Für wen gilt NIS2? Sektoren, Größe und Einrichtungsarten

Was es ist

NIS2 (Richtlinie (EU) 2022/2555) führt die erfassten Sektoren in zwei Anhängen auf. Anhang I umfasst Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung und Weltraum. Anhang II umfasst sonstige kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung und Vertrieb chemischer Stoffe, Produktion und Vertrieb von Lebensmitteln, Herstellung bestimmter Waren (etwa Medizinprodukte, Computer und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinen und Fahrzeuge), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen und Plattformen für soziale Netzwerke) sowie Forschung. Grundsätzlich gilt die Richtlinie für mittlere und große Organisationen in diesen Sektoren; nach der KMU-Definition der EU ist eine Organisation im Wesentlichen mindestens mittelgroß, wenn sie 50 oder mehr Beschäftigte hat oder wenn sowohl ihr Jahresumsatz als auch ihre Bilanzsumme 10 Millionen EUR übersteigen. Manche Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa bestimmte Anbieter öffentlicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, DNS-Diensteanbieter und Namensregister der Top-Level-Domain, und Mitgliedstaaten können weitere bestimmen. Erfasste Organisationen werden als wesentliche oder wichtige Einrichtungen eingestuft. Im Wesentlichen sind große Organisationen in Sektoren des Anhangs I wesentliche Einrichtungen, während mittelgroße Organisationen des Anhangs I und solche des Anhangs II wichtige Einrichtungen sind, vorbehaltlich größenunabhängiger Regeln und nationaler Bestimmung. Die Einstufung wirkt sich auf Aufsicht und Sanktionen aus, weniger auf die erwarteten Grundmaßnahmen.

Für wen es gedacht ist

Dieser Leitfaden ist hilfreich für:

• Führungskräfte mittelständischer Unternehmen in Fertigung, Logistik, digitalen Diensten, Lebensmitteln, Chemie oder gesundheitsbezogenen Lieferketten
• Managed-Service- und IKT-Anbieter, die für Geschäftskunden arbeiten
• Zulieferer betroffener Einrichtungen, die Sicherheitsfragebögen erhalten
• Unternehmensgruppen, die in mehreren EU-Mitgliedstaaten tätig sind und eine einheitliche Sicht benötigen

Was es zu klären hilft

Die Prüfung der Struktur des Anwendungsbereichs hilft zu klären:

• ob eine Ihrer Tätigkeiten einem Sektor aus Anhang I oder Anhang II entspricht
• ob Sie die Größenschwelle erreichen oder in eine größenunabhängig erfasste Kategorie fallen
• welche nationalen Gesetze und Behörden welcher Mitgliedstaaten relevant sind
• ob Ihre Pflichten unmittelbar bestehen oder sich mittelbar aus Kundenverträgen ergeben

Was ist enthalten

• Jede Tätigkeit und jede Geschäftssparte auflisten, nicht nur die Hauptbeschreibung des Unternehmens
• Jede Tätigkeit mit den Sektorbeschreibungen in Anhang I und Anhang II abgleichen
• Beschäftigtenzahl, Umsatz und Bilanzsumme prüfen und dabei die Gruppenstruktur sowie Partner- oder verbundene Unternehmen berücksichtigen, wie es die KMU-Definition der EU verlangt
• Jeden Mitgliedstaat ermitteln, in dem Sie erfasste Dienste erbringen oder Niederlassungen haben
• Das nationale Umsetzungsgesetz und die Leitlinien der Behörde in jedem relevanten Land prüfen
• Ergebnis, Begründung und Datum dokumentieren und bei Veränderungen im Unternehmen überprüfen
• Falls nicht erfasst: Kunden auflisten, die erfasst sind, sowie die Sicherheitsanforderungen, die sie weitergeben

Was nicht enthalten ist

• Eine rechtliche Feststellung, ob NIS2 auf Ihre Organisation anwendbar ist
• Die Auslegung eines bestimmten nationalen Umsetzungsgesetzes
• Registrierung bei Behörden in Ihrem Namen
• Zertifizierung oder Compliance-Freigabe

Wann man es wählt

Nutzen Sie diesen Leitfaden früh, bevor Sie in ein großes Programm investieren, und erneut, wenn Sie in einen neuen Sektor oder ein neues Land eintreten, ein Unternehmen übernehmen oder eine Größenschwelle überschreiten. Wenn die Antwort unklar ist, etwa weil eine Tätigkeit an der Grenze einer Sektorbeschreibung liegt, holen Sie Rechtsrat ein, statt Annahmen zu treffen. Auch Organisationen außerhalb des unmittelbaren Anwendungsbereichs profitieren oft von der Vorbereitung, weil erfasste Kunden Risiken in ihrer Lieferkette steuern müssen. Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung.

Unser Ansatz

Behandeln Sie den Anwendungsbereich als dokumentierte Entscheidung statt als schnelles Ja oder Nein. Sammeln Sie zuerst die Fakten: Tätigkeiten, Größendaten, Gruppenstruktur und Länder. Bringen Sie die Frage dann mit diesen Belegen zu Ihren Rechtsberatern. Betrachten Sie parallel die Sicherheitsmaßnahmen, die NIS2 erwartet; sie spiegeln allgemein anerkannte gute Praxis wider, sodass ihre Verbesserung nützlich ist, wie auch immer die Frage des Anwendungsbereichs beantwortet wird. Unser Security Baseline Review kann Ihnen eine schriftliche Einschätzung vereinbarter Assets und nach Schweregrad gestufte Beobachtungen liefern, mit Beobachtungen zu Bereitschaftslücken gegenüber einer vereinbarten Referenz, sofern dies im bestätigten Scope enthalten ist. Diese Belege können Gespräche mit Kunden, Geschäftsleitung und Beratern unterstützen. Es handelt sich um Material zur Entscheidungsunterstützung, das Ihnen hilft, gezielte Fragen an Rechtsberater und, wo relevant, an Zertifizierungsstellen zu richten. Wenn Sie Zulieferer sind, fragen Sie Ihre erfassten Kunden, welche konkreten Kontrollen Sie nachweisen sollen, und priorisieren Sie diese.

Security Baseline Review

Häufig gestellte Fragen

Verwandte Artikel