Praxisorientierte Einordnung zu NIS2-Betroffenheitsprüfung: Kriterien, Schwellenwerte und nächste Schritte: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für NIS2 aufbauen.
Ob ein Unternehmen unter das deutsche NIS2-Regime fällt, lässt sich nicht zuverlässig aus Branche oder Beschäftigtenzahl allein ableiten. § 28 des seit Dezember 2025 geltenden BSI-Gesetzes verbindet konkrete Einrichtungsarten mit Größenkriterien und Sonderregeln. Hinzu kommen Konzernzurechnung, mögliche Nebentätigkeiten, sektorspezifische Ausnahmen und privilegierte Kategorien, die unabhängig von allgemeinen Schwellen betroffen sein können.
Eine belastbare Betroffenheitsprüfung ist deshalb eine dokumentierte Rechts- und Tatsachenanalyse. Sie betrachtet jede juristische Einheit, ihre tatsächlich angebotenen Waren und Dienstleistungen, die Zuordnung zu den Anlagen 1 und 2 sowie die maßgeblichen Unternehmensdaten. Das Ergebnis muss auch Monate später noch erklären, warum die Organisation als besonders wichtige, wichtige oder nicht erfasste Einrichtung behandelt wurde.
Die Prüfung immer auf Ebene der konkreten Einrichtung beginnen
Ausgangspunkt ist die natürliche oder juristische Person beziehungsweise die gesetzlich erfasste Organisationseinheit, die anderen entgeltlich Waren oder Dienstleistungen anbietet. Eine Konzernmarke oder gemeinsame IT-Landschaft ist nicht automatisch die rechtliche Einrichtung. Jede Gesellschaft erhält daher zunächst ein eigenes Prüfblatt.
Das Blatt enthält Rechtsform, Sitz, Beteiligungsverhältnisse, Leistungsangebot, Kunden, Beschäftigtenzahl, Umsatz und Bilanzsumme. Gemeinsame Systeme und Abhängigkeiten werden ergänzend erfasst, weil sie für Konzernzurechnung und spätere Sicherheitsmaßnahmen relevant sind. Die regulatorische Einordnung und der technische Scope bleiben trotzdem unterscheidbar.
Schritt eins: Einrichtungsart statt allgemeiner Branche bestimmen
Die Anlagen des BSIG nennen Sektor, Branche und konkrete Einrichtungsart. Entscheidend ist die letzte Ebene. Ein Unternehmen im Gesundheitsumfeld ist nicht allein wegen seiner Kunden ein Erbringer von Gesundheitsdienstleistungen. Ein Softwareanbieter wird nicht automatisch zum Anbieter verwalteter Dienste, nur weil seine Anwendung Administration ermöglicht.
Die Analyse beschreibt, welche konkrete Leistung das Unternehmen selbst erbringt und welche gesetzliche Definition darauf passt. Verträge, Leistungsbeschreibungen, Produktunterlagen und tatsächlicher Betrieb liefern Evidenz. Wirtschaftszweigcodes sind Hinweise, ersetzen aber nicht die Subsumtion unter den Gesetzestext.
Anlage 1 und Anlage 2 getrennt auswerten
Anlage 1 umfasst Sektoren mit hoher Kritikalität, darunter Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Je nach Größe kann eine erfasste Einrichtung besonders wichtig oder wichtig sein.
Anlage 2 nennt weitere kritische Sektoren, beispielsweise Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, bestimmte Herstellung, Anbieter digitaler Dienste und Forschung. Einrichtungen aus Anlage 2 werden bei Erfüllung der mittleren Schwelle grundsätzlich wichtige Einrichtungen. Die konkrete Definition in Spalte D bleibt in beiden Anlagen maßgeblich.
Die große Schwelle für Anlage-1-Einrichtungen
Sonstige Einrichtungen aus Anlage 1 gelten nach § 28 Absatz 1 Nummer 4 als besonders wichtig, wenn sie mindestens 250 Mitarbeiter beschäftigen oder zugleich einen Jahresumsatz von mehr als 50 Millionen Euro und eine Jahresbilanzsumme von mehr als 43 Millionen Euro aufweisen. Beim finanziellen Pfad müssen Umsatz und Bilanzgrenze gemeinsam erfüllt sein.
Die Schwelle wird mit verifizierten Daten des maßgeblichen Geschäftsjahres berechnet. Durchschnittliche Beschäftigtenzahlen, Teilzeitanteile und verbundene Unternehmen sind nach den anzuwendenden Regeln zu behandeln. Eine gerundete Angabe aus der Unternehmenswebsite genügt nicht für eine belastbare Entscheidung.
Die mittlere Schwelle für Anlagen 1 und 2
Eine sonstige Einrichtung aus Anlage 1 oder 2 gilt nach § 28 Absatz 2 Nummer 3 als wichtig, wenn sie mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro aufweist. Auch hier ist beim finanziellen Pfad die Kombination beider Werte erforderlich.
Die Alternativen sind präzise zu lesen: Bereits die Beschäftigtenschwelle kann genügen. Liegt sie darunter, müssen für den finanziellen Pfad Umsatz und Bilanzsumme über der Grenze liegen. Unternehmen sollten Berechnung und Quellen dokumentieren, insbesondere wenn Werte knapp um die Schwelle schwanken.
Sonderkategorien ohne allgemeine Größenlogik
Betreiber kritischer Anlagen sind als besonders wichtige Einrichtungen erfasst. Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter gehören ebenfalls zu dieser Kategorie. Vertrauensdiensteanbieter fallen als wichtige Einrichtungen unter eine eigene Regelung, soweit sie nicht bereits besonders wichtig sind.
Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze enthält § 28 eigene Schwellen und Kategorien. Diese Fälle dürfen nicht durch das allgemeine Anlagen-Schema beurteilt werden. Eine Prüflogik startet deshalb mit privilegierten Einrichtungsarten, bevor sie die normalen Größenpfade verwendet.
Betreiber kritischer Anlagen gesondert identifizieren
Die Eigenschaft als Betreiber einer kritischen Anlage folgt aus den einschlägigen gesetzlichen Definitionen und Schwellenwerten. Sie ist keine bloße Einschätzung, dass ein Betrieb gesellschaftlich wichtig sei. Ein Unternehmen kann NIS2-reguliert sein, ohne Betreiber einer kritischen Anlage zu sein; umgekehrt führt die Betreiberstellung zur besonders wichtigen Einrichtung.
Die Prüfung betrachtet Anlage, Versorgungsleistung, Sektor und maßgeblichen Schwellenwert. Übergangsbestimmungen im BSIG und das Zusammenspiel mit dem KRITIS-Dachgesetz werden in der jeweils geltenden Fassung berücksichtigt. Die Entscheidung wird getrennt von der allgemeinen Größenprüfung festgehalten.
Die Empfehlung 2003/361/EG für Unternehmensdaten anwenden
§ 28 Absatz 4 verweist bei Mitarbeiteranzahl, Umsatz und Bilanzsumme grundsätzlich auf die EU-Empfehlung zur Definition von Kleinstunternehmen sowie kleinen und mittleren Unternehmen. Dadurch können Daten von Partner- und verbundenen Unternehmen relevant werden. Eine isolierte Betrachtung der deutschen Tochter ist daher nicht immer richtig.
Finanzen, Legal und Beteiligungsmanagement sollten Beteiligungsquoten, Kontrolle und Datenbasis gemeinsam prüfen. Mitarbeiter und Finanzwerte werden nach den vorgegebenen Regeln zugerechnet. Das Arbeitsblatt zeigt Rohdaten, Zurechnungsfaktor, Quelle und Ergebnis, damit die Schwellenentscheidung reproduzierbar bleibt.
Die Unabhängigkeitsklausel im BSIG prüfen
Das deutsche Gesetz enthält eine wichtige Besonderheit: Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung rechtlicher, wirtschaftlicher und tatsächlicher Umstände mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig ist.
Diese Ausnahme verlangt eine Tatsachenanalyse. Gemeinsame Identitätsplattform, Netzbetrieb, Security Operations, ERP, Administratoren oder Cloudverträge können gegen technische Unabhängigkeit sprechen. Eine bloße rechtliche Selbstständigkeit reicht nicht. Die Begründung dokumentiert Systeme, Betriebsverantwortung, Dienstleister und Entscheidungsrechte.
Vernachlässigbare Geschäftstätigkeiten richtig behandeln
Nach § 28 Absatz 3 können Geschäftstätigkeiten bei der Zuordnung zu einer Einrichtungsart unberücksichtigt bleiben, wenn sie im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Das ist keine pauschale Kleinmengenregel und sollte nicht allein über Umsatzanteil entschieden werden.
Die Analyse betrachtet Umfang, strategische Bedeutung, Kunden, Personal, Systeme und mögliche Auswirkungen. Eine kleine Tätigkeit kann technisch stark mit dem Hauptgeschäft verbunden oder für bestimmte Kunden wesentlich sein. Kriterien und Ergebnis werden schriftlich begründet; Änderungen am Leistungsportfolio lösen eine neue Bewertung aus.
Entgeltlichkeit der angebotenen Leistung untersuchen
Für die allgemeinen Kategorien verlangt § 28, dass Waren oder Dienstleistungen anderen natürlichen oder juristischen Personen entgeltlich angeboten werden. Konzerninterne Leistungen, Umlagen, verbundene Vertragsmodelle oder kombinierte Produkte können die Einordnung erschweren. Die wirtschaftliche und vertragliche Realität ist entscheidend.
Legal und Finance prüfen Leistungsbeziehungen, Rechnungsstellung und Gegenleistung. Eine vermeintlich kostenlose digitale Leistung kann Teil eines entgeltlichen Gesamtprodukts sein. Das Ergebnis wird nicht aus Marketingbegriffen, sondern aus dem tatsächlichen Geschäftsmodell abgeleitet. Interne Verrechnungspreise und Umlagen werden dabei ausdrücklich berücksichtigt.
Mehrere Tätigkeiten einer Gesellschaft zusammenführen
Eine Gesellschaft kann mehreren Einrichtungsarten angehören. Ein Hersteller betreibt möglicherweise zusätzlich einen Managed Service oder einen Online-Marktplatz. Die Prüfung enthält daher eine Tätigkeitsmatrix mit zugehöriger Anlage, Größenpfad und möglicher Ausnahme. Der strengste zutreffende Status wird auf Einrichtungsebene festgehalten.
Für die Umsetzung bleibt erkennbar, welche Dienste die Betroffenheit auslösen. Das unterstützt Scope, Risikoanalyse und Aufsichtskommunikation. Weitere Tätigkeiten dürfen nicht vorschnell ausgeschlossen werden, weil das BSIG die für die Diensterbringung genutzten informationstechnischen Systeme, Komponenten und Prozesse adressiert.
Konzerne nicht mit einer einzigen Ja-Nein-Antwort bewerten
In Unternehmensgruppen entsteht eine Matrix aus Gesellschaften und Tätigkeiten. Jede juristische Einheit wird separat geprüft; anschließend werden Größenzurechnung, gemeinsame IT und konzernweite Dienste bewertet. Ein Ergebnis für die Muttergesellschaft lässt sich nicht automatisch auf alle Töchter übertragen.
Die spätere Umsetzung kann zentral erfolgen, wenn Verantwortlichkeiten und Nachweise je betroffener Einrichtung erhalten bleiben. Ein zentraler SOC oder ein gemeinsames ISMS ist effizient, ersetzt aber nicht die Registrierung und Leitungspflicht der jeweiligen Rechtseinheit. Servicevereinbarungen machen die konzerninterne Leistung transparent.
Ausnahmen für Telekommunikation und Energie präzise anwenden
§ 28 Absatz 5 nimmt bestimmte Telekommunikations- und Energieeinrichtungen wegen sektorspezifischer Regelungen von ausgewählten BSIG-Pflichten aus. Die Ausnahme ist kein vollständiges Herausfallen aus jeder NIS2-bezogenen Verpflichtung. Sie gilt nur im gesetzlich beschriebenen Umfang.
Betreibt dieselbe Einrichtung weitere kritische Anlagen oder ist sie aufgrund anderer Tätigkeiten einer Anlage zuzuordnen, können die BSIG-Regeln für diese Bereiche weiter gelten. Eine Matrix vergleicht Pflicht, Tätigkeit und Systemscope. So werden Doppelregulierung und Sicherheitslücken gleichermaßen vermieden.
DORA-betroffene Finanzunternehmen abgrenzen
Für Finanzunternehmen ist DORA als sektorspezifischer Unionsrechtsakt zentral. Das Zusammenspiel mit NIS2 und nationalem Recht muss anhand der konkreten Einrichtung und Pflicht bewertet werden. Eine DORA-Einordnung ist kein Grund, die NIS2-Betroffenheitsprüfung vollständig zu überspringen.
Die Organisation dokumentiert, welche Registrierung und Aufsicht bestehen und welche Sicherheits- oder Meldepflicht durch DORA verdrängt beziehungsweise konkretisiert wird. Gemeinsame Kontrollen werden in einem Managementsystem betrieben. Rechtliche Zuständigkeiten und Empfänger von Meldungen bleiben dennoch eindeutig. Änderungen der Geschäftstätigkeit lösen eine erneute Abgrenzung aus.
Öffentliche Verwaltung und besondere Organisationseinheiten
§ 29 BSIG regelt Einrichtungen der Bundesverwaltung gesondert. Dazu gehören Bundesbehörden, öffentlich-rechtlich organisierte IT-Dienstleister und bestimmte weitere Körperschaften, Anstalten und Stiftungen auf Bundesebene. Für sie gelten grundsätzlich Regeln besonders wichtiger Einrichtungen mit gesetzlich genannten Abweichungen.
Kommunale oder landesbezogene Einrichtungen benötigen eine Prüfung der jeweiligen Regelungen. Rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft werden in § 28 besonders berücksichtigt. Private Unternehmen sollten öffentliche Auftraggeber nicht mit eigener regulatorischer Betroffenheit verwechseln, aber vertragliche Sicherheitsanforderungen einplanen.
Stichtage und Datenquellen festlegen
Beschäftigten-, Umsatz- und Bilanzdaten können sich verändern. Die Organisation definiert, welche abgeschlossenen Geschäftsjahre und konsolidierten Informationen verwendet wurden. Quellen sind testierte Abschlüsse, HR-Auswertungen und Beteiligungsregister. Abweichende Definitionen zwischen Systemen werden aufgelöst.
Ein jährlicher Review sowie anlassbezogene Neubewertungen verhindern veraltete Ergebnisse. Trigger sind Zukauf, Verkauf, Verschmelzung, starkes Wachstum, neue Tätigkeit oder Veränderung der IT-Unabhängigkeit. Die Governance besitzt einen Eigentümer, der diese Ereignisse aus Finance und Corporate Development erhält. Jede Neubewertung ersetzt nachvollziehbar die vorherige Entscheidungsversion.
Evidenz für die Einrichtungsart sammeln
Die Zuordnung wird mit konkreten Unterlagen belegt: Verträge, AGB, Servicekatalog, Produktbeschreibung, Kundenliste, Genehmigungen, Systemarchitektur und interne Prozessverantwortung. Ein Branchenklassifikationscode dient nur als ergänzender Hinweis. Gerade bei digitalen Diensten ist die tatsächliche Betriebsleistung entscheidend.
Das Dossier zitiert die relevante Definition und erklärt, welche Merkmale erfüllt oder nicht erfüllt sind. Gegenargumente und Grenzfälle werden sichtbar. Bei hoher Unsicherheit wird externe rechtliche Expertise oder eine zuständige Stelle einbezogen. Die Entscheidung erhält Reviewdatum und Freigabe.
Ein prüfbares Entscheidungsschema verwenden
Das Schema startet mit privilegierten Kategorien und kritischen Anlagen. Danach folgen entgeltliche Leistung, Zuordnung zu Anlage 1 oder 2, vernachlässigbare Tätigkeiten und Größenwerte. Anschließend werden Konzernzurechnung, Unabhängigkeit und sektorspezifische Ausnahmen geprüft. Erst dann entsteht der endgültige Status.
Jeder Knoten verweist auf Tatsachen und Rechtsgrundlage. Automatisierte Online-Checks können eine erste Orientierung geben, ersetzen dieses Dossier aber nicht. Besonders bei Konzernen, Mischgeschäften und Grenzwerten ist eine nachvollziehbare manuelle Prüfung erforderlich. Offene Annahmen werden mit Verantwortlichem und Klärungstermin versehen.
Ergebnis „besonders wichtige Einrichtung“
Das Unternehmen dokumentiert auslösende Einrichtungsart und Schwelle, prüft Registrierung und richtet die Pflichten nach §§ 30 bis 38 ein. Die Geschäftsleitung übernimmt Umsetzung und Überwachung. Aufsichtsmaßnahmen können bei besonders wichtigen Einrichtungen proaktiver und intensiver ausfallen als bei wichtigen Einrichtungen.
Falls zugleich eine kritische Anlage betrieben wird, kommen besondere Anforderungen und Nachweispflichten hinzu. Der Umsetzungsplan trennt allgemeine NIS2-Pflichten von KRITIS-spezifischen Nachweisen. Kontaktstelle und Meldung werden praktisch getestet. Die strengere Aufsichtsperspektive wird im Prüfprogramm berücksichtigt.
Ergebnis „wichtige Einrichtung“
Auch wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen umsetzen, Vorfälle melden, sich registrieren und Geschäftsleitungspflichten erfüllen. „Wichtig“ bedeutet nicht freiwillig oder deutlich weniger sicher. Der Unterschied liegt insbesondere in Kategorisierung und Aufsichtsansatz.
Die Organisation priorisiert nach tatsächlichem Risiko und Größe. Bestehende ISO-27001- oder IT-Grundschutz-Strukturen können genutzt werden, wenn der Scope passt und Wirksamkeit nachgewiesen wird. Offene Lücken erhalten einen verbindlichen Behandlungsplan. Die Geschäftsleitung überwacht dessen Umsetzung anhand aussagekräftiger Kennzahlen.
Ergebnis „aktuell nicht betroffen“
Ein negatives Ergebnis wird ebenso sorgfältig dokumentiert. Es nennt nicht passende Einrichtungsarten, unterschrittene Schwellen, mögliche Zurechnung und verwendete Daten. Ein pauschaler Satz „unter 250 Mitarbeiter“ ist unzureichend, weil bereits die mittlere Schwelle oder Sonderkategorien relevant sein können.
Das Unternehmen legt Reviewtrigger und einen nächsten Termin fest. Vertragspartner können unabhängig vom Gesetz NIS2-nahe Anforderungen weitergeben. Außerdem bleiben Datenschutz, allgemeine Sorgfalt, Cyber Resilience Act oder branchenspezifische Vorgaben möglicherweise anwendbar. Sicherheitsinvestitionen werden deshalb nicht allein vom Regulierungsergebnis abhängig gemacht.
Registrierung nach positivem Ergebnis
Seit dem 6. Dezember 2025 gelten die Registrierungs- und Meldepflichten des Umsetzungsgesetzes. Das BSI weist darauf hin, dass die NIS2-Registrierung über das neue BSI-Portal erfolgt. Stammdaten, Einrichtungsart und Kontaktinformationen werden vor Eingabe verifiziert.
Mindestens zwei berechtigte Personen und ein überwachtes Funktionspostfach stellen Dauerbetrieb sicher. Änderungen werden kontrolliert nachgemeldet. Das Registrierungsprotokoll und die intern freigegebenen Daten bilden einen Nachweis, dürfen aber nicht mit der Umsetzung der Sicherheitsmaßnahmen verwechselt werden. Der Portalzugang wird regelmäßig auf Funktionsfähigkeit geprüft.
Nach der Einordnung sofort handlungsfähig werden
Eine positive Betroffenheit führt unmittelbar zu Programmauftrag, Geschäftsleitungseinbindung, Scope, Risiko- und Gap-Analyse. Meldekette und Erheblichkeitsentscheidung werden früh aufgebaut, weil Vorfälle nicht auf den Abschluss eines mehrmonatigen Programms warten. Kritische privilegierte Zugänge, exponierte Systeme und Wiederherstellung erhalten Sofortprüfung.
Das Management genehmigt Ressourcen und entscheidet über akute Restrisiken. Ein Kontrollregister ordnet die Anforderungen des § 30 zu vorhandenen und fehlenden Maßnahmen. Fortschritt wird anhand wirksamer Kontrollen gemessen, nicht anhand der Anzahl erstellter Dokumente.
Beispiel: Hersteller mit 180 Beschäftigten
Ein Hersteller produziert eine in Anlage 2 genannte Warenkategorie. Mit 180 Beschäftigten überschreitet er die mittlere Beschäftigtenschwelle, unabhängig davon, ob Umsatz und Bilanzsumme jeweils über 10 Millionen Euro liegen. Sofern die konkrete Einrichtungsdefinition erfüllt ist und keine Ausnahme greift, ist er als wichtige Einrichtung einzuordnen.
Die Prüfung belegt Produktkategorie, entgeltliches Angebot, Mitarbeiterberechnung und Gesellschaftsstruktur. Eine kleine interne IT-Abteilung ändert den Status nicht. Der anschließende Scope beginnt bei Produktion, Auftragsabwicklung, Lieferkette und den dafür genutzten Systemen.
Beispiel: deutsche Tochter eines internationalen Konzerns
Die Tochter beschäftigt 35 Personen und liegt isoliert unter den finanziellen Schwellen. Sie nutzt jedoch konzernweit betriebene Identitäts-, ERP- und Sicherheitsplattformen und wird von der Mutter kontrolliert. Die Prüfung untersucht daher die Zurechnung nach der EU-Empfehlung und die spezielle Unabhängigkeitsklausel des BSIG.
Weil zentrale IT-Systeme und Prozesse eng verbunden sind, kann eine bloße Behauptung technischer Unabhängigkeit nicht tragen. Die Gruppe dokumentiert Daten, Kontrollverhältnisse und Betriebsmodell. Das Ergebnis wird für die Tochter separat beschlossen, während Sicherheitsmaßnahmen konzernweit erbracht werden können.
Beispiel: Nebenleistung als Managed Service
Ein Softwareunternehmen bietet einigen Kunden zusätzlich laufende Fernadministration an. Es prüft, ob diese Leistung die Definition eines Managed Service Providers erfüllt und ob sie im Verhältnis zum Gesamtgeschäft vernachlässigbar ist. Umsatzanteil, Personal, technische Plattform und Kundenabhängigkeit werden gemeinsam bewertet.
Ist die Tätigkeit nicht vernachlässigbar und die mittlere Schwelle erreicht, kann sie die Einordnung auslösen. Unabhängig vom Ergebnis sollte der privilegierte Fernzugriff wegen seines Risikos streng kontrolliert werden. Neue Serviceverträge dienen als Trigger für eine erneute Prüfung.
Typische Fehler in Betroffenheitsprüfungen
Häufig wird nur die Beschäftigtenzahl geprüft, Anlage 1 mit besonders wichtig gleichgesetzt oder ein gesamter Konzern pauschal bewertet. Weitere Fehler sind die ungeprüfte Übernahme eines NACE-Codes, unvollständige Finanzwerte und eine behauptete DORA- oder Energieausnahme ohne Pflichtvergleich.
Auch ein Online-Tool ohne gespeicherte Eingaben ist zu schwach. Ein gutes Dossier legt Tatsachen, Rechtsgrundlage, Annahmen und Unsicherheit offen. Es lässt sich bei Wachstum oder Gesetzesänderung effizient aktualisieren und ist für Geschäftsleitung sowie Aufsicht verständlich.
Fazit: Betroffenheit ist eine nachvollziehbare Unternehmensentscheidung
Die NIS2-Betroffenheitsprüfung folgt einer klaren Reihenfolge: Einrichtung, Tätigkeit, Anlage, Sonderkategorie, Größe, Konzernzurechnung und Ausnahme. Jede Stufe benötigt belastbare Daten. Nur so entsteht ein Ergebnis, das Registrierung und Investitionen rechtfertigt oder eine negative Entscheidung überzeugend trägt.
BlackMount unterstützt bei der NIS2-Betroffenheitsprüfung für Einzelunternehmen und Konzerne. Das Ergebnis umfasst Gesellschafts- und Tätigkeitsmatrix, Schwellenberechnung, begründete Kategorie, offene Rechtsfragen, Reviewtrigger und konkrete nächste Schritte für Registrierung sowie Umsetzung. Damit wird aus einer Vermutung eine belastbare Managemententscheidung.
