NIS2 erfasst nur einen Teil der Fertigungsunternehmen: Hersteller von Medizinprodukten und In-vitro-Diagnostika sowie Unternehmen, die in den Abteilungen 26 bis 30 der NACE Rev. 2 tätig sind (Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, also auch viele Zulieferer der Automobilindustrie, sonstiger Fahrzeugbau). Unternehmen mit 50 oder mehr Beschäftigten oder mit Umsatz und Bilanzsumme jeweils über 10 Mio. EUR fallen darunter, in der Regel als wichtige Einrichtungen.
Dieser Leitfaden behandelt die Liste in Anhang II, die Bedeutung der NACE-Abteilungen, die Größenschwelle, Zulieferer der Automobilindustrie, Autohäuser, den Status als wesentliche oder wichtige Einrichtung, die Pflichten, das, was das Gesetz offenlässt, und eine Checkliste.
| Anhang II Nummer | Teilsektor, laut Richtlinie | Wer erfasst ist |
|---|---|---|
| 5(a) | Herstellung von Medizinprodukten und In-vitro-Diagnostika | Hersteller nach MDR und IVDR, außer kritische Produkte nach Anhang I |
| 5(b) | Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen | NACE Rev. 2, Abschnitt C, Abteilung 26 |
| 5(c) | Herstellung von elektrischen Ausrüstungen | Abteilung 27 |
| 5(d) | Maschinenbau | Abteilung 28 |
| 5(e) | Herstellung von Kraftwagen und Kraftwagenteilen | Abteilung 29 |
| 5(f) | Sonstiger Fahrzeugbau | Abteilung 30 |
Welche Hersteller fallen unter NIS2?
Anhang II Nummer 5 hat sechs Teilsektoren. Fünf verwenden denselben Wortlaut, nur die Nummer der Abteilung ändert sich:
„Unternehmen, die eine der Wirtschaftstätigkeiten im Sinne des Abschnitts C Abteilung 26 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausüben“
Der sechste, Nummer 5 Buchstabe a, ist gar nicht über die NACE bestimmt:
„Einrichtungen, die Medizinprodukte im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) 2017/745 […] herstellen, und Einrichtungen, die In-vitro-Diagnostika im Sinne des Artikels 2 Nummer 2 der Verordnung (EU) 2017/746 […] herstellen, mit Ausnahme der unter Anhang I Nummer 5 fünfter Gedankenstrich dieser Richtlinie aufgeführten Einrichtungen, die Medizinprodukte herstellen“
Die Ausnahme verweist auf Anhang I, Gesundheitswesen: Hersteller von Medizinprodukten, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch eingestuft werden und auf der Liste nach Artikel 22 der Verordnung (EU) 2022/123 stehen.
Achten Sie auf die Worte „eine der Wirtschaftstätigkeiten“. Der Eintrag zur Abfallbewirtschaftung im selben Anhang nimmt Unternehmen aus, für die Abfallbewirtschaftung „nicht ihre Hauptwirtschaftstätigkeit ist“. Die Einträge zum verarbeitenden Gewerbe kennen keine solche Grenze, sodass schon eine Nebentätigkeit ein Unternehmen in den Anwendungsbereich bringen kann. Nationale Gesetze können das einschränken: In Deutschland kann eine Einrichtung Geschäftstätigkeiten unberücksichtigt lassen, die im Hinblick auf ihre gesamte Geschäftstätigkeit vernachlässigbar sind (§ 28(3) BSIG).
Welche Hersteller sind nicht aufgeführt?
Pharmazeutische Erzeugnisse (Abteilung 21) fallen unter Anhang I, Gesundheitswesen. Chemie und Lebensmittel sind eigene Sektoren in Anhang II, bestimmt über REACH und das EU-Lebensmittelrecht. Der Rest von Abschnitt C liegt außerhalb des Eintrags, zum Beispiel Kunststoffwaren (Gruppe 22.2), Metallerzeugnisse (Abteilung 25) sowie Reparatur und Installation von Maschinen und Ausrüstungen (Abteilung 33). Außerhalb von Nummer 5 heißt nicht immer außerhalb von NIS2: Der Eintrag zu chemischen Stoffen, Anhang II Nummer 3, erfasst auch Unternehmen, die Erzeugnisse im Sinne von REACH aus Stoffen oder Gemischen produzieren. Prüfen Sie, wie Ihr nationales Recht und Ihre Behörde das auslegen.
Was bedeutet Abschnitt C Abteilung 26 der NACE Rev. 2?
Die NACE Rev. 2 ist die statistische Systematik der Wirtschaftszweige der EU. Abschnitt C heißt „Verarbeitendes Gewerbe/Herstellung von Waren“. Abteilungen haben zwei Ziffern, Gruppen drei (29.3) und Klassen vier (29.31). „Abschnitt C Abteilung 26“ meint die gesamte Abteilung 26, die Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen. „a. n. g.“ bedeutet anderweitig nicht genannt.
| Abteilung | Bezeichnung in der NACE Rev. 2 | Umfang, nach Gruppen |
|---|---|---|
| 26 | Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen | Elektronische Bauelemente und Leiterplatten (26.1); Datenverarbeitungsgeräte und periphere Geräte (26.2); Geräte und Einrichtungen der Telekommunikationstechnik (26.3); Geräte der Unterhaltungselektronik (26.4); Mess-, Kontroll-, Navigations- u. ä. Instrumente und Vorrichtungen, Uhren (26.5); Bestrahlungs- und Elektrotherapiegeräte und elektromedizinische Geräte (26.6); optische und fotografische Instrumente und Geräte (26.7); magnetische und optische Datenträger (26.8) |
| 27 | Herstellung von elektrischen Ausrüstungen | Elektromotoren, Generatoren, Transformatoren, Elektrizitätsverteilungs- und -schalteinrichtungen (27.1); Batterien und Akkumulatoren (27.2); Kabel und elektrisches Installationsmaterial (27.3); elektrische Lampen und Leuchten (27.4); Haushaltsgeräte (27.5); sonstige elektrische Ausrüstungen und Geräte a. n. g. (27.9) |
| 28 | Maschinenbau | Nicht wirtschaftszweigspezifische Maschinen (28.1); sonstige nicht wirtschaftszweigspezifische Maschinen, etwa Hebezeuge und Fördermittel (28.2); land- und forstwirtschaftliche Maschinen (28.3); Metallumformmaschinen und Werkzeugmaschinen (28.4); Maschinen für sonstige bestimmte Wirtschaftszweige (28.9) |
| 29 | Herstellung von Kraftwagen und Kraftwagenteilen | Kraftwagen und Kraftwagenmotoren (29.1); Karosserien, Aufbauten, Anhänger und Sattelanhänger (29.2); Teile und Zubehör für Kraftwagen (29.3) |
| 30 | Sonstiger Fahrzeugbau | Schiff- und Bootsbau (30.1); Schienenfahrzeugbau (30.2); Luft- und Raumfahrzeugbau (30.3); militärische Kampffahrzeuge (30.4); Fahrzeuge a. n. g., etwa Krafträder und Fahrräder (30.9) |
Die NACE ordnet Tätigkeiten ein, nicht Unternehmen. Gehen Sie deshalb davon aus, was an jedem Standort geschieht, nicht vom Code in Ihrem Registereintrag. Ein Hersteller von Medizinprodukten, der anders eingeordnet ist, etwa in Gruppe 32.5 (medizinische und zahnmedizinische Apparate und Materialien), bleibt über Nummer 5 Buchstabe a erfasst. Sinnvoll ist, die Entscheidung je juristischer Person festzuhalten:
NIS2-ZUORDNUNG DER FERTIGUNGSTÄTIGKEITEN
Juristische Person: [Name, Registernummer]
Eingetragener Code: [Code, NACE Rev. 2 oder Rev. 2.1]
Größenklasse: [mittleres / großes Unternehmen, mit Konzerndaten]
Tätigkeit NACE Rev. 2 Anhang/Nr. Beschäftigte Umsatz
[ECU-Montage] 29.31 II 5(e) [ ] [ ]
[Fahrzeugreparatur] 45.2 keine [ ] [ ]
[Produkt nach MDR] entfällt II 5(a) [ ] [ ]
Vernachlässigbare Tätigkeit? [nationale Regel, falls vorhanden, Begründung]
Ergebnis: [nicht erfasst / wichtig / wesentlich, falls bestimmt]
Geprüft von, Datum: [Name, Funktion], [Datum]NACE Rev. 2 oder NACE Rev. 2.1?
Die Anhänge der Richtlinie verweisen auf die NACE Rev. 2. Die NACE Rev. 2.1, eingeführt durch die Delegierte Verordnung (EU) 2023/137 der Kommission, wird ab 2025 für europäische Statistiken verwendet. Zeigt Ihr Registereintrag inzwischen einen Code nach Rev. 2.1, ermitteln Sie in der Praxis mit den Korrespondenztabellen von Eurostat die Klasse nach Rev. 2, bevor Sie eine Schlussfolgerung ziehen.
Gilt die NIS2-Größenschwelle für Hersteller?
Ja. Artikel 2 Absatz 1 verlangt, dass die Einrichtung nach der Empfehlung 2003/361/EG mindestens ein mittleres Unternehmen ist: 50 oder mehr Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR. Verbundene Unternehmen zählen voll, Partnerunternehmen anteilig. Eine Tochtergesellschaft eines großen Konzerns mit 40 Beschäftigten kann also ein großes Unternehmen sein. Nach Erwägungsgrund 16 können die Mitgliedstaaten berücksichtigen, wie unabhängig ihre Systeme und Dienste sind.
Kleinere Hersteller sind nicht erfasst, es sei denn, ihr Mitgliedstaat bestimmt sie nach Artikel 2 Absatz 2 oder als kritische Einrichtungen nach der CER-Richtlinie (Artikel 2 Absatz 3). Der NIS2-Betroffenheitscheck liefert eine erste Antwort anhand von Sektor, Beschäftigtenzahl und Umsatz.
Sind Zulieferer der Automobilindustrie betroffen?
Viele ja. Abteilung 29 umfasst die Gruppe 29.3, „Herstellung von Teilen und Zubehör für Kraftwagen“, mit zwei Klassen: elektrische und elektronische Ausrüstungsgegenstände für Kraftwagen (29.31) sowie sonstige Teile und sonstiges Zubehör (29.32). Ein Zulieferer, der dort tätig und mindestens ein mittleres Unternehmen ist, fällt unter Nummer 5 Buchstabe e. Hersteller elektronischer Bauelemente (26.1) und von Batterien (27.2) fallen unter Nummer 5 Buchstaben b und c. Reifen (22.11), Kunststoffteile (22.2) und Gussteile (24.5) liegen außerhalb von Nummer 5, der oben beschriebene Eintrag zu chemischen Stoffen kann aber dennoch greifen.
Nicht erfasst heißt nicht unberührt. Ihre Kunden, die unter NIS2 fallen, müssen „die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter“ und deren Cybersicherheitspraxis berücksichtigen (Artikel 21 Absatz 3). In der Praxis kommt das als Fragebögen, Vertragsklauseln und Auditrechte bei Ihnen an: siehe Sicherheit der Lieferkette nach NIS2.
Fallen Autohäuser unter NIS2?
Nicht als Autohaus. Der Handel mit Kraftwagen ist die NACE-Gruppe 45.1 in Abschnitt G, „Handel; Instandhaltung und Reparatur von Kraftfahrzeugen“, neben Instandhaltung und Reparatur (45.2) und dem Handel mit Kraftwagenteilen und -zubehör (45.3). Keiner der beiden Anhänge führt sie auf.
Zwei Einschränkungen. Eine Autohausgruppe, die zusätzlich eine aufgeführte Tätigkeit ausübt, wird danach beurteilt. Der Betrieb eines Ladepunkts, der Endnutzern einen Ladedienst erbringt, ist zum Beispiel eine Einrichtungsart des Sektors Energie in Anhang I. Außerdem können Hersteller und Importeure, die unter NIS2 fallen, in der Praxis Sicherheitsanforderungen an Autohäuser stellen, die an ihre Bestell-, Garantie- oder Diagnosesysteme angebunden sind. Das ist ein Vertrag, keine Anwendung von NIS2 auf das Autohaus.
Sind Hersteller wesentliche oder wichtige Einrichtungen?
In der Regel wichtige, unabhängig von ihrer Größe. Die Größenregel für den Status als wesentliche Einrichtung, Artikel 3 Absatz 1 Buchstabe a, gilt nur für Anhang I; jede erfasste Einrichtung, die nicht in Artikel 3 Absatz 1 genannt ist, ist eine wichtige Einrichtung (Artikel 3 Absatz 2). Ein Hersteller nach Anhang II ist nur dann wesentlich, wenn:
- sein Mitgliedstaat ihn nach Artikel 2 Absatz 2 Buchstaben b bis e als wesentliche Einrichtung bestimmt, etwa weil sich eine Störung wesentlich auf die öffentliche Ordnung, die öffentliche Sicherheit oder die öffentliche Gesundheit auswirken könnte (Artikel 3 Absatz 1 Buchstabe e);
- er eine kritische Einrichtung nach der CER-Richtlinie (EU) 2022/2557 ist (Artikel 3 Absatz 1 Buchstabe f);
- der Mitgliedstaat dies für Betreiber wesentlicher Dienste vorsieht, die er vor dem 16. Januar 2023 ermittelt hat (Artikel 3 Absatz 1 Buchstabe g).
Hersteller von Produkten auf der Liste kritischer Medizinprodukte sind Einrichtungen nach Anhang I; ein großer Hersteller dieser Art ist daher wesentlich.
Wichtige Einrichtungen werden nachträglich beaufsichtigt, wenn Nachweise oder Hinweise auf Verstöße vorliegen (Artikel 33). Die Höchstbeträge der Geldbußen müssen mindestens 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist (Artikel 34). Siehe wesentliche und wichtige Einrichtungen im Vergleich.
Was müssen Hersteller unter NIS2 tun?
Die Pflichten sind für wesentliche und wichtige Einrichtungen gleich und gelten für Sie über das nationale Recht. Nicht jeder Mitgliedstaat hat die Umsetzungsfrist zum 17. Oktober 2024 eingehalten: Prüfen Sie Ihren.
- Leitungsorgan (Artikel 20): billigt die Risikomanagementmaßnahmen im Bereich der Cybersicherheit, überwacht ihre Umsetzung und kann für Verstöße gegen Artikel 21 verantwortlich gemacht werden. Seine Mitglieder müssen an Schulungen teilnehmen. Siehe Verantwortung der Leitungsorgane nach NIS2.
- Maßnahmen (Artikel 21): geeignete und verhältnismäßige Maßnahmen für die Netz- und Informationssysteme, „die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen“, mit mindestens den zehn aus Artikel 21 Absatz 2. In der Praxis gehören bei einem Hersteller die Produktionssysteme dazu. Siehe die 10 Maßnahmen nach Artikel 21.
- Meldung von Sicherheitsvorfällen (Artikel 23): bei einem erheblichen Sicherheitsvorfall eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach dieser Meldung. Erheblich heißt: schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung, tatsächlich oder möglich, oder erheblicher Schaden für andere. Siehe die Meldefristen für Sicherheitsvorfälle nach NIS2.
- Registrierung (Artikel 3 Absatz 4): Name, Kontaktdaten einschließlich IP-Adressbereichen, Sektor und Teilsektor, Mitgliedstaaten, in denen Dienste erbracht werden; Änderungen innerhalb von zwei Wochen.
NIS2 betrifft die Sicherheit Ihrer Organisation, nicht die der Produkte, die Sie verkaufen. Dafür gilt die Cyberresilienzverordnung (CRA), Verordnung (EU) 2024/2847. Deren Meldepflichten für Hersteller gelten seit dem 11. September 2026, die Hauptpflichten ab dem 11. Dezember 2027.
Was NIS2 in der Fertigung offenlässt
Artikel 21 unterscheidet nicht zwischen Büro-IT und Produktionstechnik. Damit bleiben Fragen, die die zehn Punkte nicht beantworten:
- Steuerungen, die sich ohne den Maschinenbauer nicht patchen lassen;
- Integratoren mit dauerhaftem Fernwartungszugang;
- flache Netze, in denen ein infizierter Büro-Laptop die Produktionslinie erreichen kann;
- kein Inventar dessen, was in der Produktion vernetzt ist.
So sieht das Schließen dieser Lücken in der Praxis aus: Produktionsanlagen im selben Inventar wie die IT, Maßnahme (i). Segmentierung zwischen Büro und Produktion, mit dokumentierten Ausnahmen. Ein einziger kontrollierter Weg für den Fernzugriff von Lieferanten, mit MFA, Protokollierung und Zeitlimits, Maßnahmen (d) und (j). Dokumentierte kompensierende Maßnahmen für jedes System, das sich nicht patchen lässt. Eine getestete Wiederherstellung von Maschinenkonfigurationen, nicht nur von Servern, Maßnahme (c).
Schwieriger ist der Nachweis, dass das sechs Monate später noch gilt: MFA auf jedem Fernzugriffskonto, Lieferantenzugänge rechtzeitig abgelaufen, die Wiederherstellung funktioniert weiterhin. Auf der CloudSoul-Plattform, einer automatisierten Plattform mit Human-in-the-Loop-Expertise, werden diese Nachweise aus Ihren Systemen erhoben, und Ausnahmen gehen zur Prüfung an einen Menschen. Das gesamte Programm finden Sie auf der NIS2-Compliance-Seite.
NIS2-Checkliste für Fertigungsunternehmen
- Ordnen Sie jede Tätigkeit jeder juristischen Person einer Klasse der NACE Rev. 2 zu, nicht nur den eingetragenen Code.
- Wenn Sie Medizinprodukte oder In-vitro-Diagnostika herstellen, prüfen Sie Nummer 5 Buchstabe a und die Liste kritischer Medizinprodukte.
- Berechnen Sie die Größe anhand des letzten festgestellten Jahresabschlusses, mit den Daten verbundener Unternehmen und Partnerunternehmen.
- Halten Sie fest, ob Sie eine wichtige Einrichtung sind oder als wesentliche Einrichtung bestimmt wurden.
- Registrieren Sie sich bei Ihrer nationalen Behörde und melden Sie Änderungen innerhalb von zwei Wochen.
- Dokumentieren Sie die Billigung der Maßnahmen nach Artikel 21 durch das Leitungsorgan und die Schulung seiner Mitglieder.
- Testen Sie den Meldeweg für die Frühwarnung innerhalb von 24 Stunden, auch für einen Produktionsausfall.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23, 33 und 34, Erwägungsgrund 16, Anhang I Nummern 1 und 5, Anhang II Nummern 2, 3 und 5, EUR-Lex.
- Verordnung (EG) Nr. 1907/2006 (REACH), Artikel 3, EUR-Lex.
- Verordnung (EU) 2017/745 über Medizinprodukte, Artikel 2 Nummer 1, EUR-Lex.
- Verordnung (EU) 2017/746 über In-vitro-Diagnostika, Artikel 2 Nummer 2, EUR-Lex.
- Verordnung (EU) 2022/123, Artikel 22, EUR-Lex.
- Empfehlung 2003/361/EG der Kommission (KMU-Definition), EUR-Lex.
- Richtlinie (EU) 2022/2557 (CER-Richtlinie), EUR-Lex.
- NACE Rev. 2, Abschnitt C und Abschnitt G, Amt für Veröffentlichungen der Europäischen Union.
- Eurostat, NACE und NACE Rev. 2.1; Delegierte Verordnung (EU) 2023/137 der Kommission, EUR-Lex.
- BSI, allgemeine FAQ zu NIS-2, zu § 28(3) BSIG.
- Europäische Kommission, Cyberresilienzverordnung, Verordnung (EU) 2024/2847.
Häufige Fragen
Gilt NIS2 für Fertigungsunternehmen?
Nur für einige. Anhang II nennt Hersteller von Medizinprodukten und In-vitro-Diagnostika sowie Unternehmen, die Tätigkeiten der Abteilungen 26 bis 30 der NACE Rev. 2 ausüben. Sie fallen unter NIS2, wenn sie 50 oder mehr Beschäftigte haben oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR liegen.
Was bedeutet Abschnitt C Abteilung 26 der NACE Rev. 2?
Abschnitt C der NACE Rev. 2, der europäischen Systematik der Wirtschaftszweige, ist das verarbeitende Gewerbe. Abteilung 26 ist die Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, von elektronischen Bauelementen und Leiterplatten bis zu Computern, Kommunikationstechnik, Messinstrumenten und optischen Geräten.
Fallen Zulieferer der Automobilindustrie unter NIS2?
Hersteller von Teilen und Zubehör für Kraftwagen gehören zur NACE-Gruppe 29.3, einem Teil der Abteilung 29, die Anhang II aufführt. Zulieferer, deren Tätigkeit anders eingeordnet ist, etwa Reifen in Klasse 22.11, fallen nicht unter den Eintrag zum verarbeitenden Gewerbe. Der Eintrag zu chemischen Stoffen in Anhang II, der auch die Produktion von Erzeugnissen aus Stoffen oder Gemischen erfasst, kann dennoch greifen.
Fällt ein Autohaus unter NIS2?
Nicht als Autohaus. Der Handel mit Kraftwagen ist die NACE-Gruppe 45.1 in Abschnitt G, den keiner der beiden Anhänge aufführt. Hersteller und Importeure können von Autohäusern aber vertraglich Sicherheitsmaßnahmen verlangen. Das ist keine Anwendung von NIS2 auf das Autohaus.
Sind Hersteller unter NIS2 wesentliche oder wichtige Einrichtungen?
In der Regel wichtige, unabhängig von ihrer Größe. Ein Hersteller nach Anhang II ist nur dann wesentlich, wenn sein Mitgliedstaat ihn nach Artikel 2 Absatz 2 Buchstaben b bis e bestimmt, wenn er eine kritische Einrichtung nach der CER-Richtlinie ist oder wenn das nationale Recht ihn als früheren Betreiber wesentlicher Dienste weiterführt.
