NIS-2-Beratung, die die Umsetzung mitliefert

Sind Sie von NIS-2 betroffen?

Die Betroffenheit folgt aus dem BSIG, nicht aus der Branche allein. Sie entscheidet sich in vier Schritten. Die Größe allein macht niemanden pflichtig, und der Sektor allein auch nicht: Beides muss zusammenkommen, es sei denn, einer der größenunabhängigen Sonderfälle greift. Die rechtsverbindliche Einordnung bleibt Aufgabe einer Kanzlei; wir liefern die fachliche Grundlage dafür.

• Schritt 1, Tätigkeit: Fällt Ihre konkrete Tätigkeit unter Anlage 1 oder Anlage 2 BSIG? Maßgeblich ist die Tätigkeit, nicht die Branchenbezeichnung.
• Schritt 2, Größe nach § 28 BSIG: mindestens 50 Beschäftigte ODER Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €. Für die höhere Klasse: mindestens 250 Beschäftigte ODER über 50 Mio. € Umsatz UND über 43 Mio. € Bilanzsumme.
• Schritt 3, größenunabhängige Sonderfälle: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und bestimmte Anbieter öffentlicher Telekommunikation gelten unabhängig von der Größe.
• Schritt 4, Bereichsausnahmen nach § 28 Abs. 5 und 6 BSIG: Sie heben die Einstufung als Einrichtung nicht auf, sondern nehmen von bestimmten Vorschriften aus. Für DORA-Finanzunternehmen entfallen die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG; für Telekommunikations- und Energieversorgungsnetze sowie die Telematikinfrastruktur gelten Sonderregime, allerdings tätigkeitsbezogen und mit Rückausnahmen: Wer daneben weitere kritische Anlagen betreibt, fällt insoweit wieder unter das BSIG.
• Ergebnis: besonders wichtige Einrichtung, wichtige Einrichtung oder nicht erfasst. Der Lieferantenstatus allein verpflichtet nicht; ob Sie erfasst sind, entscheidet Ihre eigene Tätigkeit und Größe nach den Schritten 1 bis 3. Unabhängig davon kommen die Anforderungen vertraglich auf Sie zu, weil § 30 BSIG von Ihrem Kunden Lieferketten-Risikomanagement verlangt.