NIS2 Wichtige Einrichtungen: Pflichten und Compliance

Wichtige Einrichtungen (Important Entities) nach NIS2 sind: 1. Mittelgroße Unternehmen aus den kritischen Sektoren des Anhangs II (z.B. Post, Abfallwirtschaft, Lebensmittel, Chemie, Digitalanbieter), die mindestens 50 Mitarbeiter oder mindestens 10 Mio. EUR Umsatz haben; 2. Mittelgroße Unternehmen aus Anhang-I-Sektoren (50‑249 Mitarbeiter oder 10‑50 Mio. EUR Umsatz), die nicht als wesentlich eingestuft werden. Wichtige Einrichtungen unterliegen denselben Art.-21-Anforderungen, aber nur reaktiver Aufsicht.

Der wesentliche Unterschied liegt in der Aufsicht und den Bußgeldern: Wesentliche Einrichtungen unterliegen aktiver Aufsicht (Behörden können proaktiv prüfen), wichtige Einrichtungen nur reaktiver Aufsicht (nur bei Vorfällen oder Beschwerden). Bußgelder für wesentliche Einrichtungen: bis zu 10 Mio. EUR oder 2 % Jahresumsatz. Bußgelder für wichtige Einrichtungen: bis zu 7 Mio. EUR oder 1,4 % Jahresumsatz. Die Sicherheitsanforderungen nach Art. 21 NIS2 sind für beide Kategorien identisch, nur die Durchsetzung unterscheidet sich.

Wichtige Einrichtungen müssen: 1. Sich beim BSI registrieren, 2. Alle zehn Sicherheitsmaßnahmen aus Art. 21 NIS2 implementieren (Risikoanalyse, Incident Handling, BCM, Lieferkettensicherheit, MFA, Kryptographie etc.), 3. Erhebliche Cybersicherheitsvorfälle innerhalb von 24h/72h melden, 4. Management-Schulungen zu Cybersicherheitsrisiken durchführen (Art. 20 Abs. 2), 5. Eine NIS2-konforme Governance-Struktur etablieren. Im Gegensatz zu wesentlichen Einrichtungen werden sie nicht proaktiv geprüft.

Sie sind eine wichtige Einrichtung, wenn Sie in einem NIS2-Sektor tätig sind und die Größenschwellen für wichtige (aber nicht für wesentliche) Einrichtungen erfüllen. Die Selbsteinstufung erfolgt nach folgenden Schritten: 1. Sektorcheck: Ist Ihr Tätigkeitsbereich in Anhang I oder II? 2. Größencheck: Mindestens 50 Mitarbeiter oder 10 Mio. EUR Umsatz? 3. Kategorie prüfen: Wesentlich oder wichtig? 4. Beim BSI registrieren (Pflicht seit Inkrafttreten des NIS2-Umsetzungsgesetzes). Fehler bei der Selbsteinstufung können zu Bußgeldern führen.

Für wichtige Einrichtungen können Aufsichtsbehörden Bußgelder von bis zu 7 Mio. EUR oder 1,4 % des gesamten weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Die persönliche Haftung der Leitungsorgane nach Art. 20 Abs. 3 gilt grundsätzlich auch für wichtige Einrichtungen, wird aber von den nationalen Mitgliedstaaten unterschiedlich umgesetzt. Die reaktive Aufsicht bedeutet nicht, dass Verstöße folgenlos bleiben, Meldepflichtverletzungen oder gemeldete Vorfälle können Bußgeldverfahren auslösen.

Die NIS2-Selbsteinstufung umfasst vier Schritte: 1. Sektorcheck anhand der NIS2-Anhänge I und II, 2. Größencheck nach EU-KMU-Definition (Mitarbeiter und Umsatz/Bilanzsumme), 3. Prüfung auf automatische Einstufungen (KRITIS, qualifizierte Vertrauensdiensteanbieter etc.), 4. Registrierung beim BSI mit Angabe der Einrichtungskategorie. Da die deutsche Umsetzung der NIS2-Richtlinie (NIS2UmsuCG) noch aussteht, sollten Unternehmen die Entwicklung verfolgen und rechtzeitig vorbereitet sein. Eine rechtliche und technische Begleitung der Selbsteinstufung ist empfehlenswert.