Wichtige Einrichtungen sind die zweite Betroffenheitskategorie des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) — im EU-Sprachgebrauch "Important Entities". Diese Kategorie macht NIS2 für den Mittelstand relevant: Schon ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz fallen Unternehmen aus den betroffenen Sektoren unter das Gesetz.
Welche Sektoren zählen dazu?
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemie (Herstellung und Handel)
- Lebensmittel (Herstellung, Verarbeitung, Vertrieb)
- Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Kfz)
- Digitale Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschungseinrichtungen
Ab welcher Größe gilt die Einstufung?
Als wichtige Einrichtung gelten in der Regel Unternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz in einem der genannten Sektoren. Gerade viele mittelständische Fertigungs-, Chemie- und Lebensmittelunternehmen erfüllen diese Schwellen, ohne es zu wissen.
Gelten geringere Pflichten als für besonders wichtige Einrichtungen?
Nein. Wichtige Einrichtungen müssen dieselben Kernpflichten erfüllen wie besonders wichtige Einrichtungen:
- Risikomanagement in 10 Maßnahmenbereichen (§ 30 BSIG) — von Risikoanalyse über Lieferkettensicherheit bis Multi-Faktor-Authentifizierung
- Meldepflicht bei erheblichen Sicherheitsvorfällen: 24 Stunden Frühwarnung, 72 Stunden Meldung, 1 Monat Abschlussbericht (§ 32 BSIG)
- BSI-Registrierung (§ 33 BSIG)
- Geschäftsleiterpflichten mit persönlicher Haftung und Schulungspflicht (§ 38 BSIG)
Der wesentliche Unterschied liegt im Bußgeldrahmen:
| Kategorie | Maximales Bußgeld |
|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
Es gilt jeweils der höhere Betrag.
Häufige Fragen
Wir liegen knapp unter den Schwellenwerten — sind wir sicher?
Nicht unbedingt. Über die Lieferkettenpflichten geben NIS2-regulierte Kunden Sicherheitsanforderungen an ihre Zulieferer und Dienstleister weiter — auch an kleinere Unternehmen. Details im Artikel NIS2 und die Lieferkette.
Wie kläre ich meine Einstufung?
Der kostenlose Betroffenheitscheck liefert in etwa 5 Minuten eine Einschätzung, ob und wie Ihr Unternehmen unter NIS2 fällt — inklusive wahrscheinlicher Einstufung als wichtige oder besonders wichtige Einrichtung.