NIS-2-Beratung

Die Größe. Als wichtige Einrichtung gelten Organisationen in den geregelten Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme, als besonders wichtige Einrichtung ab 250 Beschäftigten oder mehr als 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme. Betreiber kritischer Anlagen gelten immer als besonders wichtig.

Ja, wenn Sie als wichtige oder besonders wichtige Einrichtung gelten. Nach § 33 BSIG haben Sie dafür drei Monate Zeit, gerechnet ab dem Zeitpunkt, zu dem Sie erstmals als solche Einrichtung gelten. Änderungen der registrierten Daten sind unverzüglich zu melden, spätestens innerhalb von zwei Wochen.

§ 30 BSIG nennt zehn Kategorien von Risikomanagementmaßnahmen, darunter Risikoanalyse, Incident Handling, Business Continuity, Sicherheit der Lieferkette, Zugriffskontrolle und Kryptografie. Hinzu kommen Melde- und Nachweispflichten. § 38 BSIG weist Umsetzung, Überwachung und Schulung ausdrücklich der Geschäftsleitung zu.

§ 38 BSIG nimmt die Geschäftsleitung ausdrücklich in die Pflicht: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Zur Reichweite der persönlichen Haftung im Einzelfall beraten Anwältinnen und Anwälte, wir unterstützen bei der fachlichen Umsetzung.

Das BSIG erfasst nach NIS-2 deutlich mehr Einrichtungen als das bisherige KRITIS-Recht, maßgeblich sind Sektor und Größe. Betreiber kritischer Anlagen überschreiten zusätzlich Schwellenwerte der KRITIS-Verordnung, gelten immer als besonders wichtige Einrichtungen und unterliegen zusätzlich der Nachweispflicht nach § 39 BSIG.