Wer fällt unter die NIS-2-Richtlinie?
Mit der NIS-2-Richtlinie werden nicht nur Betreiber kritischer Infrastrukturen reguliert – eine Vielzahl weiterer Unternehmen ist betroffen. Die Einstufung erfolgt nach zwei Hauptkriterien:
Unternehmen, die diese Kriterien erfüllen, sind verpflichtet, Cybersicherheitsmaßnahmen umzusetzen und Meldepflichten einzuhalten.
Die NIS-2-Richtlinie unterteilt betroffene Unternehmen in zwei Gruppen:
Besonders wichtige Einrichtungen (bwE)
Diese Unternehmen unterliegen strengeren Anforderungen an Cybersicherheit und Meldepflichten.
Wichtige Einrichtungen (wE)
Diese Unternehmen haben etwas geringere Anforderungen, müssen jedoch ebenfalls Maßnahmen umsetzen.
Unternehmen aus diesen Sektoren müssen prüfen, ob sie aufgrund ihrer Größe unter die NIS-2-Vorgaben fallen.
Neben der Branchenzugehörigkeit entscheidet die Unternehmensgröße darüber, ob ein Unternehmen unter die NIS-2-Richtlinie fällt.
| Einstufung | Mitarbeiterzahl | Jahresumsatz | Jahresbilanzsumme |
|---|---|---|---|
| Wichtige Einrichtung (wE) | Mindestens 50 | Mehr als 10 Mio. € | Mehr als 10 Mio. € |
| Besonders wichtige Einrichtung (bwE) | Mindestens 250 | Mehr als 50 Mio. € | Mehr als 43 Mio. € |
Einige Unternehmen fallen unabhängig von ihrer Größe unter die NIS-2-Richtlinie, insbesondere:
Diese Unternehmen sind automatisch reguliert, da sie kritische digitale Infrastruktur bereitstellen.
Die NIS-2-Richtlinie definiert klare Kriterien. Unternehmen können ihre Betroffenheit anhand folgender Schritte prüfen:
Branchenprüfung:
Größenprüfung:
Sonderfälle berücksichtigen:
Die NIS-2-Richtlinie bringt neue Anforderungen mit sich. Wir helfen Ihnen dabei, Ihre IT-Sicherheitsstrategie optimal an die Vorgaben anzupassen.
📞 Kontaktieren Sie uns für eine individuelle Beratung.
Unternehmen aus kritischen Sektoren sowie solche mit einer bestimmten Größe (mindestens 50 Mitarbeitende oder 10 Mio. € Umsatz) sollten prüfen, ob sie betroffen sind.
Ja. Kleinere Unternehmen unterhalb der Schwellenwerte sind nicht direkt betroffen – mit Ausnahme bestimmter digitaler Dienstleister wie Cloud-Anbieter.
Unternehmen, die derzeit nicht erfasst sind, sollten dennoch ihre IT-Sicherheit verbessern. Die Anforderungen könnten zukünftig weiter ausgeweitet werden.
