NIS2 ist die Europäische Richtlinie, die Anforderungen an die Cybersicherheit bei Organisationen in bestimmten Sektoren stellt. Ob die Richtlinie unmittelbar für Ihr Unternehmen gilt, hängt von zwei Dingen ab: dem Sektor, in dem Sie tätig sind, und der Größe Ihres Unternehmens. Falls Sie nicht unter diese Kombination fallen, sind Sie selbst wahrscheinlich keine unmittelbare Zielgruppe der Richtlinie, das bedeutet aber nicht, dass NIS2 Sie nie betrifft.
Viele Unternehmen, die selbst außerhalb des Anwendungsbereichs liegen, erhalten nämlich dennoch Fragen zur Cybersicherheit von einem Kunden, der unter NIS2 fällt. Dieser Kunde muss nachweisen, dass seine gesamte Lieferkette ausreichend geschützt ist, und sendet daher eine Frageliste an seine Lieferanten weiter. In diesem Fall gilt die Richtlinie nicht für Sie, aber die vertragliche Vereinbarung, die Ihr Kunde daran bindet.
Sektor und Größe bestimmen die unmittelbare Pflicht
Die Richtlinie richtet sich an sogenannte "wesentliche" und "wichtige" Einrichtungen: Organisationen in Sektoren wie Energie, Verkehr, Trinkwasser, digitale Infrastruktur, Bankwesen und Gesundheitswesen, ergänzt durch eine Reihe weiterer Sektoren, die in der Richtlinie selbst aufgeführt sind. Hinzu kommen Größenkriterien, die je nach Sektor und Kategorie unterschiedlich sein können. Ein kleines Installationsunternehmen ohne Rolle in einem dieser Sektoren fällt in der Regel außerhalb der unmittelbaren Anwendung von NIS2. Die genaue Sektorenliste und die Art und Weise, wie die Mitgliedstaaten dies in nationale Rechtsvorschriften umgesetzt haben, finden Sie im offiziellen Text und bei der in Ihrem Land benannten Aufsichtsbehörde; in den Niederlanden ist dies die Rijksinspectie Digitale Infrastructuur.
Auch außerhalb des Sektors: die Anfrage Ihres Kunden
Ein Unternehmen, das unter NIS2 fällt, muss unter anderem bewerten, wie sicher die Organisationen sind, mit denen es zusammenarbeitet. Dies wird als Kettenrisiko oder Lieferantenrisiko bezeichnet, und die Richtlinie nennt dies ausdrücklich als Schwerpunkt. In der Praxis führt dies zu einer Frageliste oder einer Vertragsbestimmung bei Ihrem Kunden: Haben Sie einen Ansprechpartner für Vorfälle, melden Sie eine Datenverletzung innerhalb einer bestimmten Frist, haben Sie Zugriffskontrollen geregelt. Dies sind oft die gleichen Arten von Maßnahmen wie die zehn, die die Richtlinie selbst für die Unternehmen nennt, die direkt darunter fallen. Mehr über das, was diese Fragen genau bedeuten und wie sie sich zu bestehenden Verpflichtungen wie der DSGVO verhalten, lesen Sie in der Erklärung pro Thema in der Wissensdatenbank.
Wie Sie dies für sich selbst überprüfen
Ob NIS2 direkt für Sie gilt, ist eine Frage der Realität, die Sie am besten anhand der offiziellen Sektoreinteilung und der Größenkriterien beantworten können, wie sie in Ihrem Land umgesetzt wurden. Wenn Sie unsicher sind, ist die zuständige Aufsichtsbehörde oder ein Jurist der richtige Ansprechpartner, um dies zu bewerten; dieser Artikel kann diese Bewertung nicht ersetzen. Was Sie selbst schnell überprüfen können, ist, ob Sie Signale erhalten, die auf eine indirekte Beteiligung hinweisen: ein Kunde, der gerade eine Frageliste zur Cybersicherheit versendet hat, ein Vertrag, der sich auf Meldepflichten bezieht, oder eine Ausschreibung, in der Sicherheitsmaßnahmen gefordert werden. Dies sind praktische Hinweise, kein rechtliches Urteil.
Was ist, wenn Sie Fragen erhalten, unabhängig von der direkten Verpflichtung
Ob Sie nun direkt unter NIS2 fallen oder nur über einen Kunden mit den Folgen konfrontiert werden, ändert sich bei der Frageliste selbst nicht viel: Sie werden aufgefordert, zu beschreiben, welche Maßnahmen Sie ergriffen haben, und dies zu begründen. Dies überlappt sich oft mit dem, was Sie bereits für andere Zwecke dokumentiert haben, wie Zugriffskontrollen für die DSGVO oder Notfallverfahren für die Geschäftskontinuität. Es ist diese Überschneidung, die bewirkt, dass Unternehmen wiederholt die gleiche Art von Nachweisen einreichen müssen, jedes Mal in einem etwas anderen Format. Antworten auf häufig gestellte Fragen dazu, wie diese Art von Listen genau funktionieren, finden Sie in die häufig gestellten Fragen zu Fragebögen, und eine Erläuterung darüber, woher die Informationen auf dieser Website stammen, finden Sie auf der Seite über die Funktionsweise.
Es gibt keine Stelle, die für Sie feststellt, ob NIS2 auf Ihr Unternehmen anwendbar ist; das bleibt eine Bewertung, die bei Ihnen selbst, Ihrem Anwalt oder der Aufsichtsbehörde liegt. Was Sie jedoch schnell tun können, ist überprüfen, ob die Signale, die Sie erkennen, zu einer direkten oder indirekten Beteiligung passen. Möchten Sie das übersichtlich nebeneinander sehen, dann können Sie in ein paar Fragen eine Indikation bekommen, wo Sie stehen, oder beruhigt die Themen durchgehen, die auf Ihre Situation zutreffen können.