NIS2: Wie Sie feststellen können, ob Ihr Unternehmen eine wesentliche oder wichtige Einrichtung ist

NIS2 wesentliche oder wichtige Einrichtung: Dies ist die erste Frage, die sich jedes Unternehmen angesichts des D.Lgs. 138/2024 stellen sollte, dem Dekret, das die europäische Richtlinie zur Cybersicherheit in Italien umgesetzt hat. Die Antwort ist kein formales Detail: Die Klassifizierung bestimmt die Intensität der Überwachung, das Sanktionsregime und den Umfang der umzusetzenden Sicherheitsmaßnahmen. Dennoch haben viele Unternehmen noch keine ernsthafte Selbstbewertung durchgeführt oder diese einer oberflächlichen Lektüre der Anhänge überlassen.

Der Ausgangspunkt: Die Anhänge des Dekrets

Das D.Lgs. 138/2024 identifiziert die relevanten Sektoren durch seine Anhänge, die Sektoren mit hoher Kritikalität von anderen kritischen Sektoren unterscheiden. Zu den ersteren gehören beispielsweise Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastrukturen und die Verwaltung von IKT-Diensten. Zu den letzteren zählen unter anderem Postdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, Herstellung bestimmter Produkte (einschließlich medizinischer Geräte, Elektronik, Maschinen und Transportmittel), Anbieter digitaler Dienste und Forschung.

Die erste Aufgabe besteht also darin zu prüfen, ob die eigene Tätigkeit in einen der aufgeführten Sektoren und Untersektoren fällt. Achtung: Entscheidend ist die tatsächlich ausgeübte Tätigkeit, nicht nur der ATECO-Code. Ein produzierendes Unternehmen kann für eine bestimmte Produktlinie in den Anwendungsbereich fallen, auch wenn die übrige Produktion außerhalb des Anwendungsbereichs liegt.

Die Größenkriterien: Wenn die Größe zählt

Der zweite Filter ist die Größe. Grundsätzlich gilt das Dekret für Organisationen, die die Schwellenwerte für Kleinunternehmen gemäß europäischer Klassifizierung überschreiten, also typischerweise für mittlere und große Unternehmen in den angeführten Sektoren. Die Unterscheidung zwischen wesentlicher und wichtiger Einrichtung hängt vereinfacht gesagt von der Kombination aus Zugehörigkeit zum Sektor und Größe ab: Große Unternehmen aus Sektoren mit hoher Kritikalität werden in der Regel als wesentlich eingestuft, während andere relevante Unternehmen normalerweise zu den wichtigen Einrichtungen zählen.

Es gibt jedoch relevante Ausnahmen: Einige Kategorien sind unabhängig von ihrer Größe enthalten, beispielsweise bestimmte Anbieter digitaler Infrastrukturen oder von den Behörden als kritisch identifizierte Akteure. Deshalb kann die Selbstbewertung nicht beim bloßen Zählen der Mitarbeiter enden.

Warum die Klassifizierung die Spielregeln ändert

• Überwachung: Wesentliche Einrichtungen unterliegen einer Ex-ante- und Ex-post-Überwachung, wichtige Einrichtungen einer überwiegend Ex-post-Überwachung, die bei Anzeichen einer Verletzung ausgelöst wird.
• Sanktionen: Die für wesentliche Einrichtungen vorgesehenen Höchststrafen sind höher als die für wichtige Einrichtungen.
• Verantwortung der Leitungsorgane: In beiden Fällen genehmigt die Unternehmensleitung die Risikomanagementmaßnahmen und ist für Verstöße verantwortlich, mit spezifischen Schulungspflichten.
• Erwartungen der Behörde: Der erwartete Umfang der Maßnahmen gemäß dem Artikel über Risikomanagementmaßnahmen nimmt mit der Kritikalität der Einrichtung zu.

Selbstbewertung: Eine Methode in vier Schritten

Eine vertretbare Selbstbewertung folgt einer präzisen Abfolge. Erstens: Die Geschäftsaktivitäten den Sektoren und Untersektoren der Anhänge zuordnen und die Begründung dokumentieren, auch wenn das Ergebnis negativ ist. Zweitens: Die Größenkriterien prüfen, unter Berücksichtigung der europäischen Regeln für verbundene und assoziierte Unternehmen, die dazu führen können, dass scheinbar kleine Gruppen die Schwellenwerte überschreiten. Drittens: Besondere Fälle prüfen, die von der Größe unabhängig sind. Viertens: Wenn relevant, die Registrierung auf der Plattform der nationalen zuständigen Behörde (ACN) innerhalb der vorgegebenen Fristen vornehmen und die eventuelle Bestätigung der Klassifizierung abwarten.

Der oft vernachlässigte Punkt ist die Dokumentation: Wenn die Behörde Ihre Bewertung hinterfragen sollte, ist eine schriftliche, datierte und begründete Analyse viel mehr wert als eine mündliche Überzeugung. Dies gilt auch im Umgang mit Kunden: Immer mehr Leistungsbeschreibungen fordern die Angabe des NIS2-Status.

Was jetzt zu tun ist

Wenn Ihr Unternehmen in einem der Sektoren der Anhänge tätig ist und die Größenschwellen überschreitet, ist die Frage nicht, ob Sie sich anpassen müssen, sondern mit welcher Priorität. Ein risikobasierter Ansatz beginnt mit der Klassifizierung, setzt sich mit einer Gap-Analyse der erforderlichen Maßnahmen fort und schließt mit einem nachhaltigen Anpassungsplan ab, ohne impulsive Technologiekäufe.

PL Consulting begleitet Unternehmen während des gesamten Prozesses, von der Prüfung der Anwendbarkeit über die Registrierung bis zur Umsetzung der Maßnahmen. Entdecken Sie den dedizierten Service unter pl-consulting.it/servizi/nis2 und fordern Sie eine Gap-Analyse an, um genau zu verstehen, wo Sie stehen und was noch fehlt.

Hinweis: Dieser Artikel dient zu Informationszwecken und ersetzt keine rechtliche oder technische Bewertung im Einzelfall; die endgültige Klassifizierung obliegt der zuständigen Behörde. Artikel aktualisiert im Juli 2026.