Was ist der Unterschied zwischen einer wesentlichen und einer wichtigen Einrichtung

Intensivere Aufsicht bei kritischen Einrichtungen, weniger intensiv bei wichtigen Einrichtungen

Der Unterschied liegt nicht in den Verpflichtungen selbst, sondern in ihrer Überwachung. Kritische und wichtige Einrichtungen unterliegen denselben Sorgfaltspflichten, denselben Registrierungspflichten und denselben Meldepflichten bei Vorfällen. Der Unterschied ergibt sich aus dem Sektor, in dem eine Organisation tätig ist, und der Größe dieser Organisation — zusammen bestimmen diese, ob eine Organisation als kritisch oder als wichtig eingestuft wird. Kritische Einrichtungen stammen in der Regel aus Sektoren, die als anfälliger oder gesellschaftlich kritischer angesehen werden, wie Energie, Trinkwasser oder digitale Infrastruktur, und sind oft die größeren Organisationen in diesen Sektoren. Wichtige Einrichtungen befinden sich in Sektoren, die etwas niedriger eingestuft werden, oder sind kleinere Organisationen in einem höher eingestuften Sektor.

Die praktische Folge liegt vor allem in der Aufsicht: kritische Einrichtungen können einer aktiven, laufenden Überwachung unterliegen, während die Überwachung wichtiger Einrichtungen eher reaktiv erfolgt — also nach einer Meldung oder einem Hinweis, dass etwas nicht stimmt. Für einen Unternehmer, der sich fragt, in welche Kategorie seine eigene Organisation fällt, ist es zunächst eine separate Frage, ob überhaupt ein Anwendungsbereich des Gesetzes gegeben ist; wer das noch nicht weiß, kann beginnen bei Woher weiß ich, ob mein Unternehmen unter die NIS2-Richtlinie fällt. Der Sektor, in dem eine Organisation tätig ist, ist dabei einer der wichtigsten Ansatzpunkte, und diese Sektoren sind auf der Seite über Welche Sektoren fallen unter die NIS2-Richtlinie.

Woher dieser Unterschied kommt

Der Unterschied zwischen kritischen und wichtigen Einrichtungen ergibt sich aus der Sektoreinteilung und den Größenkriterien der NIS2-Richtlinie und wurde in den Niederlanden durch das Cybersicherheitsgesetz, die nationale Umsetzung dieser Richtlinie, weiter konkretisiert. Die Sorgfaltspflicht, die für beide Kategorien gilt, ist in Artikel 21 Absatz 2 der Richtlinie festgelegt, mit den zehn daraus folgenden Maßnahmen. Das NCSC bietet Informationen darüber, wie diese Sorgfaltspflicht und die Meldepflicht in der Praxis funktionieren.