Die kurze Antwort
Die Metall- und Fertigungsindustrie wird in den Anhängen der NIS2-Richtlinie nicht als solche genannt. Das bedeutet nicht, dass der Sektor verschont bleibt. Ein Teil der Fertigungsindustrie fällt tatsächlich unter die Richtlinie, nämlich dort, wo die Aktivität mit einem der genannten Sektoren zusammenfällt — denken Sie an die Herstellung bestimmter Medizinprodukte, Maschinen, elektrischer Ausrüstungen oder Fahrzeugteile, die in Anhang II als Produktionssektor aufgeführt sind. Ein gewöhnlicher Konstruktionsbetrieb oder ein Subunternehmer in Blechbearbeitung fällt meist nicht darunter.
Ob Ihr Unternehmen exakt unter diese Aufzählung fällt, ist nicht auf den ersten Blick zu sagen: Die Richtlinie arbeitet mit NACE-Codes und Beschreibungen, die präziser sind als "Metall" oder "Verarbeitendes Gewerbe" als Sammelbezeichnung. Hinzu kommen Größe und Kettenposition, und diese drei Faktoren müssen Sie nebeneinander legen, bevor eine Schlussfolgerung vorliegt. in wenigen Fragen herausfinden, wo Ihr Unternehmen steht gibt dort eine erste Orientierung, ohne dass Sie selbst den vollständigen Text durchsuchen müssen.
Sektor: Welcher Teil des Verarbeitenden Gewerbes wird tatsächlich genannt
Anlage I enthält die Sektoren, die als "wesentlich" gelten, wie Energie, Trinkwasser und Verkehr — die klassischen Infrastrukturbetreiber. Anlage II fügt Sektoren hinzu, die als "wichtig" gelten, und dort befindet sich auch ein Teil des Verarbeitenden Gewerbes: die Herstellung bestimmter Medizinprodukte und In-vitro-Diagnostika, Computer und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinen und Geräte, und Kraftwagen und Kraftwagenbauteile. Ein Zulieferer, der genau in eine solche Produktgruppe fällt, kann also durchaus selbst unter die Richtlinie fallen, auch wenn das Unternehmen sich nie als "kritische Infrastruktur" verstanden hat.
Für Unternehmen, die nicht in dieser Aufzählung enthalten sind — denken Sie etwa an allgemeine Metallbearbeitung, Blechbearbeitung, Schweißarbeiten oder Konstruktionsbau ohne ein spezifisch genanntes Endprodukt — gilt die Branchenbedingung nicht. Das schließt eine Verpflichtung über die Lieferkette nicht aus, und darauf kommen wir später zurück.
Unternehmensgröße: die Grenze zwischen mittleren und großen Unternehmen
Falls die Branche zutrifft, zählt dann die Unternehmensgröße. Die Richtlinie arbeitet mit der europäischen Einteilung in Mikro-, kleine, mittlere und große Unternehmen, basierend auf der Anzahl der Beschäftigten in Kombination mit Umsatz oder Bilanzsumme. Kleine und mittlere Unternehmen fallen in der Regel außerhalb der unmittelbaren Verpflichtung, mit Ausnahmen, die der nationale Gesetzgeber festlegen kann. Die genauen Schwellenwerte und mögliche Ausnahmen stehen im Richtlinientext und in der nationalen Umsetzung; diese Zahlen erfinden wir hier nicht, sondern können sie über die offizielle Quelle ermittelt werden.
Für ein Familienunternehmen mit fünfzehn Beschäftigten, das genau in einer genannten Produktgruppe tätig ist, ist die Branche also keine automatische Verpflichtung — die Unternehmensgröße kann den Ausschlag geben, dass keine unmittelbare Verpflichtung entsteht. Für den größeren, exportierenden Maschinenbauer mit hunderten Beschäftigten kann dieselbe Brancheneinteilung durchaus zu einer Verpflichtung führen.
Lieferkettenbeteiligung: auch ohne eigene Verpflichtung betroffen
Der größte Teil der Metall- und Fertigungsindustrie wird nicht über die Branchenliste erfasst, sondern über den Auftraggeber. Eine wesentliche oder wichtige Einheit — ein Energieunternehmen, ein Wasserwirtschaftsverband, ein großer Hersteller medizinischer Geräte — muss gemäß ihrer Sorgfaltspflicht auch die Risiken in ihrer eigenen Lieferkette bewerten. Dies übersetzt sich in der Praxis in Sicherheitsfragenbögen, Vertragsbedingungen und manchmal ein erforderliches Verfahren zur Meldung von Vorfällen an den Auftraggeber, während das liefernde Unternehmen selbst außerhalb des Gesetzes fällt. Wer als CNC-Dreher, Schweißbetrieb oder Komponentenlieferant für so einen Partner tätig ist, bekommt die Auswirkungen also eher über den Vertrag als über das Gesetz selbst zu spüren. Wie Sie so einen Fragebogen lesen und beantworten, ist ein separates Thema. der Erläuterung pro Thema stellen Sie die häufigsten Situationen nebeneinander.
Produktionssysteme, die mit dem Netzwerk verbunden sind
Ein Grund, warum Auftraggeber in der Fertigungsindustrie gerade hier nachfragen, ist die Verbindung zwischen Büroautomation und Produktion. Maschinen, speicherprogrammierbare Steuerungen und Produktionslinien, die früher isoliert liefen, sind in vielen Unternehmen inzwischen mit demselben Netzwerk verbunden wie Planung, Abrechnung und E-Mail. Ein Auftraggeber, der seine eigene Lieferkette bewertet, schaut nicht nur auf Bürosysteme, sondern auch darauf, wie diese Produktionssysteme geschützt sind, wer darauf Zugriff hat und was bei einer Störung oder einem Ausfall geschieht. Das erklärt, warum Fragebögen in diesem Sektor oft über "Haben Sie eine Passwortrichtlinie" hinausgehen und gezielt nach Netzwerksegmentierung zwischen Büro und Produktion fragen.
Was zu tun ist, wenn es noch unklar ist
Da Sektor, Größe und Kettenposition voneinander unabhängig sind, ist es gut möglich, dass ein Metallunternehmen auf keine der drei Kategorien genau passt, auf eine passt oder auf alle drei gleichzeitig. Eine eindeutige Antwort erfordert, die eigene NACE-Klassifikation, die letzten Jahresabschlüsse und einen Überblick über die wichtigsten Auftraggeber nebeneinander zu legen. wie das Ergebnis der Überprüfung zustande kommt zeigt auf, welche Quellen dabei verwendet werden, einschließlich des Datums ihrer Abfrage. Für die eigene, endgültige Situation bleiben ein Jurist oder die benannte Aufsichtsbehörde der richtige Ansprechpartner.
Möchten Sie für Ihr Unternehmen eine erste Orientierung, ohne einen halben Tag investieren zu müssen: Die NIS2-Überprüfung ist kostenlos und fragt nur nach Sektor, Größe und ein paar Fragen zu Ihren wichtigsten Auftraggebern. häufig gestellte Fragen zu NIS2 und der Fertigungsindustrie beantwortet eine Reihe von Fragen, die in diesem Sektor häufig gestellt werden, bevor Sie selbst anrufen müssen.