Fällt mein Unternehmen unter NIS2?
Ob Ihr Unternehmen selbst unter die Richtlinie (EU) 2022/2555 fällt, hängt von zwei Dingen ab: dem Sektor, in dem Sie tätig sind, und der Größe Ihrer Organisation. Die Richtlinie bezeichnet in zwei Anhängen Sektoren, die sie für die Gesellschaft oder die Wirtschaft als wichtig erachtet, von Energie und Verkehr bis zu digitaler Infrastruktur und Abwasserwirtschaft. Falls Ihr Unternehmen in einen solchen Sektor fällt UND die von der Richtlinie verwendete Größe erfüllt, sind Sie vermutlich selbst eine "wesentliche" oder "wichtige" Einheit mit allen damit verbundenen Pflichten.
Doch die Antwort endet dort nicht. Viele weitere Unternehmen fallen außerhalb von Sektor und Größe und unterliegen dennoch den Anforderungen: als Lieferant, Installateur oder Dienstleister eines Unternehmens, das selbst verpflichtet ist. Diese verpflichteten Organisationen müssen nämlich ihre eigene Lieferkette bewerten, und das führt zu Fragelisten und Vertragsbedingungen bei Unternehmen, die sich selbst nie bei einer Behörde anmelden müssen.
Sektor: Anhang I und II
Die Richtlinie führt in zwei Anhängen Sektoren auf. Anhang I nennt die Sektoren, die als wesentlich angesehen werden: darunter Energie, Verkehr, Bankwesen, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung. Anhang II nennt Sektoren, die als wichtig angesehen werden, wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und bestimmte digitale Dienste. Ein Installationsbetrieb, ein IT-Dienstleister oder eine Beratungsfirma stehen meist nicht mit Name in diesen Anhängen, aber die Beschreibungen sind breiter als der Name vermuten lässt. Wer unsicher ist, ob seine Tätigkeit unter einen dieser Sektoren fällt, sollte die Beschreibung im offiziellen Text selbst lesen, nicht nur den Sektornamen.
Größe: wann Ihr Unternehmen zählt
Neben dem Sektor schaut die Richtlinie auf die Größe der Organisation, mit der üblichen EU-Klassifizierung in kleine, mittlere und große Unternehmen nach Beschäftigtenzahl und Umsatz oder Bilanzsumme. In den meisten Sektoren gilt: je größer das Unternehmen, desto eher fällt es in den Anwendungsbereich. Es gibt auch Ausnahmen, bei denen die Größe weniger Gewicht hat, etwa wenn ein Unternehmen der einzige Anbieter einer bestimmten Dienstleistung in einem Land ist. Diese Ausnahmen sind in der Richtlinie und im nationalen Gesetz, das darauf beruht, präzise beschrieben; eine genaue Einschätzung für Ihre eigene Situation treffen Sie selbst, Ihr Jurist oder die Behörde.
Die größte Gruppe fällt heraus und unterliegt den Anforderungen dennoch
Der Teil der Richtlinie, der die meiste Aufmerksamkeit auf sich zieht, befasst sich mit der Sorgfaltspflicht: verpflichtete Organisationen müssen angemessene Maßnahmen ergreifen und dabei auch ihre Lieferanten bewerten. Das ist genau das, womit sich die größte Gruppe von Unternehmen auseinandersetzen muss. Ein Installationsbetrieb, der Gebäudemanagementsysteme für ein Energieunternehmen wartet, ein Reinigungsbetrieb, der für ein Krankenhaus arbeitet, oder ein IT-Partner einer Gemeinde: keiner von ihnen muss sich selbst anmelden, aber alle können eine Frageliste erhalten. In der Praxis wird das oft "lieferkettenbetroffen" genannt: Sie unterliegen der Richtlinie nicht selbst, aber ein Kunde, der das tut, fordert Sie auf, nachzuweisen, dass Ihre Sicherheit in Ordnung ist.
Ob das bei Ihrem Unternehmen eine Rolle spielt, hängt davon ab, wer Ihre Kunden sind und wie wichtig Ihre Dienstleistung für sie ist. Das ist ohne einen Überblick über Sektor, Größe und Ketenrolle gleichzeitig schwer abzuschätzen. In ein paar Fragen sehen Sie, wo Ihr Unternehmen ungefähr steht, mit einer Erläuterung warum und einem Vorschlag für den nächsten Schritt.
Finanzielle Einrichtungen: eine separate Regelung
Banken, Versicherungsunternehmen und andere Finanzinstitute unterliegen nicht der Richtlinie (EU) 2022/2555, sondern einer separaten Verordnung zur digitalen operationalen Widerstandsfähigkeit, die speziell auf den Finanzsektor ausgerichtet ist. Wer in diesem Sektor tätig ist, merkt das normalerweise bereits bei der ersten Aufnahmefrage zum Sektor.
Was zu tun ist, wenn die Antwort nicht klar ist
Sektor und Größe zusammen geben einen guten ersten Anhaltspunkt, aber die genaue Grenze zwischen "wesentlich", "wichtig", "lieferkettenbetroffen" und "nicht betroffen" erfordert Einzelfallbetrachtung. Die Wissensdatenbank mit allen Themen pro Situation bietet zu jedem Begriff eine Erläuterung und verweist auf die Fundstelle im offiziellen Text. Wenn Sie nach der Lektüre noch unsicher sind, sind ein Jurist oder die Aufsichtsbehörde in Ihrem Land der richtige Ansprechpartner zur Beurteilung Ihrer spezifischen Situation; secria.eu äußert sich dazu bewusst nicht.
Möchten Sie zunächst wissen, woher die Informationen auf dieser Plattform stammen und wie sie aktuell gehalten werden? Lesen Sie hier, wie wir Quellen nachverfolgbar machen. Antworten auf praktische Fragen zur Nutzung der Plattform finden Sie in die Übersicht mit häufig gestellten Fragen.
Die kurze Antwort auf "fällt mein Unternehmen unter die NIS2-Richtlinie" erhalten Sie also durch Nebeneinanderstellung von Sektor, Größe und Kettenrolle. Führen Sie die kostenlose Überprüfung durch und lesen Sie die Wissensdatenbank; sie geben Ihnen bereits ohne Konto einen ersten, fundierten Überblick darüber, wo Ihr Unternehmen steht.