Das Installationsgewerbe fällt nicht als Ganzes unter die NIS2-Richtlinie. Es gibt keinen Sektor »Installation« in den Anhängen, die die Richtlinie zur Bestimmung wesentlicher und wichtiger Einheiten nutzt. Dennoch erhalten Installationsbetriebe die Frage immer häufiger, und dafür gibt es einen konkreten Grund: Viele ihrer Kunden unterliegen tatsächlich der Sorgfaltspflicht, und diese Sorgfaltspflicht verpflichtet sie, auch ihre Lieferanten zu überprüfen.
Ob die NIS2-Richtlinie Ihr Installationsbetrieb betrifft, hängt also von drei gleichzeitigen Faktoren ab: dem Sektor, in dem Sie selbst tätig sind, der Größe Ihres Unternehmens und der Frage, ob Sie über Ihre Kunden in der Lieferkette einer verpflichteten Organisation landen. Diese dritte Route ist für Installateure oft die wahrscheinlichste und verdient daher besondere Aufmerksamkeit.
Sektor: fällt die Installation unter Anlage I oder II?
Die Richtlinie weist Sektoren in zwei Anlagen aus: Anlage I für wesentliche Sektoren wie Energie, Trinkwasser, Gesundheitswesen und digitale Infrastruktur, und Anlage II für wichtige Sektoren wie bestimmte Industrie und Abwasserbewirtschaftung. Ein allgemeiner Installationsbetrieb, der Heizungs-, Elektro- oder Sicherheitssysteme installiert, ist in diesen Anlagen nicht als solcher aufgeführt. Es sind Ausnahmen denkbar: ein Installateur, der selbst Teil eines Energienetzes ist oder der kritische Infrastruktur für einen bestimmten Sektor verwaltet, kann näher an den direkten Anwendungsbereich heranrücken. Dies ist eine Beurteilung von Fall zu Fall und keine allgemeine Aussage für die Branche.
Größe: zählen Sie als kleines, mittleres oder großes Unternehmen?
Die Richtlinie koppelt die unmittelbare Pflicht an die Größe: Im Kern geht es um mittelständische und große Unternehmen innerhalb der benannten Sektoren, mit Ausnahmen, die je Sektor unterschiedlich sein können. Viele Installationsbetriebe sind in Bezug auf Mitarbeiterzahl und Umsatz klein oder mittelständisch und fallen daher oft auch aus diesem Grund nicht unter die unmittelbare Verpflichtung, selbst wenn der Sektor Berührungspunkte hätte. Größe allein ist jedoch niemals das vollständige Ergebnis; Sektor und Größe müssen zusammen betrachtet werden, und die nationale Umsetzung kann in einigen Bereichen von der Richtlinie selbst abweichen.
Lieferkettenstatus: Zugang zu Gebäuden und Systemen bei Kunden
Hier liegt für Installateure der eigentliche Fokus. Ein Installationsbetrieb, der für ein Krankenhaus, ein Energieunternehmen, einen Wasserwirtschaftsverband oder ein großes Logistikunternehmen arbeitet, kommt oft buchstäblich hinein: in Gebäude, zu Zählerkästen, zu Gebäudemanagementsystemen, manchmal mit eigenem Zugang zu Systemen des Kunden. Für den Kunden, der selbst unter der Sorgfaltspflicht fällt, ist genau diese Art von Zugang das, worauf Artikel 21 der Richtlinie abzielt: Risiken, die über Lieferanten und Dienstleister entstehen, gehören zur eigenen Cybersicherheit dieser Organisation. Darum erhalten Installationsbetriebe Fragelisten, Vertragsbedingungen oder Anforderungen zum Zugangsmanagement, auch ohne selbst verpflichtet zu sein.
Was bedeutet "lieferkettenseitig betroffen" konkret für Sie?
Lieferkettenseitig betroffen bedeutet, dass Sie selbst nicht unter die Meldepflicht oder Registrierungspflicht fallen, aber dass ein Kunde Sie durchaus auffordern kann nachzuweisen, wie Sie mit Zugang, Passwörtern, Updates und Vorfällen umgehen. Das geschieht normalerweise über eine Cybersicherheitsfrageliste oder eine Ergänzung des Vertrags. Wer dazu nichts vorweisen kann, läuft Gefahr, dass ein Auftrag an einen Konkurrenten geht, der schnell und überzeugend antworten kann. Es ist also keine Gesetzesverpflichtung, die unmittelbar auf Ihr Unternehmen lastet, aber durchaus eine geschäftliche Realität, die sich aus dieser Verpflichtung Ihres Kunden ergibt. die Erklärung pro Situation durchlesen zeigt auf, wie diese beiden Stränge — unmittelbar verpflichtet und lieferkettenseitig betroffen — in der Praxis auseinanderlaufen.
Was können Sie jetzt tun?
Der erste Schritt besteht darin, Klarheit darüber zu schaffen, welche der drei Kategorien auf Ihr Unternehmen zutrifft: kritische Infrastruktur, wichtige Einrichtung, Lieferketten-betroffen oder nicht betroffen. Genau dafür ist die NIS2-Überprüfung vorgesehen: einige Fragen zu Sektor, Größe und den Kunden, für die Sie tätig sind, mit einer Einschätzung und einer Erläuterung, warum. in wenigen Fragen herausfinden, wo Ihr Unternehmen steht kostet weder ein Konto noch Gebühren. Ist das Ergebnis Lieferketten-betroffen, lautet die nächste praktische Frage: Welche Fragebögen und Vertragsanforderungen können Sie erwarten, und wie dokumentieren Sie die Antworten, damit Sie sie nicht jedes Mal neu überlegen müssen. häufig gestellte Fragen zur Überprüfung und zur Dokumentation ansehen vermittelt einen ersten Eindruck, und lesen, woher die Informationen auf der Plattform stammen zeigt, wie die Ergebnisse an die Richtlinie und das nationale Gesetz gekoppelt sind.
Möchten Sie schon jetzt wissen, ob Ihr Installationsbetrieb eher in die Kategorie kritische Infrastruktur, wichtige Einrichtung, Lieferketten-betroffen oder nicht betroffen fällt? Führen Sie die kostenlose NIS2-Überprüfung durch, oder lesen Sie zunächst die Knowledge Base, um die Konzepte in Ihrem eigenen Tempo zu verstehen.