NIS2 gilt für Ihr Unternehmen, wenn es eine Einrichtung einer in Anhang I oder II genannten Art, mindestens ein mittleres Unternehmen und in der EU tätig ist. Mittlere Unternehmen beginnen bei 50 Beschäftigten oder wenn Umsatz und Bilanzsumme beide 10 Mio. EUR übersteigen. Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, einige wenige sind ausgenommen.
Dieser Leitfaden behandelt die Entscheidungstabelle, die vier Schritte, die Ausnahmen, was das Ergebnis bedeutet, die Registrierung, was die Prüfung in der Praxis offenlässt, und eine Checkliste.
| Ihre Situation | NIS2-Status | Richtlinie |
|---|---|---|
| Einrichtungsart aus Anhang I, großes Unternehmen | Wesentlich | Art. 2(1), 3(1)(a) |
| Einrichtungsart aus Anhang I, mittleres Unternehmen | Wichtig | Art. 2(1), 3(2) |
| Einrichtungsart aus Anhang II, mittleres oder großes Unternehmen | Wichtig | Art. 2(1), 3(2) |
| Einrichtungsart aus Anhang I oder II, kleines oder Kleinstunternehmen | Nicht erfasst, außer ein größenunabhängiger Fall greift | Art. 2(1) bis 2(4) |
| Qualifizierter Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Anbieter, jede Größe | Wesentlich | Art. 3(1)(b) |
| Anbieter öffentlicher elektronischer Kommunikation | Wesentlich bei mittleren oder großen, wichtig bei kleinen Unternehmen | Art. 3(1)(a), (c) |
| Domänennamen-Registrierungsdienste, jede Größe | Erfasst, gesondert aufgeführt | Art. 2(4), 3(3) |
| Kritische Einrichtung nach der CER-Richtlinie oder Einrichtung der öffentlichen Verwaltung der Zentralregierung | Wesentlich | Art. 3(1)(d), (f) |
| Von Ihrem Mitgliedstaat eingestuft | Wesentlich oder wichtig, je nach Einstufung | Art. 2(2)(b) bis (e) |
| Öffentliche Verwaltung in nationaler Sicherheit, Verteidigung oder Strafverfolgung | Ausgenommen | Art. 2(7) |
Sind Sie von NIS2 betroffen? Die Betroffenheitsprüfung in vier Schritten
- Sektor: Gehört die Einrichtung zu einer in Anhang I oder II genannten Art?
- Größe: Ist sie mindestens ein mittleres Unternehmen? Wenn ja, ist sie erfasst.
- Größenunabhängige Fälle: Wenn nicht, ist sie unabhängig von ihrer Größe erfasst?
- EU-Präsenz: Ist sie in der EU tätig, und wessen Recht gilt?
Prüfen Sie danach die Ausnahmen. Der NIS2-Betroffenheitscheck gibt eine erste Antwort auf Basis Ihres Sektors, Ihrer Beschäftigtenzahl und Ihres Umsatzes.
Schritt 1: Welche Sektoren fallen in den Anwendungsbereich von NIS2?
NIS2 erfasst 18 Sektoren in zwei Anhängen. Entscheidend ist die Art der Einrichtung, nicht die Branchenbezeichnung auf Ihrer Website.
Anhang I, Sektoren mit hoher Kritikalität (11): Energie (Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas, Wasserstoff), Verkehr (Luft, Schiene, Schifffahrt, Straße), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung, Weltraum.
Anhang II, sonstige kritische Sektoren (7): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung.
Drei Punkte klären die meisten Grenzfälle:
- Die meisten Einträge sind durch anderes EU-Recht definiert. Lesen Sie die Definition, auf die der Anhang verweist, nicht Ihre eigene Beschreibung dessen, was Sie tun.
- Die meisten digitalen Dienste stehen in Anhang I: Cloud, Rechenzentren, CDN, DNS, TLD-Namenregister, Vertrauensdienste, elektronische Kommunikation, Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste. Anbieter digitaler Dienste nach Anhang II sind nur Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke.
- Das verarbeitende Gewerbe ist eng gefasst: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinen, Kraftwagen und sonstige Fahrzeuge. Chemie und Lebensmittel sind eigene Sektoren; andere Hersteller sind nicht aufgeführt.
Software zu entwickeln ist für sich genommen keine Einrichtungsart nach den Anhängen. Ein Unternehmen, das für Kunden IKT-Produkte, -Netze, -Infrastruktur oder -Anwendungen installiert, verwaltet, betreibt oder wartet, kann ein Anbieter verwalteter Dienste nach Artikel 6(39) sein. Die Abgrenzung steht in NIS2 für MSP und MSSP.
Schritt 2: Welche Größenschwelle gilt für NIS2?
NIS1 überließ die Identifizierung den Mitgliedstaaten; NIS2 wendet nach Erwägungsgrund 7 eine Größenschwellenregel an (siehe NIS1 und NIS2 im Vergleich). Die Kategorien stammen aus der Empfehlung 2003/361/EG:
- Klein: weniger als 50 Beschäftigte und Umsatz oder Bilanzsumme bis 10 Mio. EUR. Kleinstunternehmen: weniger als 10 Beschäftigte, bis 2 Mio. EUR.
- Mittel: weniger als 250 Beschäftigte und Umsatz bis 50 Mio. EUR oder Bilanzsumme bis 43 Mio. EUR.
- Groß: oberhalb der Obergrenzen für mittlere Unternehmen.
Die NIS2-Grenze liegt also an der Obergrenze von „klein“. Sie sind erfasst mit 50 oder mehr Beschäftigten oder wenn Umsatz und Bilanzsumme beide 10 Mio. EUR übersteigen. Ein Unternehmen mit 30 Beschäftigten, 14 Mio. EUR Umsatz und 6 Mio. EUR Bilanzsumme ist weiterhin klein. Groß, was für den Status als wesentliche Einrichtung zählt, bedeutet 250 oder mehr Beschäftigte oder einen Umsatz über 50 Mio. EUR und eine Bilanzsumme über 43 Mio. EUR.
Wenn Sie nahe an der Grenze von 50 Personen liegen, zeigt Gilt NIS2 für KMU?, womit kleinere Zulieferer rechnen müssen.
Wie wird die Unternehmensgröße für NIS2 berechnet?
- Beschäftigte zählen in Jahresarbeitseinheiten (JAE). Teilzeit- und Saisonarbeit zählt anteilig; Auszubildende zählen nicht.
- Maßgeblich ist der letzte genehmigte Abschluss. Ein neu gegründetes Unternehmen verwendet eine Schätzung nach Treu und Glauben.
- Ein einzelnes Jahr ändert Ihre Kategorie nicht. Der Status ändert sich erst, wenn ein Schwellenwert in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird.
- Gruppendaten werden addiert. Verbundene Unternehmen zählen voll, Partnerunternehmen (25 % oder mehr) anteilig, sodass eine Tochtergesellschaft mit 30 Beschäftigten in einer großen Gruppe groß sein kann. Nach Erwägungsgrund 16 können die Mitgliedstaaten die Unabhängigkeit der Einrichtung bei Systemen und Diensten berücksichtigen.
- Öffentliches Eigentum ändert den Test nicht. Artikel 3(4) der Empfehlung, der Unternehmen, die zu 25 % oder mehr von öffentlichen Stellen kontrolliert werden, den KMU-Status versagt, gilt für NIS2 nicht. Ein Unternehmen gilt nicht schon deshalb als groß, weil es einer Gemeinde gehört.
Schritt 3: Welche Einrichtungen sind unabhängig von ihrer Größe erfasst?
Artikel 2(2) bis (4) erfasst, unabhängig von der Größe:
- Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste;
- Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter;
- Einrichtungen, die Domänennamen-Registrierungsdienste erbringen;
- kritische Einrichtungen, die nach der CER-Richtlinie, (EU) 2022/2557, eingestuft wurden;
- Einrichtungen der öffentlichen Verwaltung der Zentralregierung und, nach einer risikobasierten Bewertung, der regionalen Ebene;
- Einrichtungen einer Art nach den Anhängen, die der Mitgliedstaat einstuft, weil sie einziger Anbieter eines wesentlichen Dienstes oder auf nationaler oder regionaler Ebene kritisch sind oder weil eine Störung erhebliche Auswirkungen auf die öffentliche Sicherheit, die öffentliche Ordnung oder die öffentliche Gesundheit haben oder ein erhebliches Systemrisiko verursachen könnte.
Die letzte Gruppe lässt sich nicht selbst bewerten: Ihre Behörde stuft sie ein und entscheidet, ob die Einrichtung wesentlich oder wichtig ist. Wenn der Mitgliedstaat dies vorsieht, sind Betreiber wesentlicher Dienste, die vor dem 16. Januar 2023 nach NIS1 ermittelt wurden, wesentliche Einrichtungen. Die Mitgliedstaaten können die Richtlinie auch auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und auf Bildungseinrichtungen ausdehnen.
Schritt 4: Gilt NIS2 außerhalb der EU, und welches nationale Recht gilt?
Artikel 2(1) erfasst Einrichtungen, die ihre Dienste in der Union erbringen oder ihre Tätigkeiten dort ausüben, unabhängig davon, wo sie niedergelassen sind.
Nach Artikel 26 gilt grundsätzlich das Recht des Mitgliedstaats der Niederlassung, sodass ein in mehreren Ländern niedergelassenes Unternehmen mehreren nationalen Gesetzen unterliegen kann. Anbieter elektronischer Kommunikation unterliegen der Zuständigkeit jedes Mitgliedstaats, in dem sie ihre Dienste erbringen. Anbieter von Cloud-, Rechenzentrums-, CDN-, DNS-, TLD-, Domänennamen-Registrierungs-, MSP- und MSSP-Diensten sowie Anbieter digitaler Dienste nach Anhang II unterliegen dem Mitgliedstaat ihrer Hauptniederlassung, und ein Anbieter dieser Dienste mit Sitz außerhalb der EU muss einen Vertreter in einem Mitgliedstaat benennen, in dem er seine Dienste erbringt. Die Einzelheiten stehen in NIS2: Zuständigkeit und Hauptniederlassung.
Nationale Gesetze wenden denselben Test an und können ihn ergänzen. Nicht jeder Mitgliedstaat hat die Richtlinie bis zur Frist am 17. Oktober 2024 umgesetzt. Prüfen Sie also, ob das Gesetz Ihres Landes in Kraft ist.
Wer ist von NIS2 ausgenommen?
- Öffentliche Verwaltung in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung (Artikel 2(7)).
- Einrichtungen, die ein Mitgliedstaat von Artikel 21 oder 23 ausnimmt, für Tätigkeiten in diesen Bereichen oder für Dienste, die ausschließlich für diese Stellen erbracht werden (Artikel 2(8)), außer Vertrauensdiensteanbieter (Artikel 2(9)).
- Von DORA ausgenommene Einrichtungen nach Artikel 2(4) DORA (Artikel 2(10)).
- Einrichtungen unter gleichwertigem sektorspezifischem EU-Recht. Wenn ein anderer EU-Rechtsakt mindestens gleichwertige Anforderungen an das Risikomanagement oder die Meldung von Sicherheitsvorfällen stellt, gelten die entsprechenden Bestimmungen von NIS2 nicht (Artikel 4(1)); Erwägungsgrund 28 nennt DORA für Finanzunternehmen.
Wesentlich oder wichtig: Was bedeutet das Ergebnis?
Der Anwendungsbereich entscheidet, ob NIS2 gilt. Der Status entscheidet, wie Sie beaufsichtigt werden. Jede erfasste Einrichtung nach Anhang I oder II, die nicht in Artikel 3(1) als wesentlich aufgeführt ist, ist wichtig. Für beide gelten dieselben Maßnahmen nach Artikel 21 und dieselben Meldepflichten für Sicherheitsvorfälle. Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht und Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist; wichtige Einrichtungen unterliegen einer nachträglichen Aufsicht und mindestens 7 Mio. EUR oder 1,4 %. Siehe wesentliche und wichtige Einrichtungen im Vergleich.
Müssen Sie sich nach NIS2 registrieren?
In der Praxis ja. Die Mitgliedstaaten mussten bis zum 17. April 2025 eine Liste der wesentlichen und wichtigen Einrichtungen erstellen und sie mindestens alle zwei Jahre überprüfen. Dafür müssen Einrichtungen ihren Namen, ihre Anschrift, ihre Kontaktdaten einschließlich IP-Adressbereichen, Sektor und Teilsektor sowie die Mitgliedstaaten, in denen sie Dienste erbringen, übermitteln und Änderungen innerhalb von zwei Wochen melden. Die Mitgliedstaaten können dies als Selbstregistrierung organisieren. Die Pflicht liegt bei der Einrichtung: Warten Sie nicht, bis Sie kontaktiert werden.
Was die Prüfung des Anwendungsbereichs in der Praxis offenlässt
NIS2 knüpft seine Pflichten an die Einrichtung, eine natürliche oder juristische Person (Artikel 6(38)), und Artikel 21 erfasst die Netz- und Informationssysteme, die sie für ihren Betrieb oder für die Erbringung ihrer Dienste nutzt. Eine aufgeführte Tätigkeit läuft selten auf getrennten Systemen: Identitäten, E-Mail, Laptops und Cloud-Tenants werden gemeinsam genutzt. Rechnen Sie also damit, dass das Programm auch sie erfasst.
Der Anwendungsbereich verschiebt sich auch durch zwei starke Jahre, eine Übernahme, die Sie mit einer größeren Gruppe verbindet, oder einen neuen Geschäftsbereich wie den Betrieb von Kundeninfrastruktur. Sinnvoll ist es, die Prüfung bei jedem Jahresabschluss und nach jeder Änderung der Gruppe oder der Dienste zu wiederholen und das Ergebnis datiert festzuhalten:
NIS2: ENTSCHEIDUNG ZUM ANWENDUNGSBEREICH
Rechtsträger: [Name, Registernummer]
Datum / geprüft von: [Datum] / [Name, Funktion]
Gruppe: [verbundene und Partnerunternehmen (ab 25 %)]
1. Einrichtungsart: [Anhang I oder II, Sektor, Art, Definition]
2. Größe, Periode: Beschäftigte (JAE) [ ] Umsatz [ ] Bilanzsumme [ ]
Vorperiode: Beschäftigte (JAE) [ ] Umsatz [ ] Bilanzsumme [ ]
Kategorie: [Kleinst / klein / mittel / groß]
3. Größenunabhängig: [keiner / 2(2)(a) / 2(2)(f) / 2(3) / 2(4) / eingestuft]
4. EU-Präsenz: [bediente Mitgliedstaaten, Grundlage der Zuständigkeit]
Ausnahmen geprüft: [Art. 2(7) bis 2(10), Art. 4]
Ergebnis: [nicht erfasst / wichtig / wesentlich]
Registriert bei: [Behörde, Datum, Aktenzeichen]
Nächste Prüfung: [nächster Jahresabschluss oder Änderung der Dienste]Registrierungsdaten veralten am schnellsten. Auf der CloudSoul-Plattform, einer automatisierten Plattform mit Human-in-the-Loop-Expertise, liegen die Entscheidung zum Anwendungsbereich und die Registrierungsdaten neben den Controls und Nachweisen, die sich daraus ergeben, und Änderungen werden zur Prüfung markiert. Das gesamte Programm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste zum NIS2-Anwendungsbereich
- Ordnen Sie jede Tätigkeit jedes Rechtsträgers anhand der rechtlichen Definition einer Einrichtungsart aus Anhang I oder II zu.
- Berechnen Sie die Größe aus dem letzten genehmigten Abschluss und addieren Sie die Daten verbundener und Partnerunternehmen.
- Prüfen Sie zwei aufeinanderfolgende Perioden, bevor Sie auf eine Schwellenüberschreitung schließen.
- Prüfen Sie die größenunabhängigen Fälle und eine etwaige Einstufung durch Ihre Behörde.
- Listen Sie die Mitgliedstaaten auf, in denen Sie Dienste erbringen, und klären Sie, welcher zuständig ist.
- Prüfen Sie die Ausnahmen und etwaiges gleichwertiges sektorspezifisches EU-Recht.
- Registrieren Sie sich, melden Sie Änderungen innerhalb von zwei Wochen und wiederholen Sie die Prüfung bei jedem Jahresabschluss.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 4, 6, 21, 26 und 32 bis 34, Erwägungsgründe 7, 16 und 28, Anhänge I und II, EUR-Lex.
- Empfehlung 2003/361/EG der Kommission (KMU-Definition), Anhang, Artikel 2 bis 6, EUR-Lex.
- Richtlinie (EU) 2022/2557 (CER-Richtlinie), EUR-Lex.
- Europäische Kommission, Seite zur NIS2-Richtlinie.
Häufige Fragen
Ist mein Unternehmen von NIS2 betroffen?
Ja, wenn Ihr Unternehmen eine Einrichtung einer in Anhang I oder II der Richtlinie genannten Art ist, nach der EU-Definition mindestens ein mittleres Unternehmen ist und Dienste in der EU erbringt oder dort tätig ist. Mittlere Unternehmen beginnen bei 50 Beschäftigten oder wenn Umsatz und Bilanzsumme beide 10 Mio. EUR übersteigen.
Welche Einrichtungen fallen unabhängig von ihrer Größe unter NIS2?
Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Domänennamen-Registrierungsdienste, kritische Einrichtungen nach der CER-Richtlinie, Einrichtungen der öffentlichen Verwaltung der Zentralregierung sowie Einrichtungen, die ein Mitgliedstaat wegen ihrer Rolle einstuft, etwa als einzigen Anbieter eines wesentlichen Dienstes.
Gilt NIS2 für Unternehmen außerhalb der EU?
Nur wenn sie Dienste in der EU erbringen oder dort tätig sind. Anbieter bestimmter digitaler Dienste mit Sitz außerhalb der EU, darunter Cloud-Dienste, Rechenzentrumsdienste, verwaltete Dienste und verwaltete Sicherheitsdienste, die diese in der EU anbieten, müssen einen Vertreter in einem Mitgliedstaat benennen, in dem sie ihre Dienste erbringen.
Was ist der Unterschied zwischen dem Anwendungsbereich von NIS2 und dem Status als wesentliche oder wichtige Einrichtung?
Der Anwendungsbereich entscheidet, ob die Richtlinie überhaupt gilt. Der Status entscheidet über das Aufsichtsregime und den Bußgeldrahmen. Große Einrichtungen nach Anhang I und einige ausdrücklich genannte Kategorien sind wesentlich; alle anderen erfassten Einrichtungen nach Anhang I und II sind wichtig.
Teilt mir die Behörde mit, ob ich betroffen bin?
Warten Sie nicht darauf. Die Mitgliedstaaten mussten bis zum 17. April 2025 eine Liste der wesentlichen und wichtigen Einrichtungen erstellen, und die Richtlinie verlangt, dass Einrichtungen ihre Angaben selbst übermitteln, etwa Kontaktdaten, IP-Adressbereiche, Sektor und die Mitgliedstaaten, in denen sie tätig sind, und Änderungen innerhalb von zwei Wochen melden.
