Fällt mein Unternehmen unter NIS2?
Zwei Dinge bestimmen das: Ihr Sektor und Ihre Größe. Aber es gibt eine dritte Gruppe, die davon ausgenommen ist und die Anforderungen trotzdem erhält.
Sektor und Größe, in dieser Reihenfolge
NIS2 ist eine Europäische Richtlinie zur Sicherheit von Netz- und Informationssystemen. Sie benennt achtzehn Sektoren, aufgeteilt auf zwei Anlagen. Anlage I sind die Sektoren mit hoher Kritikalität: Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, Behörden. Anlage II sind die übrigen kritischen Sektoren, wie Post, Abfallwirtschaft, Chemie, Lebensmittel, Industrie und digitale Dienstanbieter.
Ist Ihr Sektor nicht aufgeführt, fallen Sie nicht darunter. Ist er aufgeführt, zählt Ihre Größe. Ab etwa fünfzig Mitarbeitern oder zehn Millionen Euro Umsatz sind Sie mittleres Unternehmen und die Pflichten gelten. Sind Sie größer als zweihundertfünfzig Mitarbeiter oder fünfzig Millionen Umsatz und sitzen Sie in Anlage I, dann sind Sie eine essentielle Entität und unterliegen Voraufsicht. Der Rest ist wichtige Entität: gleiche zorgplicht, aber Aufsicht erst bei Anlass.
Die dritte Gruppe, und die ist die größte
Die meisten Organisationen, die damit zu tun bekommen, fallen selbst nicht darunter. Sie liefern an jemanden, der darunter fällt. Die Richtlinie verpflichtet nämlich plichtige Organisationen, die Sicherheit ihrer Lieferanten zu bewerten, und das tun sie mit Fragelisten und Anforderungen im Vertrag.
Für Sie bedeutet das keine Registrierungspflicht, keine Meldepflicht und keine Geldbuße. Aber einen Kunden, der eine Antwort haben möchte, und der den Vertrag anderswo abschließt, wenn Sie das nicht leisten können. In der Praxis betrifft das mehr Unternehmen und schneller als das Gesetz selbst.
Ausnahmen, die Sie nicht übersehen dürfen
Auch unter der Schwelle können Sie verpflichtet sein. Sind Sie der einzige Anbieter eines Dienstes in einem Mitgliedstaat, oder hätte der Ausfall Ihres Dienstes große gesellschaftliche Folgen, kann Ihre Aufsichtsbehörde Sie dennoch benennen. Anbieter von öffentlicher elektronischer Kommunikation und von Vertrauensdiensten fallen unabhängig von ihrer Größe darunter.
Aber es gilt auch etwas anderes. Banken und Finanzmärkte fallen in der Praxis unter DORA, die Verordnung über die digitale Betriebsfestigkeit des Finanzsektors. Diese geht als besondere Regelung vor. Wenn Sie sich darin erkennen, lassen Sie sich dazu beraten.
Häufig gestellte Fragen
Erhalte ich eine Benachrichtigung, wenn ich darunter falle?
Nein, und das ist die Falle. Es kommt kein Brief. Sie müssen das selbst feststellen und sich selbst bei der Aufsichtsbehörde registrieren.
Was, wenn ich das falsch einschätze?
Fälschlicherweise zu denken, dass Sie nicht darunter fallen, ist das teuerste Szenario: Die Geldstrafen reichen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes, und die Geschäftsführung haftet persönlich. Wenn Sie unsicher sind, gehen Sie davon aus, dass Sie darunter fallen, und lassen Sie es überprüfen.
Gilt das auch für meine ausländische Betriebsstätte?
Die Richtlinie gilt in der ganzen EU, aber die Pflichten entstehen über das nationale Gesetz jedes Landes, und das ist nicht überall gleich weit. Sie registrieren sich im Land, in dem Sie ansässig sind; bei mehreren Betriebsstätten kann das an mehreren Stellen sein.
Dies ist Erläuterung, keine Beratung zu Ihrer eigenen Situation. secria.eu bewertet Ihre Organisation nicht und gibt keine Assurance.