NIS2 betrifft Viele. Auch Sie?
NIS2 ist nicht nur eine Frage der Branche, sondern auch der Unternehmensgröße. Ab 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme können Sie als „wichtige Einrichtung" gelten. Und das ganz unabhängig davon, ob Sie sich selbst als kritische Infrastruktur verstehen. Betroffen sind nicht nur Energieversorger oder Krankenhäuser, sondern auch Hersteller, IT-Dienstleister, Logistiker und viele andere Unternehmen quer durch fast alle Branchen. BAUTZ hilft bei der Einordnung und Umsetzung, damit Sie abgesichert sind.
Drei typische Szenarien bei NIS2-betroffenen Unternehmen
Wir sind doch keine kritische Infrastruktur.
Und trotzdem können Sie unter NIS2 fallen. Die Einstufung läuft nicht über das Selbstverständnis, sondern über Mitarbeiterzahl, Umsatz und Sektor. Viele Unternehmen aus dem verarbeitenden Gewerbe, digitaler Infrastruktur, Energie, Gesundheit oder Forschung sind betroffen, ohne sich jemals als „systemrelevant" gesehen zu haben. Wir klären zuerst sachlich: Fallen Sie überhaupt unter die Anforderungen und wenn ja, in welche Kategorie?
Wir wissen nicht, ob wir ‚wichtig' oder ‚besonders wichtig' sind und was das für uns bedeutet.
Die Einstufung als „wichtige Einrichtung" oder „besonders wichtige Einrichtung" hängt von klaren Schwellenwerten ab, bringt aber unterschiedliche Pflichten und Prüfintensitäten mit sich. Wer hier falsch liegt, unterschätzt entweder den Aufwand oder investiert in die falschen Prioritäten. Wir ordnen Ihren Fall sauber ein und leiten daraus ab, was konkret zu tun ist. Ohne Panik, aber mit der nötigen Priorität.
Die Fristen laufen bereits und wir haben noch nicht mal angefangen.
Registrierungspflichten, Meldewege für Sicherheitsvorfälle, Mindestanforderungen an Risikomanagement: NIS2 verlangt konkrete Strukturen. Wer spät anfängt, gerät schnell unter Zeitdruck und riskiert Bußgelder, die durchaus schmerzhaft ausfallen können. Wir entwickeln mit Ihnen einen Plan, der pragmatisch und schnell umsetzbar ist und auf dem aufsetzt, was bereits vorhanden ist.
Häufige Fragen
Die Einordnung läuft über zwei Kriterien: Sektor und Unternehmensgröße. Erfasst sind unter anderem Energie, Gesundheit, Transport, digitale Infrastruktur, verarbeitendes Gewerbe und digitale Dienste. Innerhalb dieser Sektoren gelten Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Mio. € Umsatz und Bilanzsumme in der Regel als „wichtige Einrichtung", ab 250 Mitarbeitenden oder mehr als 50 Mio. € Umsatz als „besonders wichtige Einrichtung". Es gibt zusätzlich größenunabhängige Sonderfälle. Wir prüfen das für Sie konkret anhand Ihrer Situation.
Beide Kategorien müssen Risikomanagementmaßnahmen umsetzen, Vorfälle melden und Nachweise erbringen. Der Unterschied liegt vor allem in der Aufsicht: Besonders wichtige Einrichtungen werden proaktiv durch Behörden geprüft, wichtige Einrichtungen in der Regel anlassbezogen. Der Pflichtenkatalog selbst ist weitgehend vergleichbar.
Was passiert, wenn wir die Anforderungen nicht erfüllen?
NIS2 sieht spürbare Bußgelder vor, zusätzlich drohen Haftungsrisiken für die Geschäftsführung. Hinzu kommt ein praktisches Risiko: Im Fall eines Sicherheitsvorfalls fehlt dann oft genau die Struktur, die den Schaden begrenzt hätte.
Übernehmt ihr auch die Meldung von Vorfällen oder die ISB-Funktion?
Ja. Wir können die Funktion des Informationssicherheitsbeauftragten bei Ihnen übernehmen oder begleiten, Meldeprozesse für Sicherheitsvorfälle aufbauen und Sie im Ernstfall durch die Meldefristen führen. Für viele Unternehmen ist das der pragmatischste Weg, NIS2 zu erfüllen, ohne intern eine Vollzeitstelle aufzubauen.