Fallen Sie unter NIS2?
Drei Fragen, um zu klären, ob Sie als wesentliche Einrichtung, wichtige Einrichtung oder Lieferkette gemäß GVD 138/2024 gelten.
Gut zu wissen
NIS2-Perimeter-Check: wesentliche oder wichtige Einrichtung?
Die Richtlinie (EU) 2022/2555, bekannt als NIS2, hat den Kreis der zu Cybersicherheitspflichten verpflichteten Einrichtungen erheblich erweitert. Sie gilt für mittlere und große Organisationen in „Sektoren mit hoher Kritikalität“ (Energie, Gesundheit, Verkehr, Banken, digitale Infrastruktur) oder „kritischen Sektoren“ (verarbeitendes Gewerbe, Lebensmittel, Abfallwirtschaft, Post usw.) und unterscheidet zwischen wesentlichen und wichtigen Einrichtungen.
Zu klären, ob du in den NIS2-Anwendungsbereich fällst, ist der erste Schritt: Aus dieser Einstufung folgen Pflichten zum Risikomanagement (Art. 21), die Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 und 72 Stunden und — für wesentliche Einrichtungen — eine aktive Aufsicht durch die zuständige Behörde. Auch ohne direkte Verpflichtung kannst du als Teil der Lieferkette einer NIS2-Einrichtung indirekt betroffen sein. Dieser Check gibt dir eine sofortige Einschätzung; das Ergebnis erhältst du als PDF per E-Mail.
Bist du bereit für eine Datenpanne? Welche ISO-Zertifizierung brauchst du? Mit einem NIS2-Berater sprechen
Häufige Fragen zu NIS2
Was ist NIS2?
NIS2 (Richtlinie EU 2022/2555) ist die europäische Regelung zur Sicherheit von Netz- und Informationssystemen. Sie ersetzt die frühere NIS-Richtlinie, erweitert Sektoren und betroffene Einrichtungen und verschärft die Pflichten zu Risikomanagement und Vorfallmeldung.
Welche Unternehmen fallen unter NIS2?
In der Regel mittlere und große Unternehmen (mindestens 50 Mitarbeiter oder 10 Mio. Euro Umsatz) in den in den Anhängen I und II genannten Sektoren. Bestimmte Kategorien, etwa kritische digitale Diensteanbieter, fallen unabhängig von der Größe darunter.
Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung?
Wesentliche Einrichtungen (hochkritische Sektoren) unterliegen einer aktiven, präventiven Aufsicht; wichtige Einrichtungen (weitere kritische Sektoren) einer nachträglichen Aufsicht, die bei Anhaltspunkten für Verstöße greift. Die inhaltlichen Sicherheitspflichten sind weitgehend gleich.
Welche Pflichten schreibt NIS2 vor?
Technische und organisatorische Maßnahmen zum Risikomanagement (Art. 21), Meldung erheblicher Vorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Meldung), Schulung der direkt verantwortlichen Leitungsorgane und Sicherheit in der Lieferkette.
Was riskiert, wer NIS2 nicht umsetzt?
Für wesentliche Einrichtungen betragen die Bußgelder bis zu 10 Mio. Euro oder 2% des weltweiten Umsatzes; für wichtige bis zu 7 Mio. oder 1,4%. Zudem ist die persönliche Verantwortung der Leitungsorgane vorgesehen.