Kritische Sektoren und betroffene Einheiten
Kriterien, die bestimmen, welche Unternehmen NIS2 einhalten müssen
Um ihr Ziel zu erreichen, konzentriert sich die NIS2-Richtlinie auf Organisationen, die in kritischen Sektoren tätig sind, da diese für das reibungslose Funktionieren der Gesellschaft von wesentlicher Bedeutung sind und aus diesem Grund oft das Hauptziel von Cyberangriffen sind.
Es wird geschätzt, dass die NIS2-Richtlinie über 100.000 Organisationen in der gesamten EU betreffen wird, zusätzlich zu denen, die bereits in der scope der ersten NIS-Richtlinie.
Kriterien, die bestimmen, welche Unternehmen NIS2 einhalten müssen
Es gibt drei allgemeine Kriterien, die definieren, welche Organisationen NIS 2 einhalten müssen:
- Standort: Wenn sie in einem beliebigen Land der Europäischen Union Dienstleistungen erbringen oder Tätigkeiten ausüben (unabhängig davon, ob sie ihren Sitz in der EU haben oder nicht).
- Größe: Wenn sie als mittelgroße oder große Organisationen kategorisiert werden. Das bedeutet:
- Mittelgroß (50 bis 250 Mitarbeiter und 10 bis 50 Millionen Euro Jahresumsatz).
- Groß (mehr als 250 Mitarbeiter und 50 Millionen Euro Jahresumsatz).
- Industrie: Wenn sie in einem der 18 unten aufgeführten Sektoren tätig sind.
Wesentliche kritische Sektoren:
- Energie
- Transport
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheit
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- IKT-Servicemanagement (Business-to-Business)
- Öffentliche Verwaltung
- Raum
Andere kritische Sektoren:
- Post- und Kurierdienste
- Abfallmanagement
- Herstellung, Produktion und Vertrieb von Chemikalien
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Herstellung
- Digitale Anbieter
- Forschung
Was sind wesentliche und wichtige Entitäten?
Als „essentielle Einheiten“ und „wichtige Einheiten“ werden in NIS 2 Unternehmen und andere Organisationen bezeichnet, die NIS 2 einhalten müssen.
NIS 2 definiert wesentliche Einheiten wie folgt:
- Unternehmen, die als groß eingestuft werden und einem der 11 wesentlichen kritischen Sektoren angehören.
- Anbieter von Vertrauensdiensten/ Anbieter von DNS-Diensten/ Öffentliche elektronische Kommunikationsnetze/ Einrichtungen der öffentlichen Verwaltung/ Andere von den Mitgliedstaaten bestimmte Einrichtungen
Wichtige Unternehmen sind alle anderen Organisationen, die nicht als wesentliche Unternehmen kategorisiert werden, aber unter die drei Kriterien Standort, Größe und Branche fallen.
Bis zum 17. April 2025 erstellen die Mitgliedstaaten eine Liste wesentlicher und wichtiger Einrichtungen sowie der Einrichtungen, die Dienste zur Registrierung von Domänennamen anbieten. Die Mitgliedstaaten überprüfen diese Liste regelmäßig und aktualisieren sie gegebenenfalls danach mindestens alle zwei Jahre.
