NIS2 für kleine Unternehmen: fällst du wirklich darunter?
NIS2 (Richtlinie (EU) 2022/2555) gilt für Organisationen in den Sektoren aus Anhang I und Anhang II, die mindestens mittelgroß sind, was in der Regel 50 oder mehr Beschäftigte bedeutet, oder Jahresumsatz und Bilanzsumme jeweils über 10 Millionen Euro. Die Größe ist nicht der ganze Test: Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, TLD-Namensregister und DNS-Diensteanbieter fallen unabhängig von ihrer Größe darunter, und Mitgliedstaaten können einzelne Einrichtungen benennen oder die Sektorliste über das Minimum der Richtlinie hinaus erweitern. Die Richtlinie bindet dich nicht direkt. Das tut die nationale Umsetzung, und die entscheidet über dein Register, deine Aufsichtsbehörde, wer eine Meldung entgegennimmt und wie die Bußgelder aussehen. Wesentliche und wichtige Einrichtungen arbeiten mit denselben Maßnahmen aus Artikel 21; der Unterschied ist, dass wesentliche Einrichtungen proaktiv beaufsichtigt werden und wichtige erst, wenn etwas passiert ist. Artikel 20 legt außerdem eine persönliche Pflicht auf Leitungsorgane, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und Schulungen zu besuchen.
Kurze Antwort: NIS2 erfasst dich, wenn du in einem der gelisteten Sektoren tätig bist und mindestens ein mittleres Unternehmen bist, praktisch also 50 oder mehr Beschäftigte hast. Es gibt eine zweite Tür, und die trifft kleine Teams: einige Kategorien fallen unabhängig von der Größe darunter, auch ein Internetanbieter mit zwei Leuten. Und der Punkt, den fast alle am Anfang falsch verstehen: die Richtlinie selbst bindet dich nicht. Das tut die Fassung deines Landes, und diese nationalen Gesetze unterscheiden sich bei Fristen, Registern und Aufsichtsbehörden.
Genau deshalb zerfällt allgemeiner NIS2-Rat immer an der Stelle, an der er nützlich würde. Hier ist der Test, in unserer Reihenfolge.
Die Richtlinie ist nicht das Gesetz, das du befolgen musst
NIS2 ist die Richtlinie (EU) 2022/2555. Eine Richtlinie sagt Mitgliedstaaten, was sie regeln sollen. Sie ist nichts, was du direkt einhältst. Jedes EU-Land schreibt seine eigene Umsetzung, und dieses nationale Gesetz setzt eine Behörde gegen dich durch. Die in der Richtlinie gesetzte Umsetzungsfrist ist bereits verstrichen, und die Länder sind seitdem sehr unterschiedlich weit gekommen.
Für ein kleines Unternehmen heißt das drei Dinge:
- Die Sicherheitsmaßnahmen sind fast überall identisch, weil sie alle aus Artikel 21 der Richtlinie stammen.
- Alles Verfahrensmäßige ist national: bei welchem Register du dich meldest, wer deine Aufsichtsbehörde ist, welche Stelle eine Meldung erhält, wie hoch die Bußgeldobergrenzen sind.
- Mehrere Länder haben die Sektorliste über das Minimum der Richtlinie hinaus erweitert. "Wir haben die EU-Anhänge gelesen und sind raus" ist deshalb keine vollständige Antwort.
Fang beim Gesetz deines eigenen Landes an. Wenn du es nicht findest, ist auch das eine nützliche Information darüber, wie weit dein Mitgliedstaat ist.
Der zweiteilige Anwendungsbereichstest
Teil eins: dein Sektor
NIS2 verteilt erfasste Organisationen auf zwei Anhänge. Anhang I enthält die Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business to Business), öffentliche Verwaltung und Weltraum. Anhang II enthält weitere kritische Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Herstellung bestimmter Produkte, digitale Anbieter und Forschung.
Zwei Einträge erfassen deutlich mehr Softwarefirmen, als Gründerinnen und Gründer erwarten. Digitale Infrastruktur umfasst Cloud-Computing-Anbieter, Rechenzentrumsdienste, Content Delivery Networks, DNS-Diensteanbieter und TLD-Namensregister. Verwaltung von IKT-Diensten deckt Managed Service Provider und Managed Security Service Provider ab. Wenn du Infrastruktur für andere Unternehmen betreibst, lies diese Definitionen genau, statt anzunehmen, dass nur Hyperscaler gemeint sind.
Teil zwei: deine Größe
Wenn du in einem gelisteten Sektor bist, entscheidet die Größe. NIS2 übernimmt die EU-Definition des mittleren Unternehmens, die Arbeitslesart ist also: 50 oder mehr Beschäftigte, oder Jahresumsatz und Bilanzsumme jeweils über 10 Millionen Euro. Darunter bist du in der Regel raus.
In der Regel. Womit wir bei dem Teil wären, der für die Leserinnen und Leser dieses Blogs am wichtigsten ist.
Die Ausnahmen, die winzige Firmen erfassen
Die Größe ist nicht der ganze Test. Manche Organisationen fallen darunter, egal wie klein sie sind, und die Richtlinie benennt sie:
- Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste
- Vertrauensdiensteanbieter
- TLD-Namensregister und DNS-Diensteanbieter
Ein Internetanbieter mit einer Person fällt darunter. Ein Vertrauensdiensteanbieter mit zwei Personen auch. Hier gibt es keine Untergrenze.
Über diese Liste hinaus kann dich ein Mitgliedstaat einzeln einbeziehen: wenn du der einzige Anbieter eines für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten wesentlichen Dienstes in diesem Land bist, wenn eine Störung deines Dienstes die öffentliche Sicherheit oder Gesundheit erheblich beeinträchtigen könnte, oder wenn du wegen deiner besonderen Bedeutung auf nationaler oder regionaler Ebene als kritisch eingestuft wirst. Einrichtungen der öffentlichen Verwaltung regelt jedes Land separat.
Die ehrliche Fassung der Größenregel lautet also: unterhalb der Schwelle bist du wahrscheinlich raus, außer du sitzt in einer der benannten Kategorien ohne Untergrenze, oder dein nationales Gesetz reicht weiter als das Minimum der Richtlinie.
Wesentlich oder wichtig: was ändert sich wirklich?
Erfasste Organisationen werden in wesentliche und wichtige Einrichtungen sortiert, überwiegend nach Sektor und Größe. Bei dieser Unterscheidung lohnt sich Präzision.
Deine Sicherheitspflichten ändert sie kaum. Beide Klassen arbeiten mit denselben Maßnahmen aus Artikel 21.
Was sich ändert, ist die Aufsicht. Wesentliche Einrichtungen unterliegen proaktiver Aufsicht, eine Behörde kann also prüfen und auditieren, bevor irgendetwas passiert ist. Wichtige Einrichtungen unterliegen reaktiver Aufsicht, die Aufmerksamkeit kommt also nach einem Vorfall oder nach einem glaubhaften Hinweis auf Verstöße. Auch die Bußgeldobergrenzen unterscheiden sich zwischen beiden Klassen, festgelegt im nationalen Recht.
Wenn du in der Kategorie wichtig landest statt wesentlich, bleibt die Arbeit dieselbe. Der Unterschied ist, wer klopft und wann.
Was du diese Woche tun solltest, wenn du glaubst, betroffen zu sein
- Such dein nationales Gesetz, nicht die Richtlinie. Fristen, Registrierungspflichten und die meldende Stelle stehen dort.
- Prüf zuerst die Registrierungspflicht. Mehrere Kategorien digitaler Anbieter müssen sich bei einer nationalen Behörde registrieren, und die Registrierung ist eine eigene Pflicht neben den Sicherheitsmaßnahmen. Sie hat meist auch das härteste Datum.
- Lies Artikel 21 einmal richtig. Zehn Maßnahmenbereiche: Risikoanalyse und Sicherheitspolitiken für Informationssysteme, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung und Wartung einschließlich Schwachstellenmanagement, Verfahren zur Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Anlagenmanagement, sowie Multi-Faktor-Authentifizierung mit gesicherter Kommunikation, soweit angemessen.
- Beachte die Leitungspflicht. Artikel 20 verpflichtet Leitungsorgane, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen, und verlangt von ihnen Schulungen. Das ist eine benannte Person, keine Abteilung.
- Inventarisiere, was du schon hast. Wenn du am Anhang A von ISO 27001 gearbeitet hast, sitzt ein großer Teil von Artikel 21 bereits unter anderem Namen in deinem ISMS.
Der letzte Punkt verdient einen eigenen Beitrag, und er hat einen in dieser Reihe.
Wo wir bei NIS2 stehen, ehrlich
Wir bauen Compliance-Werkzeuge für kleine Teams. Das Nützlichste, was wir dir sagen können, ist deshalb genau das, was wir unterstützen, und nicht eine Marketingaussage.
Unsere NIS2-Unterstützung ist Early Access und wird pro Konto nach einem Gespräch freigeschaltet. Wir haben mit der polnischen Umsetzung angefangen, weil dort unsere ersten Design-Partner sitzen, und wir haben sie auf Polnisch gebaut. Der Maßnahmenkatalog ist allgemein am Gesetz orientiert und passt damit zu jeder Organisation, die von Artikel 21 aus arbeitet. Der Klassifikator für den Anwendungsbereich ist es nicht: er bildet derzeit die polnischen Regeln für Anbieter elektronischer Kommunikation ab. Für einen polnischen ISP antwortet er also gut, für einen polnischen Hersteller antwortet er gar nicht.
Das sagen wir lieber klar, als dass du es nach der Anmeldung herausfindest. Wenn du ein anderes Land modelliert brauchst, sag uns welches, und du bekommst eine echte Aussage zum Zeitplan statt eines Vielleicht.
Unser eigener Weg lief über ISO zuerst. Wir haben AuditBadger mit AuditBadger zertifiziert, SOC 2® Type II, ohne externe Berater, und das ISMS darunter ist der Grund, warum ein Gespräch über Artikel 21 kurz ausfällt. Wenn du weiter vorne stehst, ist die schlanke Variante von Governance, Risiko und Compliance die bessere erste Lektüre als jede Richtlinie. Und falls du noch entscheidest, welches Rahmenwerk zuerst kommt: SOC 2 oder ISO 27001 ist die Weggabelung, an die kleine Teams lange vor NIS2 kommen.
Mehr zu den zehn Maßnahmen, den Meldefristen und dem, was sich aus ISO überträgt, auf unserer NIS2-Seite.
