maschine, wenn durch Umbau neue Gefahren entstehen, die der Hersteller nicht vorgesehen hatte. Wer das tut, gilt selbst als Hersteller. Das gilt auch für Maschinen, die Sie für den eigenen Betrieb bauen.

Freiwillige Nachweise

12. Kundenanforderungen (optional, Mehrfachauswahl)

Wählen Sie, was Kunden in Verträgen, Anfragen oder Lieferantenaudits von Ihnen verlangen. TISAX fordert vor allem die Automobilindustrie. Auch wenn NIS2 oder der CRA für Sie nicht direkt gelten, geben betroffene Kunden ihre Pflichten oft vertraglich an Zulieferer und Dienstleister weiter.

13. Künstliche Intelligenz

Schon die Nutzung von KI-Tools wie ChatGPT oder Copilot im Unternehmen bringt Pflichten mit sich, etwa zur KI-Kompetenz der Beschäftigten. Wer KI-Systeme entwickelt oder unter eigenem Namen vertreibt, hat deutlich mehr Pflichten.

Was bedeuten die Regelwerke?

NIS2 (umgesetzt im BSI-Gesetz) verpflichtet Betreiber bestimmter Sektoren ab einer Mindestgröße zu Risikomanagement, Registrierung und Meldungen. Mehr zu NIS2

KRITIS (KRITIS-Dachgesetz) betrifft Betreiber kritischer Anlagen unabhängig von der Größe und verlangt Resilienzmaßnahmen. Mehr zum KRITIS-Dachgesetz

Cyber Resilience Act verlangt von Herstellern, Einführern und Händlern von Produkten mit digitalen Elementen Cybersicherheit über den gesamten Lebenszyklus, EU-weit. Mehr zum CRA

Maschinenverordnung ergänzt die CE-Kennzeichnung von Maschinen um Cybersicherheitsanforderungen an Steuerungen, EU-weit. Mehr zur Maschinenverordnung

ISO 27001, IEC 62443 und TISAX sind keine gesetzlichen Pflichten, aber oft von Kunden oder Verträgen verlangte Nachweise. Mehr zu ISO 27001 · Mehr zu IEC 62443

Unverbindliche Ersteinschätzung, keine Rechtsberatung. Das Ergebnis beruht ausschließlich auf Ihren Angaben und standardisierten Regeln; es ersetzt weder die eigene Prüfung noch die Selbst-Identifizierung gegenüber den Behörden. Regeldatei 2026.10.3, Stand 2026-10-10.
Datenschutz: Die DSGVO trifft auf nahezu jedes Unternehmen zu, das personenbezogene Daten verarbeitet. Sie ist nicht Teil dieses Checks. Mit dem Modul DSGVO setzen Sie den Datenschutz in Complass nachweisbar um. Mehr zur DSGVO

Häufige Fragen zum Betroffenheitscheck

Ist das Ergebnis rechtsverbindlich?

Nein. Es ist eine unverbindliche Ersteinschätzung auf Basis Ihrer Angaben und standardisierter Regeln, keine Rechtsberatung.

Werden meine Angaben gespeichert?

Nein. Die Auswertung geschieht nur im Arbeitsspeicher und wird nirgends gespeichert oder protokolliert, außer Sie senden das Ergebnis ausdrücklich mit einer Demo-Anfrage.

Woher stammen die Schwellenwerte?

Aus § 28 BSIG, der BSI-Kritisverordnung, dem Cyber Resilience Act und der Maschinenverordnung; Fundstellen stehen bei jedem Ergebnis.

Was heißt „Prüfung offen“?

Mit Ihren Angaben lässt sich die Frage noch nicht abschließend beantworten; eine fehlende Angabe führt nie automatisch zu „nicht betroffen“.

Mein Unternehmen ist nicht in Deutschland niedergelassen. Gilt der Check trotzdem?

Der Cyber Resilience Act und die Maschinenverordnung gelten als EU-Verordnungen unmittelbar in allen Mitgliedstaaten (Maschinenverordnung ab 20.01.2027). Für NIS2 setzt jeder Mitgliedstaat die Richtlinie national um; dieser Check bewertet nur die deutsche Umsetzung (BSIG) und zeigt dafür „Prüfung offen“.

Was ist mit der DSGVO?

Die DSGVO trifft auf nahezu jedes Unternehmen zu, das personenbezogene Daten verarbeitet. Sie ist nicht Teil dieses Checks. Mit dem Modul DSGVO setzen Sie den Datenschutz in Complass nachweisbar um.

Gilt die KI-Verordnung für uns?

Wer KI im Unternehmen einsetzt, muss Maßnahmen ergreifen, um die KI-Kompetenz der Beschäftigten zu fördern (Art. 4 KI-VO, in der Fassung seit 27.07.2026). Ein bestimmtes Niveau oder Zertifikat ist nicht vorgeschrieben, die Maßnahmen sollten Sie aber belegen können. Weitere Pflichten hängen vom Einsatzzweck ab und gelten gestaffelt; bitte prüfen Sie den aktuellen Stand.

Kann ich das Ergebnis speichern oder drucken?

Ja, über die Druckfunktion Ihres Browsers; es gibt keinen serverseitigen PDF-Export.

Was mache ich mit dem Ergebnis?

Sie finden je Regelwerk erste Schritte und am Ende einen passenden Paketvorschlag; eine Demo zeigt Ihnen Complass an Ihrem Beispiel.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.

Kostenlos testen Demo anfragen