Sind Sie von NIS2 betroffen?
Anhang I: Energie, Verkehr, Banken, Finanzmärkte, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, verwaltete IKT-Dienste, öffentliche Verwaltung, Raumfahrt. Anhang II: Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung.
Ergebnis
Wichtige Einrichtung
Aufsicht
Nachgelagert, nach Meldung oder Vorfall
Höchstbußgeld
Bis zu 1,4 % des weltweiten Umsatzes
Die Größe ist nicht das letzte Wort: Ein kleines Unternehmen ist trotzdem betroffen, wenn es der einzige Anbieter eines wesentlichen Dienstes ist, wenn sein Ausfall systemische Folgen hätte oder wenn die Behörde es namentlich benennt. Im Zweifel schauen Sie ins nationale Register, nicht in die Tabelle.
Häufige Fragen
Wer unter NIS2 fällt und was sich ändert
Worin unterscheiden sich wesentliche und wichtige Einrichtungen?
Die Sicherheitspflichten sind dieselben, Aufsicht und Bußgeld nicht. Wesentliche Einrichtungen werden vorausschauend beaufsichtigt, also mit Prüfungen auch ohne Vorfall, und riskieren bis zu 2 % des weltweiten Umsatzes. Wichtige Einrichtungen werden erst nach Meldung oder Vorfall geprüft, die Obergrenze liegt bei 1,4 %.
Kann auch ein kleines Unternehmen betroffen sein?
Ja. Die Größenschwellen sind die allgemeine Regel, nicht das einzige Kriterium. Betroffen bleiben der einzige Anbieter eines wesentlichen Dienstes in einem Gebiet, Einrichtungen, deren Ausfall systemische Folgen hätte, Betreiber öffentlicher Kommunikationsnetze und Vertrauensdiensteanbieter, dazu jede Einrichtung, die die Behörde direkt benennt.
Wir beliefern eine NIS2-Einrichtung: betrifft uns das?
Mittelbar, fast immer. Die Richtlinie verpflichtet die betroffenen Einrichtungen, das Risiko ihrer Lieferkette zu steuern, deshalb kommen die Anforderungen über den Vertrag: Fragebögen, Sicherheitsklauseln, Meldefristen für Vorfälle. Bußgeld droht nicht Ihnen, aber die Kundin verlangt, dass Sie nachziehen.
Was muss man konkret tun?
Sich bei der nationalen Behörde registrieren, angemessene Maßnahmen zum Risikomanagement treffen und erhebliche Vorfälle innerhalb der knappen Fristen der Richtlinie melden: eine erste Warnung binnen Stunden, später ein ausführlicherer Bericht. Die Leitungsorgane haften persönlich dafür, dass die Maßnahmen ausreichen.
Was unterscheidet eine wesentliche von einer wichtigen Einrichtung?
Die Sicherheitspflichten sind identisch, Aufsicht und Bußgelder nicht. Wesentliche Einrichtungen stehen unter vorausschauender Aufsicht, mit Audits und Inspektionen auch ohne Vorfall, und Bußgeldern bis zu 2 Prozent des weltweiten Umsatzes.
Wir beliefern eine betroffene Einrichtung: trifft es uns?
Indirekt fast immer. Die Richtlinie verpflichtet betroffene Einrichtungen, das Risiko der Lieferkette zu steuern, also kommen die Anforderungen über Verträge: Fragebögen, Sicherheitsklauseln, Meldefristen. Das Bußgeld ist nicht Ihres, der Auftrag schon.