Glossar
Wesentliche und wichtige Einrichtungen
Auch: Essential Entities, Important Entities, NIS2-Kategorien
NIS2 teilt die erfassten Unternehmen in zwei Kategorien: wesentliche und wichtige Einrichtungen. Welche gilt, hängt vom Sektor und von der Größe ab. Die Pflichten sind sehr ähnlich, die Aufsicht unterscheidet sich.
Zwei Kategorien
Wesentliche Einrichtungen sind vor allem große Unternehmen in besonders kritischen Sektoren, etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung.
Wichtige Einrichtungen sind die übrigen erfassten Unternehmen. Dazu zählen mittlere Unternehmen in den kritischen Sektoren und Unternehmen in weiteren Sektoren, zum Beispiel Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter.
Woran die Einordnung hängt
Drei Fragen entscheiden:
- Sektor: Gehört die Tätigkeit zu einem der in der Richtlinie genannten Bereiche?
- Größe: Als Faustregel wird es ab rund 50 Mitarbeitenden oder zehn Millionen Euro Jahresumsatz relevant. Es gibt Ausnahmen in beide Richtungen.
- Rolle: Manche Unternehmen sind unabhängig von der Größe erfasst, etwa bestimmte Anbieter digitaler Dienste.
Was beide Kategorien gemeinsam haben
Beide müssen Sicherheitsmaßnahmen umsetzen und erhebliche Vorfälle melden, siehe Meldepflicht. Der Unterschied liegt vor allem in der Art der behördlichen Aufsicht.
Wer sich oft zu früh sicher fühlt
Viele Unternehmen halten sich für nicht betroffen, weil ihre Branche nicht nach kritischer Infrastruktur klingt. Maschinenbau, Lebensmittelherstellung und IT-Dienstleistung sind jedoch erfasst. Und wer nicht selbst erfasst ist, kann über die Lieferkette trotzdem betroffen sein.
Was Sie jetzt klären können
Auch ohne endgültige Einordnung lässt sich vorarbeiten. Notieren Sie, in welchen Tätigkeitsfeldern Ihr Unternehmen arbeitet, wie viele Mitarbeitende und welchen Umsatz es hat und welche Kunden aus regulierten Bereichen kommen. Mit diesen Angaben kann Ihre Rechtsberatung die Frage rasch beantworten. Unabhängig vom Ergebnis lohnt es sich, die Grundmaßnahmen umzusetzen, denn sie schützen das Unternehmen auch ohne rechtliche Pflicht und beantworten die Fragen der Kunden.
Einordnung
Die Zuordnung ist eine rechtliche Frage und gehört in die Hände Ihrer Rechtsberatung. Was technisch zu tun ist, unabhängig von der Kategorie, steht unter NIS2-Umsetzung und im Beitrag NIS2: warum das Thema jedes KMU angeht.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in wenigen Fragen. Keine Registrierung, kein Download.