Bin ich von NIS-2 betroffen?
Und was bedeutet das für mein Unternehmen?
In den letzten Wochen beobachte ich eine regelrechte Explosion an „Experten-Webinaren“ und „Deep-Dive Sessions“ zu NIS2. Nach dem zehnten LinkedIn-Post mit nahezu identischen Basics frage ich mich: Wem nützt diese Informationsflut noch?
„Die Basis für eine erfolgreiche NIS2-Compliance ist ein gut funktionierendes ISMS. Wer hier seine Hausaufgaben macht, wird feststellen, dass NIS-2 keine Mammutaufgabe ist, sondern eine Evolution bestehender Prozesse.“
Warum ist die Betroffenheitsprüfung wichtig?
NIS2 folgt dem Grundsatz der Selbstidentifizierung. Unternehmen müssen selbst feststellen, ob sie unter die gesetzlichen Anforderungen fallen. Das BSI informiert betroffene Unternehmen grundsätzlich nicht aktiv über ihre Betroffenheit. Zur Unterstützung stellt das BSI eine offizielle NIS2-Betroffenheitsprüfung bereit, die Unternehmen eine erste Orientierung gibt. Das Ergebnis dient jedoch nur als Hilfestellung und ersetzt keine eigene rechtliche Bewertung.
Wer kann von NIS2 betroffen sein?
Die NIS2-Regulierung (§28 BSIG) unterscheidet zwischen:
Besonders wichtigen Einrichtungen und wichtigen Einrichtungen
Zu den besonders wichtigen gehören insbesondere:
- Betreiber kritischer Anlagen (KRITIS)
- qualifizierte Vertrauensdiensteanbieter
- DNS-Diensteanbieter und Top-Level-Domain-Registries
- große Unternehmen aus den Sektoren der Anlage 1 BSIG
Als groß gilt typischerweise ein Unternehmen mit:
- mindestens 250 Beschäftigten oder
- mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme.
Zu den wichtigen Einrichtungen gehören Unternehmen aus den erfassten NIS2-Sektoren, die mindestens:
- 50 Beschäftigte haben oder
- mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme aufweisen.
Die drei zentralen Prüffragen
Gehört mein Unternehmen zu einem relevanten NIS2-Sektor?
NIS2 erfasst Unternehmen aus insgesamt 18 Sektoren. Dazu geghören u.a.:
- Energie
- Verkehr
- Gesundheitswesen
- Trinkwasser
- Digitale Infrastruktur
- Öffentliche elektronische Kommunikation
- Managed Services
- Rechenzentren
- Lebensmittelproduktion
- Herstellung bestimmter Industrieprodukte
- Forschungseinrichtungen
Erfüllt mein Unternehmen die Größenkriterien?
Die meisten Unternehmen fallen erst dann unter NIS2, wenn die gesetzlichen Schwellenwerte bezüglich Mitarbeiterzahl oder Umsatz/Bilanzsumme erreicht werden. Dabei gelten die Vorgaben der EU-KMU-Definition.
Als Faustregel gilt:
- Unternehmen mit mehr als 50 Mitarbeitenden oder mehr als 10 Millionen € Umsatz und Bilanzsumme fallen unter wichtige Einrichtungen,
- Unternehmen mit mehr als 250 Mitarbeitern oder 50 Millionen € Umsatz und mehr als 43 Millionen € Billanzsumme fallen unter besonders wichtige Einrichtungen.
Übt mein Unternehmen tatsächlich die relevante Tätigkeit aus?
Nicht die Firmenbezeichnung ist entscheidend, sondern die tatsächliche wirtschaftliche Tätigkeit.
Beispiel: Ein Maschinenbauunternehmen kann betroffen sein, weil die Herstellung bestimmter Produkte ausdrücklich im NIS2-Anwendungsbereich genannt wird. Ein Handelsunternehmen, das die gleichen Produkte lediglich vertreibt, kann dagegen anders bewertet werden.
Welche Rolle spielen NACE- und WZ-Codes?
NACE ist die europaweit verwendete Klassifikation von Wirtschaftszweigen. Die NIS2-Richtlinie nutzt in mehreren Bereichen genau diese Systematik, um betroffene Unternehmen eindeutig zu definieren.
Beispiele für NIS2-relevante NACE-Bereiche:
- NACE 21 – Herstellung pharmazeutischer Erzeugnisse
- NACE 26 – Datenverarbeitung, Elektronik und Optik
- NACE 27 – Elektrische Ausrüstung
- NACE 28 – Maschinenbau
- NACE 29 – Kraftwagen und Kraftwagenteile
- NACE 30 – Sonstiger Fahrzeugbau
Die deutsche Klassifikation der Wirtschaftszweige (WZ) ist die nationale Umsetzung der NACE-Systematik.
Für die Betroffenheitsprüfung empfiehlt es sich daher:
- Handelsregistereintrag prüfen
- Gewerbeanmeldung prüfen
- vorhandene WZ-Codes prüfen
- tatsächliche Geschäftstätigkeiten dokumentieren
Sonderfall: Konzernunternehmen
Eine typische Frage lautet:
„Wenn nur die Muttergesellschaft die Anforderungen erfüllt, reicht das aus?“
Nein. Laut BSI ist grundsätzlich jedes rechtlich eigenständige Unternehmen separat zu betrachten. Wenn Mutter- und Tochtergesellschaft jeweils unter eine erfasste Einrichtungsart fallen und die gesetzlichen Größenkriterien erfüllen, können beide Unternehmen unabhängig voneinander reguliert werden.
Beispiel: Die Muttergesellschaft betreibt zentrale IT-Services.
Die Tochtergesellschaft erbringt digitale Dienstleistungen für Kunden. Erfüllen beide die gesetzlichen Voraussetzungen, können beide Unternehmen den NIS2-Anforderungen unterliegen.
Sonderfall: Tochterunternehmen außerhalb der EU
Für die Berechnung der Unternehmensgröße gelten die Regeln der europäischen KMU-Empfehlung.
Das BSI weist darauf hin, dass verbundene Unternehmen unter Umständen bei der Berechnung von Mitarbeiterzahlen, Umsätzen und Bilanzsummen berücksichtigt werden müssen – auch wenn sich einzelne Konzernunternehmen außerhalb Deutschlands oder außerhalb der EU befinden. Dadurch kann ein Unternehmen schneller die relevanten Schwellenwerte erreichen.
Beispiel: Ein deutsches Tochterunternehmen beschäftigt lediglich 40 Mitarbeitende. Wird es jedoch zusammen mit verbundenen Gesellschaften betrachtet, können die konsolidierten Kennzahlen die Schwellenwerte überschreiten. Dadurch kann dennoch eine NIS2-Betroffenheit entstehen.
Was bedeutet eine Betroffenheit konkret?
Wird Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung eingestuft, ergeben sich unter anderem folgende Verpflichtungen:
- Einrichtung eines Risikomanagements
- Umsetzung technischer und organisatorischer Sicherheitsmaßnahmen
- Incident Management und Meldeprozesse
- Backup- und Wiederherstellungskonzepte
- Nachweis- und Dokumentationspflichten
- Verantwortung der Geschäftsleitung
- Registrierung gegenüber der zuständigen Aufsichtsbehörde
Fazit
Die Feststellung, ob Ihr Unternehmen unter NIS-2 fällt, ist der erste Schritt Richtung Compliance.
Wenn Sie nicht sicher sind, ob Sie von NIS-2 betroffen sind, wenden Sie sich gerne an uns.
Weitere Beiträge