- Welche Unternehmen sind von NIS2 betroffen?
- Betroffen sind Unternehmen aus 18 Sektoren (Anhang I und II BSIG), die mindestens 50 Mitarbeiter beschäftigen oder über 10 Mio. € Jahresumsatz erzielen. In Deutschland sind das rund 29.000 Unternehmen. KRITIS-Betreiber sowie einzelne Sonderfälle (z. B. DNS-Anbieter, TLD-Registries, qualifizierte Vertrauensdiensteanbieter) fallen unabhängig von ihrer Größe unter NIS2.
- Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?
- Die inhaltlichen Pflichten sind identisch. Besonders wichtige Einrichtungen (Anhang-I-Sektoren ab 250 Mitarbeitern oder 50 Mio. € Umsatz sowie KRITIS-Betreiber) unterliegen proaktiver BSI-Aufsicht und einem Bußgeldrahmen bis 10 Mio. € oder 2 % des Jahresumsatzes. Wichtige Einrichtungen werden anlassbezogen geprüft, der Bußgeldrahmen reicht bis 7 Mio. € oder 1,4 %.
- Ist dieses Ergebnis rechtsverbindlich?
- Nein. Der Check liefert eine erste Orientierung auf Basis von Sektor, Größenklasse und KRITIS-Status. Er ersetzt keine Rechtsberatung und vereinfacht Detailkriterien wie die Bilanzsumme. Verbindliche Auskunft gibt die offizielle Betroffenheitsprüfung des BSI.
- Werden meine Eingaben gespeichert?
- Nein. Die Prüfung läuft vollständig in Ihrem Browser, es werden keine Eingaben an einen Server übertragen und keine identifizierenden Daten abgefragt.
- Was muss ich tun, wenn mein Unternehmen betroffen ist?
- Vier Pflichtenkomplexe: Registrierung beim BSI (§33 BSIG — die Frist ist abgelaufen, unverzüglich nachholen), Umsetzung der 10 Mindestmaßnahmen des Risikomanagements (§30 BSIG), Meldung erheblicher Sicherheitsvorfälle in drei Stufen (§32 BSIG) sowie Billigungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§38 BSIG).
- Mein Unternehmen ist zu klein — bin ich damit fertig?
- Nicht unbedingt. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen (§30 Abs. 2 Nr. 4 BSIG) und geben Anforderungen vertraglich an Dienstleister und Zulieferer weiter. Wer für NIS2-regulierte Kunden arbeitet, sollte mit Sicherheitsfragebögen und Vertragsklauseln rechnen.