NIS2 Wesentliche Einrichtungen: Pflichten und Compliance

Wesentliche Einrichtungen (Essential Entities) nach NIS 2 sind Organisationen aus den hochkritischen Sektoren des Anhangs I der NIS2-Richtlinie, die bestimmte Größenschwellen überschreiten: mindestens

250 Mitarbeiter oder mindestens

50 Mio. EUR Jahresumsatz und mindestens

43 Mio. EUR Jahresbilanzsumme. Zusätzlich gelten unabhängig von der Größe alle Betreiber kritischer Infrastrukturen (KRITIS), qualifizierte Vertrauensdiensteanbieter, TLD-Registry-Betreiber und bestimmte öffentliche Einrichtungen als wesentlich.

Die Hauptunterschiede: Wesentliche Einrichtungen (Anhang I, groß) unterliegen der aktiven Aufsicht, Behörden können proaktiv prüfen, Audits anordnen und Dokumente anfordern. Bußgelder: bis zu

10 Mio. EUR oder

2 % des weltweiten Jahresumsatzes. Wichtige Einrichtungen (Anhang II oder mittelgroße Anhang-I-Unternehmen) unterliegen nur reaktiver Aufsicht (nur bei konkretem Anlass). Bußgelder: bis zu

7 Mio. EUR oder 1,

4 % des Jahresumsatzes. Die technischen Sicherheitsanforderungen nach Art.

21 sind für beide Kategorien identisch.

Wesentliche Einrichtungen müssen: 1. Sich beim BSI registrieren (Registrierungspflicht), 2. Alle zehn Sicherheitsmaßnahmen aus Art.

21 implementieren und dokumentieren, 3. Cybersicherheitsvorfälle nach den 24h/72h-Fristen melden, 4. Management-Schulungen nach Art.

20 Abs.

2 durchführen und nachweisen, 5. Lieferkettensicherheit für kritische IKT-Lieferanten gewährleisten, 6. Regelmäßige Risikobewertungen durchführen, 7. Behördenprüfungen aktiv unterstützen und Zugang gewähren.

Sie sind wahrscheinlich eine wesentliche Einrichtung, wenn: Ihr Unternehmen in einem der

11 hochkritischen Sektoren (Anhang I) tätig ist UND mindestens

250 Mitarbeiter beschäftigt oder mehr als

50 Mio. EUR Umsatz erwirtschaftet. Automatisch wesentlich (unabhängig von der Größe) sind: KRITIS-Betreiber, qualifizierte Vertrauensdiensteanbieter, TLD-Registry-Betreiber sowie bestimmte öffentliche Einrichtungen. Die NIS2-Selbsteinstufung sollte rechtlich begleitet werden, da Fehler zu Compliance-Risiken führen.

Bei wesentlichen Einrichtungen können Aufsichtsbehörden Bußgelder von bis zu

10 Mio. EUR oder

2 % des gesamten weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Zusätzlich kann bei schwerwiegenden Verstößen der Leitungsorgane die vorübergehende Untersagung der Ausübung von Führungsaufgaben angeordnet werden (persönliche Haftung nach Art.

20 Abs. 3). In Deutschland setzt das BSI als Aufsichtsbehörde diese Maßnahmen um.

Wesentliche Einrichtungen müssen erhebliche Cybersicherheitsvorfälle in drei Stufen melden: Erstmeldung innerhalb von

24 Stunden nach Bekanntwerden des Vorfalls (Früherwarnung), Folgenbericht innerhalb von

72 Stunden mit ersten Bewertungen und ergriffenen Maßnahmen, Abschlussbericht innerhalb von einem Monat nach dem Erstvorbericht mit vollständiger Analyse. Die Meldung erfolgt an das BSI (in Deutschland). Als erheblich gilt ein Vorfall, der erhebliche Betriebsunterbrechungen oder finanzielle Schäden verursacht oder andere Personen erheblich beeinträchtigt.