Fällt mein Unternehmen unter NIS2?

## Fällt mein Unternehmen unter NIS2? Ob Ihr Unternehmen selbst unter die NIS2-Richtlinie fällt, hängt von zwei Dingen ab: dem Sektor, in dem Sie tätig sind, und der Größe Ihrer Organisation. Die Richtlinie bezeichnet in zwei Anhängen Sektoren, die sie für die Gesellschaft oder Wirtschaft für wichtig hält, von Energie und Verkehr bis zu digitaler Infrastruktur und Abwasserbewirtschaftung. Fällt Ihr Unternehmen in einen solchen Sektor UND erfüllt es die Größenvorgaben der Richtlinie, dann sind Sie vermutlich selbst eine 'essentiële entiteit' oder 'belangrijke entiteit', mit allen damit verbundenen Pflichten. Aber die Antwort endet dort nicht. Viele weitere Unternehmen fallen außerhalb von Sektor und Größe, erhalten die Anforderungen aber trotzdem: als Lieferant, Installateur oder Dienstleister eines Unternehmens, das selbst verpflichtet ist. Diese verpflichteten Organisationen müssen nämlich ihre eigene Lieferkette bewerten, und das führt zu Fragelisten und Vertragsbedingungen bei Unternehmen, die sich selbst nie bei einer Aufsichtsbehörde registrieren müssen. ### Sektor: Anhang I und II Die Richtlinie listet in zwei Anhängen Sektoren auf. Anhang I nennt die Sektoren, die als essentiell angesehen werden: darunter Energie, Verkehr, Bankwesen, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung. Anhang II nennt Sektoren, die als wichtig angesehen werden, wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und bestimmte digitale Dienste. Ein Installationsbetrieb, ein IT-Dienstleister oder ein Beratungsunternehmen wird normalerweise nicht mit Namen in diesen Anhängen aufgeführt, aber die Beschreibungen sind breiter als der Name vermuten lässt. Wer unsicher ist, ob seine Tätigkeit unter einen dieser Sektoren fällt, tut gut daran, die Beschreibung im offiziellen Text selbst zu lesen, nicht nur den Sektornamen. ### Größe: wann zählt Ihr Unternehmen Neben dem Sektor berücksichtigt die Richtlinie die Größe der Organisation nach der üblichen EU-Klassifizierung in kleine, mittlere und große Unternehmen auf der Grundlage der Mitarbeiterzahl und des Umsatzes oder der Bilanzsumme. Für die meisten Sektoren gilt: Je größer das Unternehmen, desto eher fällt es unter den Geltungsbereich. Es gibt auch Ausnahmen, bei denen die Größe weniger Bedeutung hat, zum Beispiel wenn eine Organisation der einzige Anbieter einer bestimmten Dienstleistung in einem Land ist. Diese Ausnahmen sind in der Richtlinie und in dem auf ihr basierenden nationalen Gesetz genau beschrieben; eine genaue Einschätzung für Ihre eigene Situation liegt bei Ihnen, Ihrem Juristen oder der Aufsichtsbehörde. ### Die größte Gruppe fällt heraus und erhält die Anforderungen trotzdem Der Teil der Richtlinie, der die meiste Aufmerksamkeit erhält, befasst sich mit der zorgplicht: verpflichtete Organisationen müssen angemessene Maßnahmen ergreifen und dabei auch ihre Lieferanten bewerten. Das ist genau dort, wo die größte Gruppe von Unternehmen mit konfrontiert wird. Ein Installationsbetrieb, der Gebäudemanagementsysteme für ein Energieunternehmen wartet, ein Reinigungsunternehmen, das für ein Krankenhaus arbeitet, oder ein IT-Partner einer Gemeinde: keiner von ihnen muss sich selbst registrieren, aber alle können eine Frageliste erhalten. Das wird in der Praxis oft 'keten-geraakt' genannt: Sie fallen nicht selbst unter die Richtlinie, aber ein Kunde, der das tut, fragt Sie trotzdem, ob Sie nachweisen können, dass Ihre Sicherheit in Ordnung ist. Ob das bei Ihrem Unternehmen der Fall ist, hängt davon ab, wer Ihre Kunden sind und wie wichtig Ihre Dienstleistung für sie ist. Das ist schwer zu beurteilen, ohne einen Überblick über Sektor, Größe UND Ketenrolle gleichzeitig zu haben. [[LINK:/nis2-check|In ein paar Fragen sehen Sie, wo Ihr Unternehmen ungefähr steht]], mit einer Erklärung warum und einem Vorschlag für den nächsten Schritt. ### Finanzinstitute: eine separate Regelung Banken, Versicherer und andere Finanzinstitute fallen nicht unter NIS2, sondern unter eine separate Verordnung zur digitalen operativen Widerstandsfähigkeit, die speziell auf den Finanzsektor ausgerichtet ist. Wer in diesem Sektor tätig ist, erkennt das normalerweise bereits bei der ersten Intake-Frage zum Sektor. ### Was zu tun ist, wenn die Antwort nicht klar ist Sektor und Größe zusammen geben einen guten ersten Hinweis, aber die genaue Grenze zwischen 'essentiell', 'wichtig', 'keten-geraakt' und 'nicht geraakt' erfordert Maßarbeit. [[LINK:/onderwerpen|Die Wissensbasis mit allen Themen pro Situation]] gibt für jeden Begriff eine Erklärung und verweist auf die Fundstelle im offiziellen Text. Falls Sie danach immer noch unsicher sind, sind ein Jurist oder die Aufsichtsbehörde in Ihrem Land die richtige Ansprechstelle, um Ihre spezifische Situation zu beurteilen; secria.eu äußert sich hierzu bewusst nicht. Möchten Sie zunächst wissen, woher die Informationen auf dieser Plattform stammen und wie diese aktuell gehalten werden? [[LINK:/hoe-het-werkt|Lesen Sie hier, wie wir Quellen nachverfolgen]]. Antworten auf praktische Fragen zur Nutzung der Plattform finden Sie in [[LINK:/veelgestelde-vragen|der Übersicht mit häufig gestellten Fragen]]. Die kurze Antwort auf 'Fällt mein Unternehmen unter NIS2' erhalten Sie also, indem Sie Sektor, Größe und Ketenrolle nebeneinander betrachten. Machen Sie die kostenlose Überprüfung und lesen Sie die Wissensbasis; sie geben Ihnen bereits ohne Konto ein erstes, fundiertes Bild davon, wo Ihr Unternehmen steht.