NIS2 verstehen: Anwendungsbereich und Betroffenheit

Problem in der Praxis

In vielen Unternehmen kursiert die Annahme "Wir sind keine kritische Infrastruktur, also betrifft uns NIS2 nicht". Das ist gefährlich verkürzt. NIS2 erweitert den Adressatenkreis deutlich gegenüber der aufgehobenen NIS-Richtlinie (EU) 2016/1148. Betroffen sind nun zahlreiche mittlere und große Unternehmen quer durch Anhang I und II, vom verarbeitenden Gewerbe über Lebensmittel und Abfallwirtschaft bis zu digitalen Diensten.

Zweites Problem: Die Betroffenheit wird im Bauchgefühl abgehakt, aber nicht belegt. Bei einer Aufsichtsmaßnahme oder einem Vorfall fehlt dann die nachvollziehbare Begründung. Eine Betroffenheitsanalyse ist kein Vermerk in einer E-Mail, sondern eine begründete, datierte und freigegebene Feststellung. Drittes Problem: Konzernstrukturen und grenzüberschreitende Tätigkeiten machen die Einordnung komplex; eine pauschale Konzernantwort verdeckt oft, dass einzelne Gesellschaften unterschiedlich einzustufen sind.

CISO-Einordnung

Die Betroffenheitsanalyse beantwortet vier Fragen:

• Sektor: Fällt eine Tätigkeit unter Anhang I (Sektoren mit hoher Kritikalität, u. a. Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung) oder Anhang II (sonstige kritische Sektoren, u. a. Post-/Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste)? Die vollständigen Listen stehen in den Anhängen der Richtlinie und im nationalen Recht.
• Größe: NIS2 stellt grundsätzlich auf mittlere und große Unternehmen ab (size-cap-Regel). Für bestimmte Einrichtungen gilt die Betroffenheit jedoch unabhängig von der Größe.
• Kategorie: Sind wir danach eine wesentliche oder eine wichtige Einrichtung? Diese Zuordnung steuert vor allem Aufsichtsregime und Sanktionsrahmen. Die nationale Umsetzung kann abweichende Bezeichnungen verwenden; in Deutschland spricht das NIS2-Umsetzungsgesetz von besonders wichtigen und wichtigen Einrichtungen.
• Sonderregime: Greift ein vorrangiges Spezialregime? Für den Finanzsektor gilt etwa DORA (Verordnung (EU) 2022/2554) als lex specialis; Ausnahmen bestehen u. a. für nationale Sicherheit und Verteidigung.

Der Unterschied liegt nicht im Ob der Risikomanagement- und Meldepflichten, sondern in Aufsichtsintensität und Sanktionshöhe. Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht (u. a. Inspektionen, Audits), wichtige primär einer anlassbezogenen Aufsicht (ex post).

Umsetzungsperspektive

Eine belastbare Betroffenheitsanalyse lässt sich in nachvollziehbaren Schritten aufbauen:

1. Tätigkeiten erfassen: je Gesellschaft und Standort. Nicht der Firmenname zählt, sondern die reale Tätigkeit.
2. Sektor-Mapping: jede Tätigkeit gegen Anhang I und II der Richtlinie und gegen die nationale Umsetzung spiegeln.
3. Größenprüfung: Mitarbeiterzahl und finanzielle Schwellen pro Einheit bestimmen, Konzernzurechnung beachten. Die genauen Schwellen und Zurechnungsregeln stehen im nationalen Recht.
4. Kategorisierung: je Einheit als wesentlich, wichtig oder nicht betroffen einordnen, mit Begründung.
5. Sonderregime und Folgepflichten: vorrangige Rahmen (z. B. DORA) und Ausnahmen prüfen sowie etwaige Registrierungs- und Meldepflichten gegenüber der zuständigen Behörde klären (Verfahren nach nationalem Recht).
6. Freigabe und Wiedervorlage: Ergebnis durch die Leitung freigeben und mit festem Prüfintervall versehen.

Die Analyse ist kein Einmalprodukt: Neue Geschäftsfelder, Zukäufe, Wachstum über Größenschwellen oder Gesetzesänderungen können die Einordnung kippen. Der CISO sollte sie deshalb als wiederkehrenden Prüfpunkt im ISMS verankern.

Typische Fehler

1. Betroffenheit wird pauschal verneint, weil man sich nicht als "kritische Infrastruktur" sieht.
2. Die Prüfung erfolgt nur auf Konzernebene statt je Gesellschaft und Tätigkeit.
3. Die Einordnung wird nicht dokumentiert und nicht von der Leitung freigegeben.
4. Es wird nur der Richtlinientext gelesen, ohne die nationale Umsetzung mit ihren abweichenden Details und Schwellen.
5. Nationale Detailregelungen werden fälschlich als unionsweit einheitlich angenommen.
6. Die Analyse wird nicht wiederholt, obwohl sich Tätigkeiten und Größe ändern.

Risiken und Trade-offs

Eine zu enge Auslegung ist das größere Risiko: Wer sich fälschlich als nicht betroffen einstuft, baut weder Governance- noch Melde- und Risikomanagementstrukturen auf und steht bei einem Vorfall ohne Nachweise da. Die Folgen reichen von empfindlichen Geldbußen bis zur persönlichen Verantwortung der Leitungsebene.

Eine zu weite Auslegung kostet Ressourcen für Pflichten, die rechtlich nicht greifen, kann aber als bewusste, dokumentierte Vorsichtsentscheidung sinnvoll sein, etwa bei unsicherer Einstufung an einer Schwelle oder absehbarem Wachstum. Bei Konzernen und Mischtätigkeiten ist die granulare Prüfung aufwendiger, aber rechtssicherer als die schnelle Pauschalantwort.

Entscheidungspunkte

• Prüfen wir Betroffenheit je rechtlicher Einheit und Tätigkeit oder pauschal auf Gruppenebene?
• Wer trägt die fachliche und rechtliche Verantwortung für die Einstufung, und wer gibt sie frei?
• Wie gehen wir mit Grenzfällen an Sektor- oder Größenschwellen um, konservativ oder strikt nach Wortlaut?
• In welchem Intervall und bei welchen Auslösern (Zukauf, Wachstum, neue Geschäftsfelder, Gesetzesänderung) prüfen wir erneut, und ziehen wir dafür externe Rechtsberatung hinzu?

Praktische Empfehlungen

1. Führen Sie eine dokumentierte Betroffenheitsanalyse je Gesellschaft und Tätigkeit durch, mit Begründung, Datum und Freigabe.
2. Spiegeln Sie Tätigkeiten zuerst gegen Anhang I und II, danach gegen die nationale Umsetzung; behandeln Sie nationale Details nicht als unionsweit fix.
3. Klären Sie Größenkriterien und Konzernzurechnung anhand des nationalen Rechts.
4. Trennen Sie Kategorie (wesentlich/wichtig) und Pflichteninhalt; die Kategorie steuert vor allem Aufsicht und Sanktionen.
5. Verankern Sie die Prüfung als wiederkehrenden Prüfpunkt mit klaren Auslösern und ziehen Sie bei Grenzfällen und Sonderregimen früh juristische Expertise hinzu.

Relevante Normreferenzen

• Richtlinie (EU) 2022/2555 (NIS2) vom 14. Dezember 2022, ABl. L 333 vom 27.12.2022, S. 80 bis 152: Rechtsgrundlage für Anwendungsbereich, Kategorien (wesentlich/wichtig), Anhang I und II sowie Aufsicht und Sanktionen. Hebt die NIS-Richtlinie (EU) 2016/1148 auf.
• Nationale Umsetzung, in Deutschland das NIS2-Umsetzungsgesetz: maßgeblich für verbindliche Schwellen, Verfahren und Detailregelungen. Die EU-Umsetzungsfrist endete am 17. Oktober 2024; der nationale Umsetzungsstand kann davon abweichen und ist vor Nutzung zu prüfen.
• Verordnung (EU) 2022/2554 (DORA): Spezialregime für den Finanzsektor (lex specialis).