Jede Erklärung der Richtlinie (EU) 2022/2555 sagt, dass NIS2 seine Einrichtungen in wesentliche und wichtige teilt, und die meisten hören dort auf. Die Teilung lohnt sich richtig zu verstehen, weil sie die Teilung zwischen Artikel 32 und Artikel 33 ist, zwischen einer Aufsicht, die Sie prüfen darf, bevor etwas schiefgegangen ist, und einer, die auf Nachweise hin handelt, und zwischen einer Bußgeldobergrenze von 10 000 000 EUR und einer von 7 000 000 EUR. Sie wird von zwei Artikeln entschieden, die der Reihe nach zu lesen sind: Artikel 2 sagt, ob Sie überhaupt erfasst sind, Artikel 3, welche Art Sie sind. Beide zitieren einen Größentest aus einer Empfehlung von 2003, der so gezählt wird, dass die meisten Unternehmen ihn beim ersten Mal falsch machen. Dieser Artikel nimmt die zwei der Reihe nach, mit dem Text, und endet dort, wo die kostenlose Feststellung des Anwendungsbereichs beginnt.
Artikel 2: Sind Sie eine Einrichtung der Richtlinie
Artikel 2(1) wendet die Richtlinie an auf „öffentliche oder private Einrichtungen der in den Anhang I oder II genannten Art, die nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG als mittlere Unternehmen gelten oder die Schwellenwerte für mittlere Unternehmen nach Absatz 1 jenes Artikels überschreiten und ihre Dienste in der Union erbringen oder ihre Tätigkeiten dort ausüben“. Drei Bedingungen, und die erste ist die, die zuerst zu prüfen ist: von einer Art zu sein, die die Anhänge aufführen. Anhang I sind die Sektoren mit hoher Kritikalität, 11 an der Zahl, und Anhang II die sonstigen kritischen Sektoren, 7 weitere; zusammen beschreiben sie 67 Arten von Einrichtungen, und ein Unternehmen ist erfasst, indem es eine davon ist, nicht indem es an eine verkauft. Ein Softwareunternehmen schaut meist auf vier Zeilen: Anbieter von Cloud-Computing-Diensten, Anbieter verwalteter Dienste und Anbieter verwalteter Sicherheitsdienste in Anhang I sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für soziale Netzwerke in Anhang II. Die 67 Zeilen stehen im Werkzeug zum Anwendungsbereich in sechs Sprachen, im Wortlaut.
Die zweite Bedingung ist die Größe. Der Anhang der Empfehlung definiert ein mittleres Unternehmen als eines mit weniger als 250 Beschäftigten und entweder einem Jahresumsatz von höchstens 50 Mio. EUR oder einer Bilanzsumme von höchstens 43 Mio. EUR; ein kleines Unternehmen hat weniger als 50 Beschäftigte und einen Umsatz oder eine Bilanzsumme von höchstens 10 Mio. EUR; ein Kleinstunternehmen weniger als 10 Beschäftigte und 2 Mio. EUR. NIS2 erfasst mittlere Unternehmen und alles Größere, sodass die Untergrenze die Obergrenze der Kleinen ist: 50 Beschäftigte, oder über 10 Mio. EUR sowohl beim Umsatz als auch bei der Bilanzsumme. Zwei Dinge zur Zählung. Artikel 3 der Empfehlung zählt das Unternehmen zusammen mit seinen Partnerunternehmen und seinen verbundenen Unternehmen, sodass eine Tochter mit 30 Personen in einer Gruppe mit 400 Personen nicht klein ist. Und NIS2 setzt Artikel 3(4) dieses Anhangs außer Kraft, die Regel, die ein zu 25 % oder mehr von öffentlichen Stellen gehaltenes Unternehmen aus den KMU-Klassen heraushält, sodass ein öffentlich gehaltenes Unternehmen wie jedes andere bemessen wird.
Artikel 2(2) erfasst dann manche Einrichtungen „unabhängig von ihrer Größe“: Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, nach dem, was sie erbringen; den einzigen Anbieter eines Dienstes in einem Mitgliedstaat, der für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten unerlässlich ist, eine Einrichtung, deren Störung die öffentliche Sicherheit, Ordnung oder Gesundheit erheblich beeinträchtigen oder ein Systemrisiko auslösen könnte, und eine Einrichtung, die für ihren Sektor auf nationaler oder regionaler Ebene kritisch ist, jeweils durch einen Akt des Mitgliedstaats; und die Zentralregierung, mit der regionalen Verwaltung nach einer risikobasierten Bewertung. Artikel 2(3) fügt Einrichtungen hinzu, die nach der Richtlinie (EU) 2022/2557 als kritisch eingestuft sind, und Artikel 2(4) Einrichtungen, die Domänennamen-Registrierungsdienste erbringen. Ein Registrar ist eine Kategorie für sich: Artikel 3(3) führt Registrare neben wesentlichen und wichtigen Einrichtungen auf, und ihre Pflicht ist Artikel 28.
Artikel 3: wesentlich, oder wichtig
Artikel 3(1) führt die wesentlichen Einrichtungen in sieben Buchstaben auf, und Artikel 3(2) macht jede andere Einrichtung einer Art aus Anhang I oder II zu einer wichtigen. Die sieben, zitiert:
| Buchstabe | Der Text | Wer das in der Praxis ist |
|---|---|---|
| (a) | „Einrichtungen der in Anhang I aufgeführten Art, die die in Artikel 2 Absatz 1 des Anhangs der Empfehlung 2003/361/EG genannten Schwellenwerte für mittlere Unternehmen überschreiten“ | Jede große Einrichtung aus Anhang I: ein Cloud- oder Managed-Service-Anbieter mit 250 Beschäftigten oder mehr, oder über 50 Mio. EUR Umsatz und 43 Mio. EUR Bilanzsumme |
| (b) | „qualifizierte Vertrauensdiensteanbieter und Domänennamenregister der Domäne oberster Stufe sowie DNS-Diensteanbieter, unabhängig von ihrer Größe“ | Drei Arten, die in jeder Größe wesentlich sind; ein nicht qualifizierter Vertrauensdiensteanbieter ist wichtig, sofern nicht groß |
| (c) | „Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, die nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG genannten als mittlere Unternehmen gelten“ | Mittlere Telekommunikationsanbieter; große sind nach (a) wesentlich, kleine wichtig |
| (d) | „Einrichtungen der öffentlichen Verwaltung nach Artikel 2 Absatz 2 Buchstabe f Ziffer i“ | Die Zentralregierung |
| (e) | „sonstige Einrichtungen der in Anhang I oder II aufgeführten Art, die von einem Mitgliedstaat gemäß Artikel 2 Absatz 2 Buchstaben b bis e als wesentliche Einrichtungen eingestuft werden“ | Eine Einrichtung, die der Staat ermittelt und wesentlich statt wichtig eingestuft hat |
| (f) | „Einrichtungen, die gemäß der Richtlinie (EU) 2022/2557 als kritische Einrichtungen eingestuft wurden und die in Artikel 2 Absatz 3 der vorliegenden Richtlinie genannt werden“ | Kritische Einrichtungen nach der Resilienz-Richtlinie, welche Sektorzeile auch immer |
| (g) | „sofern der Mitgliedstaat dies vorsieht, Einrichtungen, die von den Mitgliedstaaten vor dem 16. Januar 2023 gemäß der Richtlinie (EU) 2016/1148 oder nach nationalem Recht als Betreiber wesentlicher Dienste eingestuft wurden“ | Frühere Betreiber wesentlicher Dienste nach der ersten NIS-Richtlinie, wo der Staat sie wesentlich lässt |
Gegen ein Softwareunternehmen gelesen, sagt die Tabelle drei Dinge. Eine Art aus Anhang II ist nie durch Größe wesentlich: Ein großer Hersteller von Maschinen, Medizinprodukten oder Elektronik, ein großer Marktplatz oder eine große Suchmaschine ist nach Artikel 3(2) wichtig, so groß er auch ist, sofern ein Staat ihn nicht nach (e) ermittelt oder er nach (f) eine kritische Einrichtung ist. Eine Art aus Anhang I ist allein durch Größe wesentlich, was einen Anbieter von Cloud-, Rechenzentrums-, CDN-, verwalteten oder verwalteten Sicherheitsdiensten, der die Schwellenwerte für mittlere Unternehmen überschreitet, ohne Akt von irgendjemandem in die Aufsicht des Artikels 32 bringt. Und die drei Arten in Buchstabe (b) sind in jeder Größe wesentlich, weshalb ein DNS-Anbieter mit zwei Personen eine wesentliche Einrichtung ist und ein Cloud-Anbieter mit zwei Personen gar keine Einrichtung, sofern ein Staat ihn nicht ermittelt.
Was der Unterschied ist
Die Maßnahmen sind dieselben. Artikel 21 gilt für wesentliche und wichtige Einrichtungen gleichermaßen, und für die digitalen Anbieter ihres Artikels 1 legt die Durchführungsverordnung (EU) 2024/2690 die technischen Einzelheiten dieser Maßnahmen und die Schwellenwerte für Vorfälle für beide identisch fest. Die Fristen des Artikels 23 sind dieselben. Was sich unterscheidet, sind Aufsicht, Bußgelder und die Lesart der Verhältnismäßigkeit.
Die Aufsicht über wesentliche Einrichtungen erfolgt vorab und im Nachhinein (Artikel 32): Die zuständige Behörde darf Vor-Ort-Kontrollen und externe Aufsicht, regelmäßige und gezielte Prüfungen, Ad-hoc-Prüfungen, wo ein erheblicher Vorfall oder Verstoß sie rechtfertigt, Sicherheitsscans sowie Auskunfts- und Nachweisverlangen durchführen, jederzeit; werden ihre Anordnungen nicht befolgt, darf sie als letztes Mittel eine Zertifizierung oder Genehmigung aussetzen und bei einem Gericht beantragen, der Leitung die Ausübung von Leitungsaufgaben zu untersagen (Artikel 32(5)). Die Aufsicht über wichtige Einrichtungen erfolgt im Nachhinein (Artikel 33): dieselben Instrumente, aber „wenn Nachweise, Hinweise oder Informationen vorgelegt werden, dass eine wichtige Einrichtung mutmaßlich nicht nachkommt“. Bußgelder folgen Artikel 34: für wesentliche Einrichtungen „ein Höchstbetrag von mindestens 10 000 000 EUR oder ein Höchstbetrag von mindestens 2 % des gesamten weltweiten Jahresumsatzes“ (Artikel 34(4)), für wichtige Einrichtungen „ein Höchstbetrag von mindestens 7 000 000 EUR oder ein Höchstbetrag von mindestens 1,4 %“ (Artikel 34(5)), jeweils je nachdem, welcher Betrag höher ist, wobei der Mitgliedstaat seine Obergrenzen darüber ansetzen darf. Beide Arten haben ein Leitungsorgan, das die Maßnahmen billigen, ihre Umsetzung überwachen muss und haftbar gemacht werden kann, und dessen Mitglieder Schulungen absolvieren müssen (Artikel 20).
Die Liste, das Register und der Staat
Aus dem Status folgen zwei Registrierungen, und sie sind verschieden. Artikel 3(3) verpflichtete jeden Mitgliedstaat, bis zum 17. April 2025 eine Liste seiner wesentlichen und wichtigen Einrichtungen und der Registrare zu erstellen, aus Angaben, die die Einrichtungen nach Artikel 3(4) übermitteln: Name, Anschrift und Kontaktdaten, Sektor und Teilsektor sowie die Mitgliedstaaten, in denen sie Dienste erbringen. Artikel 27 ist ein zweites, engeres Register, geführt von der ENISA, für DNS-, TLD-, Registrar-, Cloud-, Rechenzentrums-, CDN-, Managed-Service-, Managed-Security-Service-, Marktplatz-, Suchmaschinen- und Social-Networking-Anbieter, die bis zum 17. Januar 2025 ihren Namen, Sektor, Anschriften, Kontaktdaten, bedienten Mitgliedstaaten und IP-Bereiche ihrer zuständigen Behörde übermitteln mussten.
Auf welches Staats Liste Sie stehen, ist Artikel 26. Eine Einrichtung untersteht der Zuständigkeit des Mitgliedstaats, in dem sie niedergelassen ist, außer dass die gerade genannten digitalen Anbieter dem Mitgliedstaat ihrer Hauptniederlassung in der Union unterstehen, „dem Mitgliedstaat, in dem die Entscheidungen im Zusammenhang mit den Risikomanagementmaßnahmen im Bereich der Cybersicherheit überwiegend getroffen werden“ (Artikel 26(2)), und eine nicht in der Union niedergelassene dem Staat, in dem sie ihren Vertreter benennt (Artikel 26(3)). Der Rechtsakt des Staats, wie der Kommission mitgeteilt, steht im Umsetzungsregister; welcher von ihnen am Tag des Lesens überhaupt einen hat, ist ein eigener Artikel.
Vier Fälle, die ein Softwareunternehmen falsch macht
Ein Cloud-Anbieter mit 40 Beschäftigten und 8 Mio. EUR Umsatz, unabhängig, ist keine Einrichtung der Richtlinie: eine Art aus Anhang I, unter der Obergrenze der Kleinen, und keine der größenunabhängigen Regeln greift. Er wird dennoch von jedem wesentlichen und wichtigen Kunden aufgefordert werden, die Sicherheit der Lieferkette nachzuweisen, die Artikel 21(2)(d) diese Kunden steuern lässt. Derselbe Anbieter im Eigentum einer Gruppe mit 300 Personen ist nach Artikel 3 der Empfehlung ein mittleres Unternehmen und wichtig; derselbe Anbieter mit 250 Beschäftigten ist wesentlich.
Ein Maschinenbauer mit 2 000 Beschäftigten ist wichtig, nicht wesentlich: Anhang II, und Artikel 3(1)(a) erreicht nur Anhang I.
Ein Registrar ohne andere Zeile ist nach Artikel 2(4) in jeder Größe erfasst, mit Artikel 28 als Pflicht und einem Platz auf der Liste des Artikels 3(3) und im Register des Artikels 27, aber er ist weder wesentlich noch wichtig, sofern er nicht auch von einer Art aus einem Anhang ist.
Ein Anbieter verwalteter Dienste mit Sitz in den Vereinigten Staaten, Kunden in drei Mitgliedstaaten und ohne Niederlassung in der Union muss in einem der Staaten, in denen er Dienste anbietet, einen Vertreter benennen und untersteht dem Gesetz dieses Staats; ohne Vertreter kann jeder der drei gegen ihn vorgehen.
Die Feststellung des Anwendungsbereichs wendet diese Regeln auf Ihre Antworten an und schreibt das Ergebnis mit den zitierten Artikeln; die Zuordnung von NIS2 zu ISO 27001 ist der Ort, an den die Maßnahmen des Artikels 21 als Nächstes gehen, und die Fristen des Artikels 23 sind das, was der Status in einen Vorfall trägt. Ob NIS2 oder der CRA überhaupt Ihr Gesetz ist, kommt vor beidem.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2(1) bis (4), Artikel 3(1) bis (4), Artikel 20, Artikel 21(1) und (2), Artikel 26(1) bis (3), Artikel 27, Artikel 28, Artikel 32 bis 34, Anhänge I und II, gelesen auf EUR-Lex in sechs Sprachen.
- Empfehlung 2003/361/EG der Kommission, Anhang, Artikel 2 und 3.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Artikel 1.
Dies ist keine Rechtsberatung. Der Rechtsakt des Mitgliedstaats kann die Kategorien der Richtlinie nach Artikel 2(2)(b) bis (e), Artikel 2(5) und Artikel 3(1)(g) erweitern, und die Feststellung des Staats ist die, die zählt.