NIS2 betrifft nicht automatisch jedes Unternehmen. Entscheidend ist die Kombination aus Branche, bzw. Tätigkeitsbereich, Unternehmensgröße, Art der angebotenen Dienstleistung, Bedeutung der Einrichtung und mögliche gesetzliche Sonderregelungen.
Sektoren
Als Grundregel werden insbesondere mittlere und große Einrichtungen aus bestimmten wesentlichen und wichtigen regulierten Sektoren erfasst. Zu diesen gehören zum Beispiel: Energie, Verkehr, Finanzmarktinfrastruktur, Gesundheitswesen, Trink- und Abwasser, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittel, Chemie und bestimmte digitale Dienste und Forschungsbereiche.
Insgesamt spricht die EU-Kommission von 18 kritischen Sektoren, womit NIS2 deutlich über klassische Betreiber kritischer Infrastruktur hinausgeht. Für Unternehmen bedeutet das: Sie müssen kein Krankenhaus oder Stromversorger sein, um betroffen zu sein. Es gibt zudem Ausnahmen, bei denen auch kleinere Einrichtungen betroffen sein können.
Schwellenwerte
Die Unternehmensgröße ist bei der Beurteilung der Betroffenheit ein wichtiges Kriterium. Grundsätzlich richtet sich die NIS2 Richtlinie an mittlere und große Unternehmen. Als Orientierung gelten:
- mindestens 50 Beschäftigte oder
- mindestens 10 Mio. Euro Jahresumsatz und zugleich eine Jahresbilanzsumme von über 10 Mio. Euro.
In der Regel genügt es, wenn die Mitarbeiterzahl und eines der beiden finanziellen Kriterien erfüllt ist. Hintergrund dieser Schwellenwerte ist, dass der Gesetzgeber insbesondere Unternehmen erfassen möchte, deren Ausfall größere Auswirkungen auf Lieferketten und kritische Dienstleistungen haben könnte.
Zu beachten ist an dieser Stelle aber unbedingt, dass diese Schwellenwerte nicht allein über die Betroffenheit entscheiden. Ein Unternehmen mit 350 Mitarbeitenden außerhalb der relevanten Sektoren fällt nicht automatisch unter NIS2.
Sondertatbestände
Neben Unternehmen, die trotz ihrer Größe nicht unter NIS2 fallen, gibt es auch Unternehmen, die von NIS2 betroffen sind, obwohl sie deutlich unter den genannten Schwellenwerten liegen.
Das betrifft vor allem Unternehmen und Organisationen, deren Tätigkeit für die Funktionsfähigkeit digitaler oder gesellschaftlicher Infrastruktur besonders wichtig ist. Das können zum Beispiel
- DNS-Anbieter,
- Anbieter von Vertrauensdiensten,
- Betreiber öffentlicher elektronischer Kommunikationsnetze oder
- TLD-Register sein.
Die nationale Umsetzung der Richtlinie kann zudem weitere Einrichtungen erfassen, wenn sie von besonderer Bedeutung für die öffentliche Sicherheit oder Versorgung sind. Aus diesem Grund ist es wichtig, dass auch kleinere Unternehmen ihre Betroffenheit prüfen und sich nicht ausschließlich auf die Größenkriterien verlassen.
Ihre Verantwortung als Unternehmen
Unternehmen müssen Ihre Betroffenheit grundsätzlich selbst prüfen. Für eine erste Einschätzung können folgende Fragen helfen:
- Gehört Ihr Unternehmen zu einem der 18 betroffenen Sektoren?
- Erfüllen Sie die Größenkriterien?
- Gibt es Sonderregelungen für Ihre Tätigkeit?
Wenn Sie eine oder mehrere dieser Fragen nicht eindeutig beantworten können, sollte die Betroffenheit genauer geprüft werden. Das BSI stellt dafür eine digitale Betroffenheitsprüfung bereit, die Ihnen eine erste Orientierung geben kann. Eine rechtssichere Prüfung ersetzt dieses Online-Prüfprotokoll allerdings nicht.
https://betroffenheitspruefung-nis-2.bsi.de
Nach der Betroffenheitsprüfung folgen nun die nächsten Schritte. In den kommenden Wochen erfahren Sie hier unter anderem, welche konkreten Pflichten im Falle einer Betroffenheit für Unternehmen gelten und welche Rolle die Geschäftsleitung in dem Prozess einnehmen sollte.