Fällt Ihre Organisation in den Geltungsbereich von NIS 2?
Fällt Ihre Organisation in den Geltungsbereich von NIS 2?
Im Jahr 2016 bezog sich die ursprüngliche NIS-Richtlinie auf sieben Schlüsselsektoren. Seitdem hat die EU ihren Blickwinkel auf die Sektoren erweitert, die für eine sichere, effiziente und effektive Gesellschaft als entscheidend gelten. Im Rahmen der NIS2-Richtlinie wurde der Anwendungsbereich daher durch die Ausweitung auf neun zusätzliche Sektoren deutlich erweitert. Sechzehn Schlüsselsektoren fallen nun insgesamt in den erweiterten Anwendungsbereich der überarbeiteten NIS2-Richtlinie.
Zu stellende Fragen
- Bietet unser Unternehmen einen kritischen Dienst oder eine wesentliche Funktion direkt für Endkunden oder als Hauptlieferant an, der/die die öffentliche Sicherheit oder die wirtschaftliche Stabilität beeinträchtigen könnte, wie die hier aufgeführten?
- Ist unser Unternehmen in einem der hier aufgeführten Sektoren tätig, der von der NIS2-Richtlinie abgedeckt ist?
- Hat Ihr Unternehmen seinen Sitz außerhalb der EU, bietet aber kritische Dienste innerhalb der EU an? Dann gilt diese Richtlinie auch für Sie!
- Gilt das „Lex-Specialist“-Prinzip? (Wenn ein sektorspezifischer EU-Rechtsakt gleichwertige Cybersicherheitsanforderungen oder Pflichten zur Meldung von Vorfällen vorsieht, haben diese sektorspezifischen Gesetze Vorrang – z. B. DORA, PSD2.)
Kritische Sektoren: Anhang I und Anhang II
Der Anwendungsbereich von NIS2 wird durch zwei Anhänge abgedeckt. Die Richtlinie gilt sowohl für öffentliche als auch für private Einrichtungen, auf die in Anhang I oder II, wie unten dargestellt. Anhang I listet die Sektoren mit hoher Kritikalität auf, die entweder ein Essentiell oder ein Wichtig Unternehmen, abhängig vom jährlichen Gesamtumsatz und der Größe der Organisation.
Anhang II enthält die weiteren von der EU festgelegten kritischen Sektoren, die nur in die Kategorie „Wichtige Einheiten“ fallen.
Kriterien, die bestimmen, welche Unternehmen NIS 2 einhalten müssen
Es gibt drei allgemeine Kriterien, die definieren, welche Organisationen NIS 2 einhalten müssen:
- Standort — wenn sie in einem Land der Europäischen Union Dienstleistungen erbringen oder Tätigkeiten ausüben (unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht) und
- Größe — ob sie als mittelgroße oder große Organisationen eingestuft werden (die Kriterien finden Sie im Abschnitt weiter unten) und
- Industrie — wenn sie in einem der 18 in der nachstehenden Tabelle aufgeführten Sektoren tätig sind.
Es gibt jedoch einige Ausnahmen von diesen Regeln – weitere Erläuterungen finden Sie in der Tabelle im Abschnitt weiter unten.
Wesentliche und wichtige Entitäten
NIS2 kategorisiert die in seinen Geltungsbereich fallenden Einrichtungen in zwei Gruppen: „wesentlich“ und „wichtig“. Der Hauptunterschied besteht darin, dass eine Unterbrechung der Dienste durch Einrichtungen der Gruppe „wesentlich“ schwerwiegende Folgen für die Gesellschaft des Landes als Ganzes hätte.
Beide Gruppen müssen dieselben Sicherheitsmaßnahmen einhalten. Allerdings unterliegen Einheiten der Kategorie „essentiell“ einer proaktiven Überwachung, während wichtige Einheiten nur überwacht werden, nachdem ein Verstoß gemeldet wurde. Organisationen müssen umgehend feststellen, ob sie in den Geltungsbereich fallen und ob sie als „essentiell“ oder „wichtig“ eingestuft werden.
Als „essentielle Einheiten“ und „wichtige Einheiten“ werden in NIS 2 Unternehmen und andere Organisationen bezeichnet, die NIS 2 einhalten müssen.
NIS 2 definiert wesentliche Einheiten wie folgt:
- Unternehmen, die als Großunternehmen eingestuft werden (siehe Kriterien im nächsten Abschnitt) und zu einem der 11 kritischen Sektoren gehören (siehe Tabelle unten)
- Vertrauensdienstleister
- DNS-Dienstanbieter
- Öffentliche elektronische Kommunikationsnetze
- Einrichtungen der öffentlichen Verwaltung
- Jede kritische Einrichtung gemäß der Richtlinie (EU) 2022/2557 zur Resilienz kritischer Einrichtungen
- Weitere von den Mitgliedstaaten benannte Stellen
Wichtige Unternehmen sind alle anderen Organisationen, die nicht als wesentliche Unternehmen eingestuft werden, aber unter die drei im vorherigen Abschnitt genannten Kriterien fallen.
Klassifizierung der Sektoren: Wesentliche und wichtige Einheiten
Angesichts der möglicherweise verwirrenden Erklärung zu NIS2 oben wird in der folgenden Tabelle verdeutlicht, welche Organisationen NIS2 einhalten müssen und ob sie als wesentliche oder wichtige Unternehmen eingestuft werden.
Zur weiteren Verdeutlichung folgt hier die Klassifizierung der EU nach ihrer Größe:
- Mikro- und Kleinstunternehmen – wenn sie weniger als 50 Mitarbeiter haben und einen Jahresumsatz von weniger als 10 Millionen Euro erzielen.
- Mittelgroße Unternehmen – wenn sie 50 bis 250 Mitarbeiter und einen Jahresumsatz von 10 bis 50 Millionen Euro haben.
- Große Organisationen – wenn sie mehr als 250 Mitarbeiter und einen Jahresumsatz von über 50 Millionen Euro haben.
