Betroffen oder nicht? Sektoren und Schwellenwerte der NIS2
Ob ein Unternehmen unter die NIS2-Regulierung fällt, entscheidet sich an zwei Fragen: Tätigkeit und Größe. Die europäische Richtlinie – und mit ihr das deutsche BSIG – erfasst 18 Sektoren. Dazu zählen die Bereiche mit hoher Kritikalität wie Energie, Transport, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung, außerdem sonstige kritische Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Gerade das verarbeitende Gewerbe wird häufig übersehen: Maschinenbau, Elektrotechnik, Medizinprodukte und Fahrzeugbau gehören ausdrücklich dazu.
Bei der Größe gilt die sogenannte Size-Cap-Regel. Erfasst sind in der Regel Unternehmen ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Ab 250 Beschäftigten oder 50 Millionen Euro Umsatz rückt ein Unternehmen in den betroffenen Sektoren in die Kategorie der besonders wichtigen Einrichtungen auf. Für einige Tätigkeiten gelten die Pflichten unabhängig von jeder Größenschwelle – etwa für Vertrauensdiensteanbieter, DNS-Diensteanbieter und Teile der Telekommunikation.
Warum die Einstufung mehr ist als eine Formalie
Die Kategorie bestimmt die Rechtsfolgen. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht durch das BSI und einem Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Wichtige Einrichtungen werden anlassbezogen beaufsichtigt, hier reicht der Rahmen bis 7 Millionen Euro oder 1,4 Prozent. Die materiellen Pflichten – Risikomanagement, Meldewesen, Registrierung, Schulung der Geschäftsleitung – gelten dagegen für beide Kategorien weitgehend gleich.
In der Praxis scheitert die Selbsteinschätzung selten an den Zahlen, sondern an der Zuordnung: Welche wirtschaftliche Tätigkeit ist die maßgebliche? Zählen verbundene Unternehmen mit? Was gilt für Holdingstrukturen mit mehreren Gesellschaften? Wer hier sauber dokumentiert, wie er zu seiner Einstufung gekommen ist, hat später gegenüber der Aufsicht die besseren Argumente – auch dann, wenn das Ergebnis lautet, dass keine Betroffenheit vorliegt.
Eine strukturierte Prüfung entlang von Sektor, Einrichtungsart und Größe lässt sich in wenigen Minuten durchführen und mit Begründung ablegen. Wie das in der Software aussieht, zeigt die Betroffenheitsprüfung im Modul NIS2.
