Complass – Navigate compliance Complass – Navigate compliance
Sprache DE
Deutsch English Français Italiano Español Nederlands Polski Português
Kostenlos testen

NIS2, CRA und Co.: Ist Ihr Unternehmen betroffen?

Eine erste Einschätzung zu NIS2 (§ 28 BSIG), KRITIS, dem Cyber Resilience Act und der Maschinenverordnung sowie zu ISO 27001, IEC 62443 und TISAX als freiwilligen Nachweisen. Für alle Branchen, mit besonderer Tiefe für Industrie und OT. Ohne Anmeldung, in wenigen Minuten.

Unternehmen

Alle Fragen sind freiwillig; unbeantwortete Fragen werten wir als „Weiß nicht“. Angenommene Rahmenbedingung: entgeltliche Tätigkeit.

1. Wo ist Ihr Unternehmen niedergelassen?

NIS2 setzt EU-Recht national um; dieser Check bewertet die deutsche Umsetzung (BSIG). Der Cyber Resilience Act und die Maschinenverordnung gelten in allen EU-Mitgliedstaaten unmittelbar.

2. Branche

Nur zur Einordnung und für unverbindliche Hinweise unten; für die Rechtsfolgen zählt Frage 3.

Tätigkeit

3. Genaue Tätigkeit nach NIS2 (Anlage 1/2 BSIG)

Wählen Sie die Tätigkeit, die am besten passt. Die Gruppen entsprechen den Sektoren der Anlagen 1 und 2 BSIG.

Entscheidend ist, was Ihr Unternehmen tatsächlich tut, nicht die Branche. Tätigkeiten, die nur einen vernachlässigbaren Teil Ihres Geschäfts ausmachen, bleiben außen vor (§ 28 Abs. 3 BSIG). Passt keine, wählen Sie „Keine davon“.

Größe

Gemeint ist Ihr Unternehmen als rechtliche Einheit, zum Beispiel die GmbH, mit allen Standorten zusammen, nicht ein einzelner Standort. Ob Zahlen einer Unternehmensgruppe mitzählen, fragen wir im nächsten Schritt. Maßgeblich ist der letzte Jahresabschluss.

4. Mitarbeitende

Vollzeitkräfte zählen 1, Teilzeit- und Saisonkräfte anteilig. Nicht mitgezählt werden Auszubildende sowie Beschäftigte in Mutterschutz oder Elternzeit. Beispiel: 40 Vollzeit- und 20 Halbtagskräfte ergeben 50.

5. Jahresumsatz

Umsatz ohne Umsatzsteuer laut Gewinn- und Verlustrechnung.

6. Bilanzsumme

Die Summe der Aktivseite Ihrer Bilanz. Sie steht im Jahresabschluss oder kommt von Ihrer Steuerberatung.

Ab 50 Mitarbeitenden gilt Ihr Unternehmen als mittleres Unternehmen. Das gilt auch, wenn Umsatz und Bilanzsumme beide über 10 Mio. € liegen. Sind Sie unsicher, wählen Sie „Weiß nicht“, das Ergebnis zeigt dann, was zu prüfen ist.

Unternehmensgruppe

7. Unternehmensgruppe

Eine Gruppe liegt vor, wenn ein anderes Unternehmen mindestens 25 % an Ihrem Unternehmen hält, zum Beispiel eine Konzernmutter, oder Ihr Unternehmen mindestens 25 % an einem anderen. Ist Ihre IT von der Gruppe unabhängig, zählen nur Ihre eigenen Zahlen (§ 28 Abs. 4 BSIG).

So zählen Beteiligungen und gemeinsame IT
  • Mehr als 50 % oder beherrschender Einfluss (verbundenes Unternehmen): Die Zahlen zählen voll mit. Das gilt für die Konzernmutter, Ihre Töchter und die Schwestergesellschaften unter derselben Mutter.
  • 25 bis 50 % (Partnerunternehmen): Die Zahlen zählen anteilig, in Höhe der Beteiligung.
  • Unter 25 %: zählt nicht, Sie gelten als eigenständig. Beteiligungen von Wagniskapitalgebern, Business Angels oder Hochschulen bis 50 % zählen unter Umständen ebenfalls nicht.
  • IT unabhängig heißt rechtlich, wirtschaftlich und tatsächlich getrennt: eigene Systeme und Netze, eigener IT-Betrieb oder ein eigener Dienstleister, eigene Entscheidungen über die Sicherheit.
  • Gemeinsame IT sind zum Beispiel ein Konzern-Rechenzentrum, ein gemeinsames Netz oder eine gemeinsame Anmeldung (Active Directory) oder eine zentrale IT-Abteilung der Mutter.

Beispiel: Die Konzernmutter hält 100 % an Ihrer GmbH, Ihre IT läuft aber vollständig getrennt. Dann zählen nur Ihre eigenen Zahlen. Die Unabhängigkeit sollten Sie belegen können. Im Zweifel wählen Sie „IT gemeinsam“.

Nur ausfüllen, wenn Sie „Teil einer Gruppe, IT gemeinsam“ gewählt haben. Dann zählen die Zahlen der Gruppe: alle verbundenen Unternehmen zusammen, einschließlich Ihres eigenen, bei Beteiligungen zwischen 25 und 50 % anteilig. Fragen Sie im Zweifel Ihre Konzernbuchhaltung.

Mitarbeitende der Gruppe
Jahresumsatz der Gruppe
Bilanzsumme der Gruppe

Besondere Tätigkeiten

8. Betreiben Sie eine kritische Anlage (KRITIS)?

Kritische Anlagen versorgen in der Regel mindestens 500.000 Menschen, zum Beispiel große Kraftwerke, Wasserwerke oder Krankenhäuser ab einer bestimmten Fallzahl. Die Schwellenwerte stehen in der BSI-Kritisverordnung. Betreiber wissen das meist, weil sie beim BSI registriert sind.

9. Sonderfälle (optional, Mehrfachauswahl)

Diese Tätigkeiten fallen unabhängig von der Größe unter NIS2: elektronische Signaturen, Siegel oder Zeitstempel (Vertrauensdienste), DNS-Dienste oder eine Top-Level-Domain, öffentliche Telekommunikationsnetze oder -dienste. Für Banken, Versicherungen und andere Finanzunternehmen gilt vorrangig DORA.

Produkte und Maschinen

10. Produkte mit digitalen Elementen

Gemeint sind Hard- und Software, die sich mit einem Gerät oder Netz verbinden lässt, zum Beispiel Steuerungen, vernetzte Geräte, Apps oder Firmware. Wer ein Produkt unter eigenem Namen verkauft, gilt als Hersteller, auch wenn ein anderer es gebaut hat.

11. Maschinen

Wesentlich verändert ist eine Maschine, wenn durch Umbau neue Gefahren entstehen, die der Hersteller nicht vorgesehen hatte. Wer das tut, gilt selbst als Hersteller. Das gilt auch für Maschinen, die Sie für den eigenen Betrieb bauen.

Freiwillige Nachweise

12. Kundenanforderungen (optional, Mehrfachauswahl)

Wählen Sie, was Kunden in Verträgen, Anfragen oder Lieferantenaudits von Ihnen verlangen. TISAX fordert vor allem die Automobilindustrie. Auch wenn NIS2 oder der CRA für Sie nicht direkt gelten, geben betroffene Kunden ihre Pflichten oft vertraglich an Zulieferer und Dienstleister weiter.

13. Künstliche Intelligenz

Schon die Nutzung von KI-Tools wie ChatGPT oder Copilot im Unternehmen bringt Pflichten mit sich, etwa zur KI-Kompetenz der Beschäftigten. Wer KI-Systeme entwickelt oder unter eigenem Namen vertreibt, hat deutlich mehr Pflichten.

Was gezählt wird (öffnet in neuem Tab)

Schweiz, Produktsicherheit und Pharma

Diese Fragen betreffen weitere Regelwerke. Überspringen Sie sie, wenn sie für Sie nicht passen; dann bewerten wir diese Regelwerke nicht.

14. Bearbeiten Sie Personendaten von Personen in der Schweiz, oder wirkt sich Ihre Bearbeitung in der Schweiz aus?

Das Schweizer Datenschutzgesetz (DSG) gilt für Sachverhalte, die sich in der Schweiz auswirken, auch wenn sie im Ausland veranlasst werden (Art. 3 Abs. 1 DSG).

15. Bringen Sie Verbraucherprodukte in der EU in Verkehr oder bieten Sie sie online an, auch als Händler, Fulfilment-Dienstleister oder Online-Marktplatz?

Allgemeine Produktsicherheitsverordnung (EU) 2023/988 (GPSR). Verbraucherprodukte sind Produkte, die für Verbraucher bestimmt sind oder von ihnen voraussichtlich benutzt werden.

Ihre Rolle nach der GPSR (Mehrfachauswahl)

Nur ausfüllen, wenn Sie Frage 15 mit „Ja“ oder „Weiß nicht“ beantwortet haben. Fulfilment-Dienstleister übernehmen mindestens zwei von Lagerung, Verpackung, Adressierung und Versand fremder Ware.

16. Pharma, Biotech und Medizinprodukte (Mehrfachauswahl)

Grundlagen: Anhang 11 des EU-GMP-Leitfadens für computergestützte Systeme und 21 CFR Part 11 der FDA für elektronische Aufzeichnungen und Unterschriften.

Was bedeuten die Regelwerke?

NIS2
(umgesetzt im BSI-Gesetz) verpflichtet Betreiber bestimmter Sektoren ab einer Mindestgröße zu Risikomanagement, Registrierung und Meldungen.
Mehr zu NIS2
KRITIS
(KRITIS-Dachgesetz) betrifft Betreiber kritischer Anlagen unabhängig von der Größe und verlangt Resilienzmaßnahmen.
Mehr zum KRITIS-Dachgesetz
Cyber Resilience Act
Verlangt von Herstellern, Einführern und Händlern von Produkten mit digitalen Elementen Cybersicherheit über den gesamten Lebenszyklus, in allen EU-Mitgliedstaaten.
Mehr zum CRA
Maschinenverordnung
Ergänzt die CE-Kennzeichnung von Maschinen um Cybersicherheitsanforderungen an Steuerungen, in allen EU-Mitgliedstaaten.
Mehr zur Maschinenverordnung
ISO 27001, IEC 62443 und TISAX
Sind keine gesetzlichen Pflichten, aber oft von Kunden oder Verträgen verlangte Nachweise.
Mehr zu ISO 27001 · Mehr zu IEC 62443
nDSG, GPSR, EU-GMP Annex 11 und 21 CFR Part 11
Das Schweizer Datenschutzgesetz, die EU-Produktsicherheitsverordnung sowie die GMP- und FDA-Regeln für computergestützte Systeme und elektronische Aufzeichnungen bewertet der Check, wenn Sie die Fragen 14 bis 16 beantworten.
DSGVO
Datenschutz: Die DSGVO trifft auf nahezu jedes Unternehmen zu, das personenbezogene Daten verarbeitet. Sie ist nicht Teil dieses Checks. Mit dem Modul DSGVO setzen Sie den Datenschutz in Complass nachweisbar um.
Mehr zur DSGVO

Unverbindliche Ersteinschätzung, keine Rechtsberatung. Das Ergebnis beruht ausschließlich auf Ihren Angaben und standardisierten Regeln; es ersetzt weder die eigene Prüfung noch die Selbst-Identifizierung gegenüber den Behörden. Regeldatei 2026.11.2, Stand 2026-11-03.

Häufige Fragen zum Betroffenheitscheck

Ist das Ergebnis rechtsverbindlich?

Nein. Es ist eine unverbindliche Ersteinschätzung auf Basis Ihrer Angaben und standardisierter Regeln, keine Rechtsberatung.

Werden meine Angaben gespeichert?

Nicht mit Ihrer Person. Die Auswertung geschieht im Arbeitsspeicher. Wir zählen nur anonym, welche Antwortmöglichkeiten und Ergebnisse gewählt werden, nie wer; das können Sie im Formular abwählen. Ihre Antworten gehen nur dann an uns, wenn Sie das Ergebnis ausdrücklich mit einer Demo-Anfrage senden. Einzelheiten in der Datenschutzerklärung.

Woher stammen die Schwellenwerte?

Aus § 28 BSIG, der BSI-Kritisverordnung, dem Cyber Resilience Act und der Maschinenverordnung; Fundstellen stehen bei jedem Ergebnis.

Reicht das Ergebnis als Grundlage für eine Entscheidung?

Für den Einstieg ja: Sie sehen, welche Regelwerke nach Ihren Angaben wahrscheinlich gelten und warum. Für Budget, Verträge oder Meldungen an Behörden prüfen Sie das Ergebnis anhand Ihrer Unterlagen, bei Grenzfällen mit fachlicher oder rechtlicher Hilfe.

Was heißt „Prüfung offen“?

Mit Ihren Angaben lässt sich die Frage noch nicht abschließend beantworten; eine fehlende Angabe führt nie automatisch zu „nicht betroffen“.

Mein Unternehmen ist nicht in Deutschland niedergelassen. Gilt der Check trotzdem?

Der Cyber Resilience Act und die Maschinenverordnung gelten als EU-Verordnungen unmittelbar in allen Mitgliedstaaten (Maschinenverordnung ab 20.01.2027). Für NIS2 setzt jeder Mitgliedstaat die Richtlinie national um; dieser Check bewertet nur die deutsche Umsetzung (BSIG) und zeigt dafür „Prüfung offen“.

Was ist mit der DSGVO?

Die DSGVO trifft auf nahezu jedes Unternehmen zu, das personenbezogene Daten verarbeitet. Sie ist nicht Teil dieses Checks. Mit dem Modul DSGVO setzen Sie den Datenschutz in Complass nachweisbar um.

Gilt die KI-Verordnung für uns?

Wer KI im Unternehmen einsetzt, muss Maßnahmen ergreifen, um die KI-Kompetenz der Beschäftigten zu fördern (Art. 4 KI-VO, in der Fassung seit 27.07.2026). Ein bestimmtes Niveau oder Zertifikat ist nicht vorgeschrieben, die Maßnahmen sollten Sie aber belegen können. Weitere Pflichten hängen vom Einsatzzweck ab und gelten gestaffelt; bitte prüfen Sie den aktuellen Stand.

Kann ich das Ergebnis speichern oder drucken?

Ja, über die Druckfunktion Ihres Browsers; es gibt keinen serverseitigen PDF-Export.

Was mache ich mit dem Ergebnis?

Sie finden je Regelwerk erste Schritte und am Ende einen passenden Paketvorschlag; eine Demo zeigt Ihnen Complass an Ihrem Beispiel.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.

Kostenlos testen Demo anfragen