Bin ich von NIS2 betroffen? Selbsttest für KMU.

Als grobe Orientierung gilt: NIS2 erfasst Unternehmen in einem der 18 regulierten Sektoren grundsätzlich ab rund 50 Mitarbeitenden oder über 10 Mio. EUR Jahresumsatz. Besonders wichtige Einrichtungen beginnen bei rund 250 Mitarbeitenden oder über 50 Mio. EUR. In Deutschland sind nach Größenordnung rund 29.500 Unternehmen betroffen. Wichtig: Diese Schwellen sind nur ein erster Anhaltspunkt. Das ersetzt keine Rechtsberatung; die Betroffenheit ist ein Einzelfall und hängt von Sektor, Tätigkeit und Größe ab.

NIS2 nennt 18 regulierte Sektoren — von Energie, Wasser, Gesundheit, Transport und Finanzen bis zu IT, digitalen Diensten, Lebensmitteln, Abfall und verarbeitendem Gewerbe. Ob Ihr Betrieb darunterfällt, hängt nicht nur am Namen des Sektors, sondern an Ihrer konkreten Tätigkeit und Ihrer Rolle in der Lieferkette. Diese Seite gibt eine erste Orientierung und ersetzt keine Rechtsberatung; die Einordnung im Einzelfall klären Sie mit fachkundiger Beratung.

Das deutsche NIS2-Umsetzungsgesetz ist rund Dezember 2025 in Kraft getreten — und zwar ohne Übergangsfrist. Die Registrierungspflicht beim BSI griff früh: Die Registrierungsfrist lief ca. Anfang März 2026 ab. Zusätzlich gilt eine Meldepflicht mit einer Erstmeldung binnen 24 Stunden nach einem erheblichen Sicherheitsvorfall. Konkrete Fristen für Ihren Fall klären Sie mit fachkundiger Beratung — diese Seite ersetzt keine Rechtsberatung.

NIS2 verlangt zehn verbindliche Risikomanagement-Maßnahmenbereiche, eine Registrierung beim BSI, die Meldepflicht (Erstmeldung binnen 24 Stunden), eine Schulungspflicht für die Geschäftsführung und sieht eine persönliche Haftung der Geschäftsführung vor. Bußgelder können bis 10 Mio. EUR oder 2 % des Jahresumsatzes reichen. TULPAR deckt davon den technischen Teil ab — das Identifizieren und nachvollziehbare Dokumentieren von Schwachstellen — und ersetzt weder die organisatorischen Maßnahmen noch Rechtsberatung.

Nein. TULPAR macht niemanden konform und ist keine Zertifizierung und keine Rechtsberatung. TULPAR deckt den technischen Teil ab: Es prüft Ihr eigenes Netzwerk auf Schwachstellen und liefert dokumentierte technische Evidenz, die in Ihr NIS2-Risikomanagement einfließen kann. NIS2-Konformität umfasst aber auch organisatorische Pflichten wie Registrierung, Meldewege, Schulung und Governance. Diese Seite und TULPAR erleichtern den technischen Nachweis, ersetzen jedoch keine rechtliche Einordnung Ihrer Betroffenheit.

Der CyberRisikoCheck nach DIN SPEC 27076 ist ein BSI-gestützter Einstiegs-Standard für Betriebe unter 50 Mitarbeitenden: 27 Anforderungen in 6 Themenbereichen, in der Regel ein 1- bis 2-stündiges Interview, am Ende eine Standortbestimmung mit priorisierten Empfehlungen. Wichtig: Das Ergebnis ist kein Siegel und keine Zertifizierung. TULPAR ist davon unabhängig und ebenfalls nicht der offizielle BSI-Check — es liefert eigene, technisch dokumentierte Evidenz aus Ihrem Netzwerk, die eine solche Standortbestimmung sinnvoll ergänzen kann.

Nein. TULPAR läuft on-premise und offline direkt bei Ihnen im Netzwerk. Es gibt keinen Cloud-Zwang, die Ergebnisse bleiben in Ihrem Haus. Standardmäßig wird nur angesehen (read-only); ein aktiver Test erfolgt ausschließlich nach Ihrer ausdrücklichen Freigabe und nur in Ihrem eigenen Netz. Das ist gerade dann wichtig, wenn ohnehin sensible Daten verarbeitet werden, und unterstützt die Anforderungen der DSGVO an Datenhoheit.

Ja. Unabhängig von der NIS2-Frage trifft laut BSI-Lagebericht 2025 rund 80 % der angezeigten Cyberangriffe kleine und mittlere Unternehmen, und nur etwa 18 % der kleinen Unternehmen haben einen Notfallplan. Ein durchschnittlicher Schaden im Mittelstand liegt bei ca. 200.000 bis 500.000 EUR. Ein erster technischer Check zeigt Ihnen im Klartext, wo Sie angreifbar sind — und liefert Evidenz, die später in NIS2-Risikomanagement, einen BSI-Einstiegscheck oder einen Cyberversicherungsantrag einfließen kann. Die rechtliche Betroffenheit bleibt davon getrennt und ist ein Einzelfall.