Welche Aufsichtsbehörde beaufsichtigt meinen Sektor unter der NIS2-Richtlinie

Aufsicht nach Land und Branche geregelt

Welche Aufsichtsbehörde kontrolliert, hängt von dem Land und der Branche ab, in der eine Organisation tätig ist. Die NIS2-Richtlinie verpflichtet jeden Mitgliedstaat, selbst eine oder mehrere zuständige Behörden zu benennen, und diese Wahl unterscheidet sich von Land zu Land. In den Niederlanden erfolgt diese Benennung durch das Cybersecurity Act, die nationale Umsetzung der NIS2, und dort wird pro Branche festgelegt, wer die Aufsicht führt — das kann eine Branchenaufsichtsbehörde sein oder eine Stelle, die speziell für diesen Zweck benannt wurde. Für allgemeine Informationen über die Sorgfaltspflicht und die Meldepflicht ist das NCSC eine ständige Anlaufstelle, aber das NCSC ist nicht automatisch die Aufsichtsbehörde für jede Branche.

Für diejenigen, die noch nicht wissen, ob dieses Thema überhaupt relevant ist, ist es sinnvoll, zuerst zu überprüfen wie zu bestimmen ist, ob ein Unternehmen unter die NIS2-Richtlinie fällt — die Frage "wer kontrolliert mich" folgt nämlich erst auf die Frage "werde ich kontrolliert". Sobald das klar ist, ist der nächste Schritt normalerweise der Überblick über die zehn Maßnahmen, die sich aus der Sorgfaltspflicht ergeben, weil die Behörde dies in der Praxis überprüft. Dieses Thema erhält hier bewusst noch keine endgültige Zuweisung einer bestimmten Behörde pro Sektor, da diese Einteilung pro Land unterschiedlich ausgearbeitet ist und in den Niederlanden durch das Cybersicherheitsgesetz noch weiter konkretisiert wird.

Grundlage in der Richtlinie und dem nationalen Gesetz

NIS2 selbst richtet sich in Artikel 21 Absatz 2 auf die zehn Maßnahmen, die von kritischen und wichtigen Einrichtungen ergriffen werden müssen, aber die Frage, welche Behörde Aufsicht ausübt, wird in der Richtlinie den Mitgliedstaaten überlassen und wird erst in der nationalen Umsetzung konkret — in den Niederlanden das Cybersicherheitsgesetz. Daher ist die richtige Fundstelle für die genaue Behörde pro Sektor der Text dieses Gesetzes selbst, ergänzt durch die Veröffentlichungen der Behörden, die das NCSC verwaltet.