{ "$schema": "./schema/scope.schema.json", "dataset": "nis2-de-bsig-scope", "version": "1.0.0", "jurisdiction": "DE", "languagePrimary": "de", "sourceNote": "Extracted from d0_web/src/components/AffectednessTool.astro without legal-content rewrites.", "specialCases": [ { "id": "kritis", "ref": "§28 Abs. 1 BSIG", "classification": { "type": "fixed", "entityClass": "essential" }, "name": { "de": "Betreiber einer kritischen Anlage (KRITIS)", "en": "Operator of a critical installation (KRITIS)" }, "description": { "de": "Ihre Anlage überschreitet die Schwellenwerte der BSI-KRITIS-Verordnung — z. B. Kraftwerk, Wasserwerk, großes Krankenhaus, zentrales Rechenzentrum.", "en": "Your installation exceeds the thresholds under the BSI KRITIS ordinance, such as a power plant, water utility, large hospital, or central data center." }, "reason": { "de": "Sie betreiben eine kritische Anlage (KRITIS) — §28 Abs. 1 stuft Betreiber kritischer Anlagen unabhängig von der Größe als besonders wichtige Einrichtung ein.", "en": "You operate a critical installation (KRITIS); §28(1) classifies KRITIS operators as essential entities regardless of size." } }, { "id": "qtsp", "ref": "§28 Abs. 1 BSIG", "classification": { "type": "fixed", "entityClass": "essential" }, "name": { "de": "Qualifizierter Vertrauensdiensteanbieter", "en": "Qualified trust service provider" }, "description": { "de": "Sie stellen qualifizierte elektronische Signaturen, Siegel, Zeitstempel oder Zertifikate für Dritte aus.", "en": "You issue qualified electronic signatures, seals, timestamps, or certificates for third parties." }, "reason": { "de": "Qualifizierte Vertrauensdiensteanbieter gelten unabhängig von der Größe als besonders wichtige Einrichtung (§28 Abs. 1).", "en": "Qualified trust service providers count as essential entities regardless of size (§28(1))." } }, { "id": "dns", "ref": "§28 Abs. 1 BSIG", "classification": { "type": "fixed", "entityClass": "essential" }, "name": { "de": "TLD-Namensregistrierung oder DNS-Diensteanbieter", "en": "TLD registry or DNS service provider" }, "description": { "de": "Sie betreiben eine Top-Level-Domain oder bieten öffentliche DNS-Auflösung als Dienst an. Nicht gemeint: interner Firmen-DNS.", "en": "You operate a top-level domain or provide public DNS resolution. Not meant: internal company DNS." }, "reason": { "de": "TLD-Namensregistrierungen und DNS-Diensteanbieter gelten unabhängig von der Größe als besonders wichtige Einrichtung (§28 Abs. 1).", "en": "TLD registries and DNS service providers count as essential entities regardless of size (§28(1))." } }, { "id": "telco", "ref": "§28 Abs. 1 / §28 Abs. 2 BSIG", "classification": { "type": "medium-threshold", "mediumOrAbove": "essential", "belowMedium": "important" }, "name": { "de": "Anbieter öffentlicher Telekommunikationsnetze oder -dienste", "en": "Provider of public telecom networks or services" }, "description": { "de": "Sie verkaufen Telefonie, Internet oder Mobilfunk an Kunden. Nicht gemeint: internes Firmen-WLAN.", "en": "You sell telephony, internet, or mobile connectivity to customers. Not meant: internal Wi-Fi." }, "reasonMediumOrAbove": { "de": "Öffentliche TK-Netze/-Dienste oberhalb der Mittelstandsschwelle gelten als besonders wichtige Einrichtung (§28 Abs. 1).", "en": "Public telecom providers above the medium-size threshold count as essential entities (§28(1))." }, "reasonBelowMedium": { "de": "Öffentliche TK-Netze/-Dienste unterhalb der Mittelstandsschwelle gelten als wichtige Einrichtung (§28 Abs. 2).", "en": "Public telecom providers below the medium-size threshold count as important entities (§28(2))." } }, { "id": "tsp", "ref": "§28 Abs. 2 BSIG", "classification": { "type": "fixed", "entityClass": "important" }, "name": { "de": "Vertrauensdiensteanbieter (nicht qualifiziert)", "en": "Trust service provider (non-qualified)" }, "description": { "de": "Sie bieten elektronische Signaturen, Siegel, Zeitstempel oder Website-Zertifikate als Dienstleistung für Dritte an.", "en": "You provide electronic signatures, seals, timestamps, or website certificates as a service for third parties." }, "reason": { "de": "Vertrauensdiensteanbieter gelten unabhängig von der Größe als wichtige Einrichtung (§28 Abs. 2).", "en": "Trust service providers count as important entities regardless of size (§28(2))." } } ], "sectors": [ { "id": "energy", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Energie", "en": "Energy" }, "description": { "de": "Stadtwerke, Netzbetreiber, Energiehandel, Fernwärme, Wasserstoff, Ladeinfrastruktur.", "en": "Utilities, grid operators, energy trading, district heating, hydrogen, charging infrastructure." } }, { "id": "transport", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Transport und Verkehr", "en": "Transport" }, "description": { "de": "Flug, Bahn, Häfen, ÖPNV, Straßenverkehrsbehörden. Klassische Speditionen meist eher Lieferkette.", "en": "Air, rail, ports, public transport, traffic authorities. Classic logistics is often supply-chain rather than direct scope." } }, { "id": "finance", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Finanz- und Versicherungswesen", "en": "Finance and insurance" }, "description": { "de": "Banken, Handelsplätze, zentrale Gegenparteien. DORA kann als Spezialregelung vorgehen.", "en": "Banks, trading venues, central counterparties. DORA may take precedence as a sector rule." } }, { "id": "healthcare", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Gesundheitswesen", "en": "Healthcare" }, "description": { "de": "Krankenhäuser, Labore, Pharma, Hersteller kritischer Medizinprodukte. Nicht einzelne Arztpraxen.", "en": "Hospitals, labs, pharma, manufacturers of critical medical devices. Not individual practices." } }, { "id": "water", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Trinkwasser / Abwasser", "en": "Drinking water / wastewater" }, "description": { "de": "Wasserversorger, Zweckverbände, Kläranlagen.", "en": "Water suppliers, public-purpose associations, wastewater plants." } }, { "id": "digital-infrastructure", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Digitale Infrastruktur", "en": "Digital infrastructure" }, "description": { "de": "Cloud-Anbieter, Rechenzentren, CDNs, Internetknoten. Nicht der eigene Serverraum.", "en": "Cloud providers, data centers, CDNs, internet exchanges. Not an internal server room." } }, { "id": "ict-service-management", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Verwaltung von IKT-Diensten (B2B)", "en": "ICT service management (B2B)" }, "description": { "de": "IT-Systemhäuser, MSPs, MSSPs und Fernadministration von Kundenumgebungen.", "en": "IT service providers, MSPs, MSSPs, and remote administration of customer environments." } }, { "id": "space", "annex": "a1", "annexName": { "de": "Anlage 1 — Sektoren mit hoher Kritikalität", "en": "Annex 1 — high-criticality sectors" }, "name": { "de": "Weltraum", "en": "Space" }, "description": { "de": "Bodeninfrastrukturen für Weltraumdienste.", "en": "Ground infrastructure for space services." } }, { "id": "manufacturing", "annex": "a2", "annexName": { "de": "Anlage 2 — Sonstige kritische Sektoren", "en": "Annex 2 — other critical sectors" }, "name": { "de": "Verarbeitendes Gewerbe", "en": "Manufacturing" }, "description": { "de": "Maschinenbau, Automotive-Zulieferer, Fahrzeugbau, Elektronik, elektrische Ausrüstung, Medizinprodukte.", "en": "Machinery, automotive suppliers, vehicle manufacturing, electronics, electrical equipment, medical devices." } }, { "id": "chemicals", "annex": "a2", "annexName": { "de": "Anlage 2 — Sonstige kritische Sektoren", "en": "Annex 2 — other critical sectors" }, "name": { "de": "Chemie", "en": "Chemicals" }, "description": { "de": "Produktion, Herstellung und Handel mit chemischen Stoffen.", "en": "Production, manufacturing, and trade in chemical substances." } }, { "id": "food", "annex": "a2", "annexName": { "de": "Anlage 2 — Sonstige kritische Sektoren", "en": "Annex 2 — other critical sectors" }, "name": { "de": "Lebensmittel", "en": "Food" }, "description": { "de": "Großhandel und industrielle Produktion/Verarbeitung. Nicht einzelne Restaurants oder Einzelhandel.", "en": "Wholesale and industrial production/processing. Not individual restaurants or retail." } }, { "id": "postal", "annex": "a2", "annexName": { "de": "Anlage 2 — Sonstige kritische Sektoren", "en": "Annex 2 — other critical sectors" }, "name": { "de": "Post- und Kurierdienste", "en": "Postal and courier services" }, "description": { "de": "Paket-, Brief-, Kurier- und Expressdienste.", "en": "Parcel, letter, courier, and express services." } }, { "id": "waste", "annex": "a2", "annexName": { "de": "Anlage 2 — Sonstige kritische Sektoren", "en": "Annex 2 — other critical sectors" }, "name": { "de": "Abfallbewirtschaftung", "en": "Waste management" }, "description": { "de": "Entsorgung, Recycling, Sammlung und Behandlung von Abfällen.", "en": "Disposal, recycling, collection, and treatment of waste." } }, { "id": "digital-services", "annex": "a2", "annexName": { "de": "Anlage 2 — Sonstige kritische Sektoren", "en": "Annex 2 — other critical sectors" }, "name": { "de": "Anbieter digitaler Dienste", "en": "Digital services" }, "description": { "de": "Online-Marktplatz, Suchmaschine oder soziales Netzwerk. Nicht der eigene Webshop.", "en": "Online marketplace, search engine, or social network. Not your own webshop." } }, { "id": "research", "annex": "a2", "annexName": { "de": "Anlage 2 — Sonstige kritische Sektoren", "en": "Annex 2 — other critical sectors" }, "name": { "de": "Forschung", "en": "Research" }, "description": { "de": "Kommerzielle Auftragsforschung und industrienahe F&E-Institute. Nicht Hochschulen.", "en": "Commercial contract research and industry-near R&D institutes. Not universities." } } ], "sizeThresholds": { "employees": [ { "value": 0, "label": { "de": "unter 50", "en": "under 50" } }, { "value": 1, "label": { "de": "50-249", "en": "50-249" } }, { "value": 2, "label": { "de": "250 oder mehr", "en": "250 or more" } } ], "revenue": [ { "value": 0, "label": { "de": "bis 10 Mio. EUR", "en": "up to EUR 10m" } }, { "value": 1, "label": { "de": "über 10-50 Mio. EUR", "en": "over EUR 10-50m" } }, { "value": 2, "label": { "de": "über 50 Mio. EUR", "en": "over EUR 50m" } } ], "balanceSheet": [ { "value": 0, "label": { "de": "bis 10 Mio. EUR", "en": "up to EUR 10m" } }, { "value": 1, "label": { "de": "über 10-43 Mio. EUR", "en": "over EUR 10-43m" } }, { "value": 2, "label": { "de": "über 43 Mio. EUR", "en": "over EUR 43m" } } ], "rules": { "large": "employees == 2 OR (revenue == 2 AND balanceSheet == 2)", "medium": "employees >= 1 OR (revenue >= 1 AND balanceSheet >= 1)" } }, "classification": { "annexRules": { "a1": { "large": "essential", "medium": "important", "below": "chain-check", "ref": "§28 Abs. 1 / §28 Abs. 2 BSIG" }, "a2": { "large": "important", "medium": "important", "below": "chain-check", "ref": "§28 Abs. 2 BSIG" } }, "reasons": { "annex1": { "de": "Ihr Sektor \"{sector}\" fällt unter Anlage 1 BSIG.", "en": "Your sector \"{sector}\" falls under Annex 1 BSIG." }, "annex2": { "de": "Ihr Sektor \"{sector}\" fällt unter Anlage 2 BSIG.", "en": "Your sector \"{sector}\" falls under Annex 2 BSIG." }, "annex1Large": { "de": "Ihr Unternehmen überschreitet die Großunternehmens-Schwelle (§28 Abs. 1).", "en": "Your company exceeds the large-company threshold (§28(1))." }, "annex1Medium": { "de": "Ihr Unternehmen liegt im Mittelstandsband — damit wichtige Einrichtung (§28 Abs. 2).", "en": "Your company meets the medium-size threshold, making it an important entity (§28(2))." }, "annex1Below": { "de": "Ihr Unternehmen bleibt unter den Größenschwellen — keine direkte Betroffenheit über die Größe.", "en": "Your company is below the size thresholds; there is no direct scope based on size." }, "annex2Medium": { "de": "Ihr Unternehmen erreicht die Schwelle — damit wichtige Einrichtung (§28 Abs. 2).", "en": "Your company meets the threshold, making it an important entity (§28(2))." }, "annex2Below": { "de": "Ihr Unternehmen bleibt unter den Größenschwellen — keine direkte Betroffenheit.", "en": "Your company is below the thresholds; no direct NIS2 scope." }, "noneSector": { "de": "Ihre Tätigkeit fällt unter keinen Sektor der Anlagen 1 und 2 BSIG — keine direkte NIS2-Betroffenheit.", "en": "Your activity does not fall under Annex 1 or 2 BSIG; no direct NIS2 scope." }, "chainQuestionnaire": { "de": "Sie haben bereits NIS2-Fragebögen oder Vertragsklauseln erhalten.", "en": "You have already received NIS2 questionnaires or contract clauses." }, "chainSupplier": { "de": "Sie beliefern regulierte Kunden; deren Lieferketten-Pflicht kann Sie per Fragebogen erreichen.", "en": "You supply regulated customers; their supply-chain duty can reach you through questionnaires." }, "chainNo": { "de": "Keine regulierten Kunden in der Lieferkette angegeben.", "en": "No regulated customers indicated in the supply chain." } } }, "resultDefinitions": { "essential": { "badge": "critical", "badgeLabel": { "de": "Direkt betroffen", "en": "Directly affected" }, "title": { "de": "Besonders wichtige Einrichtung", "en": "Essential entity" }, "summary": { "de": "Ihr Unternehmen unterliegt voraussichtlich der strengsten NIS2-Kategorie — mit aktiver BSI-Aufsicht und regelmäßiger Nachweispflicht.", "en": "Your company likely falls into the strictest NIS2 category, with proactive BSI supervision and evidence duties." }, "dutyIds": ["registration", "risk-management", "incident-reporting", "management", "evidence"], "infoIds": ["management-liability", "proactive-supervision"], "next": { "de": "Starten Sie mit der Pflichten-Matrix und strukturieren Sie Ihre §30-Nachweise.", "en": "Start with the obligations matrix and structure your §30 evidence." }, "cta": "matrix" }, "important": { "badge": "warn", "badgeLabel": { "de": "Direkt betroffen", "en": "Directly affected" }, "title": { "de": "Wichtige Einrichtung", "en": "Important entity" }, "summary": { "de": "Ihr Unternehmen fällt voraussichtlich unter NIS2. Die Kernpflichten gelten durchgehend; die BSI-Aufsicht ist anlassbezogen.", "en": "Your company likely falls under NIS2. Core duties apply continuously; BSI supervision is reactive." }, "dutyIds": ["registration", "risk-management", "incident-reporting", "management"], "infoIds": ["management-liability", "reactive-supervision"], "next": { "de": "Starten Sie mit der Pflichten-Matrix und priorisieren Sie offene Nachweise.", "en": "Start with the obligations matrix and prioritize missing evidence." }, "cta": "matrix" }, "chain": { "badge": "warn", "badgeLabel": { "de": "Indirekt betroffen", "en": "Indirectly affected" }, "title": { "de": "Nachweispflichtig über die Lieferkette", "en": "Evidence-bound through the supply chain" }, "summary": { "de": "Sie fallen nicht direkt unter NIS2 — aber regulierte Kunden können Nachweise vertraglich von Ihnen verlangen.", "en": "You are not directly in scope, but regulated customers may require evidence by contract." }, "dutyIds": [], "infoIds": ["contract-requirements"], "next": { "de": "Ordnen Sie zuerst den Lieferketten-Nachweis ein und bereiten Sie ein knappes Nachweispaket vor.", "en": "Review supply-chain evidence first and prepare a concise evidence pack." }, "cta": "supply" }, "none": { "badge": "ok", "badgeLabel": { "de": "Nicht betroffen", "en": "Not affected" }, "title": { "de": "Derzeit keine NIS2-Betroffenheit erkennbar", "en": "No NIS2 scope currently visible" }, "summary": { "de": "Auf Basis Ihrer Angaben fallen Sie weder direkt unter NIS2 noch sind Lieferketten-Anforderungen erkennbar.", "en": "Based on your answers, neither direct NIS2 scope nor supply-chain requirements are visible." }, "dutyIds": [], "infoIds": [], "next": { "de": "Dokumentieren Sie die Einschätzung und prüfen Sie sie bei Wachstum, neuen Sektoren oder regulierten Kunden erneut.", "en": "Document the assessment and revisit it when you grow, enter new sectors, or serve regulated customers." }, "cta": "checklist" } }, "resultRows": [ { "id": "registration", "ref": "§33 BSIG", "title": { "de": "Registrierung beim BSI", "en": "Register with the BSI" }, "deadlineIds": ["registration"] }, { "id": "risk-management", "ref": "§30 BSIG", "title": { "de": "Risikomanagement umsetzen", "en": "Implement risk management" }, "description": { "de": "10 Mindestmaßnahmen nachweisbar umsetzen.", "en": "Implement and evidence the 10 minimum measures." } }, { "id": "incident-reporting", "ref": "§32 BSIG", "title": { "de": "Sicherheitsvorfälle melden", "en": "Report security incidents" }, "deadlineGroupId": "incident-reporting" }, { "id": "management", "ref": "§38 BSIG", "title": { "de": "Geschäftsleitung einbinden", "en": "Involve management body" }, "description": { "de": "Billigung, Überwachung und Schulung der Geschäftsleitung.", "en": "Approval, oversight, and training by management." } }, { "id": "evidence", "ref": "§39 BSIG", "title": { "de": "Umsetzung nachweisen", "en": "Evidence implementation" }, "description": { "de": "Regelmäßige Nachweise gegenüber dem BSI.", "en": "Regular evidence to the BSI." } }, { "id": "management-liability", "ref": "§38 Abs. 2", "title": { "de": "Persönliche Haftung", "en": "Personal liability" }, "description": { "de": "Geschäftsleiter haften persönlich für Verstöße gegen Billigungs- und Überwachungspflichten.", "en": "Management can be personally liable for breaches of approval and oversight duties." } }, { "id": "proactive-supervision", "ref": "Aufsicht", "title": { "de": "Aktive Aufsicht", "en": "Proactive supervision" }, "description": { "de": "Das BSI kann auch ohne konkreten Anlass prüfen.", "en": "The BSI may review without a specific trigger." } }, { "id": "reactive-supervision", "ref": "Aufsicht", "title": { "de": "Anlassbezogene Aufsicht", "en": "Reactive supervision" }, "description": { "de": "Das BSI prüft bei konkretem Anlass — die Pflichten gelten trotzdem.", "en": "The BSI reviews when there is cause, but duties still apply." } }, { "id": "contract-requirements", "ref": "Vertrag", "title": { "de": "Kundenanforderungen", "en": "Customer requirements" }, "description": { "de": "NIS2-Fragebögen und Sicherheitsklauseln sind faktisch verbindlich, wenn Kunden sie zur Lieferbedingung machen.", "en": "NIS2 questionnaires and security clauses become practically binding when customers make them a supplier condition." } } ] }