Welche Unternehmen müssen die NIS 2 einhalten? Wesentliche vs. wichtige Einrichtungen

Die NIS 2-Richtlinie enthält eine klare Liste aller Sektoren und Teilsektoren (Branchen), die diese europäische Cybersicherheitsrichtlinie einhalten müssen. Allerdings gibt es viele Ausnahmen und die Abgrenzung zwischen wesentlichen und wichtigen Einrichtungen ist nicht ganz einfach zu verstehen – in diesem Artikel gebe ich eine klare Erläuterung, wer in welchem Status konform sein muss.

Kriterien, die bestimmen, welche Unternehmen die NIS-2 einhalten müssen

Es gibt drei allgemeine Kriterien, die festlegen, welche Organisationen die NIS 2 einhalten müssen:

• 1) Standort – wenn sie in einem beliebigen Land der Europäischen Union Dienstleistungen erbringen oder Tätigkeiten ausüben (unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht) und
• 2) Größe – wenn sie als mittelgroße oder große Organisationen eingestuft werden (siehe die Kriterien im folgenden Abschnitt) und
• 3) Branche – wenn sie in einem in der nachstehenden Tabelle aufgeführten 18 Sektoren tätig sind.

Es gibt jedoch einige Ausnahmen von diesen Regeln – siehe Tabelle im nachstehenden Abschnitt für weitere Erläuterungen.

Was sind wesentliche und wichtige Einrichtungen?

„Wesentliche Einrichtungen“ und „wichtige Einrichtungen“ – so werden in der NIS 2 Unternehmen und andere Organisationen bezeichnet, die die NIS 2 einhalten müssen.

Die NIS 2 definiert wesentliche Unternehmen wie folgt:

• Unternehmen, die als Großunternehmen eingestuft werden (siehe die Kriterien im nächsten Abschnitt) und zu einem der 11 kritischen Sektoren gehören (siehe Tabelle unten)
• Anbieter von Vertrauensdiensten
• Anbieter von DNS-Diensten
• Öffentliche elektronische Kommunikationsnetze
• Einrichtungen der öffentlichen Verwaltung
• Alle kritischen Einrichtungen gemäß der Richtlinie über die Resilienz kritischer Einrichtungen (CER) (EU) 2022/2557
• Andere von den Mitgliedstaaten festgelegte Einrichtungen.

Wichtige Einrichtungen sind alle anderen Organisationen, die nicht als wesentliche Einrichtungen eingestuft sind, aber unter die drei im vorherigen Abschnitt genannten Kriterien fallen.

Umfassender Leitfaden zur NIS-2-Richtlinie

Kostenloses Whitepaper, das die Grundlagen der NIS-2-Richtlinie der Europäischen Union erklärt

JETZT HERUNTERLADEN

Aufschlüsselung der Sektoren und wesentlichen und wichtigen Einrichtungen

Da die obige Erklärung aus der NIS 2 etwas verwirrend ist, habe ich die folgende Tabelle erstellt, um zu zeigen, welche Organisationen die NIS 2 einhalten müssen und ob sie als wesentliche oder wichtige Einrichtungen eingestuft werden.

Zur Verdeutlichung wird hier aufgeführt, wie die EU Unternehmen nach ihrer Größe einstuft:

• Kleinst- und kleine Organisationen – wenn sie weniger als 50 Mitarbeiter und weniger als 10 Millionen Euro Jahresumsatz haben,
• mittelgroße Unternehmen – mit 50 bis 250 Mitarbeitern und einem Jahresumsatz von 10 bis 50 Millionen Euro,
• große Unternehmen – mit mehr als 250 Mitarbeitern und einem Jahresumsatz von mehr als 50 Millionen Euro.

• Wenn gemäß NIS-2 Artikel 2 Absatz 2:
  • “(b) es sich bei der Einrichtung in einem Mitgliedstaat um den einzigen Anbieter eines Dienstes handelt, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist;
  • (c) sich eine Störung des von der Einrichtung erbrachten Dienstes wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte;
  • (d) eine Störung des von der Einrichtung erbrachten Dienstes zu einem wesentlichen Systemrisiko führen könnte, insbesondere in Sektoren, in denen eine solche Störung grenzübergreifende Auswirkungen haben könnte;
  • (e) die Einrichtung aufgrund der besonderen Bedeutung, die sie auf nationaler oder regionaler Ebene für den betreffenden Sektor oder die betreffende Art des Dienstes oder für andere voneinander abhängige Sektoren in dem Mitgliedstaat hat, kritisch ist;”
• Wenn ein Mitgliedstaat diese Einrichtung als „kritische Einrichtung“ gemäß der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER) definiert hat.

Was ist bei wesentlichen und wichtigen Einrichtungen in der NIS-2 anders?

Hier sind die wichtigsten Unterschiede im Umgang mit wesentlichen und wichtigen Einrichtungen in der NIS 2:

• In Artikel 32 sind für wesentliche Einrichtungen strengere Aufsichts- und Durchsetzungsmaßnahmen vorgesehen als in Artikel 33 für wichtige Einrichtungen.
• Artikel 34 sieht höhere Geldbußen für wesentliche Einrichtungen vor:
  • Für wesentliche Einrichtungen – die Geldbußen betragen bis zu 10 Millionen Euro oder 2 % des gesamten Jahresumsatzes.
  • Für wichtige Einrichtungen – die Geldbußen betragen bis zu 7 Millionen Euro oder 1,4 % des gesamten Jahresumsatzes.

Viel größere Reichweite als die alte NIS-Richtlinie

Es wird geschätzt, dass mindestens 100 000 Unternehmen die NIS 2 einhalten müssen – das ist eine viel größere Zahl als in der alten NIS-Richtlinie gefordert. Darüber hinaus gilt die NIS 2 auch für wichtige und wesentliche Einrichtungen, die in den EU-Ländern Dienstleistungen erbringen, selbst wenn diese Unternehmen ihren Sitz außerhalb der Europäischen Union haben.

Es wird also viel Arbeit für Cybersicherheitsexperten geben.

Für weitere Informationen über NIS-2 laden Sie dieses kostenlose Whitepaper herunter: Umfassender Leitfaden zur NIS-2-Richtlinie.