Besonders wichtige und wichtige Einrichtungen

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) unterscheidet zwischen "besonders wichtigen Einrichtungen" (essential entities) und "wichtigen Einrichtungen" (important entities). Diese Einstufung bestimmt maßgeblich, in welchem Umfang eine Organisation den Cybersicherheitspflichten unterliegt und wie streng die zuständige Behörde die Einhaltung beaufsichtigt und durchsetzt. Die Zuordnung erfolgt anhand der Kombination aus Sektorzugehörigkeit (Anhang I oder II der Richtlinie), Unternehmensgröße und besonderer Kritikalität der Einrichtung. In Deutschland wird die Richtlinie durch das NIS2-Umsetzungsgesetz und die entsprechenden Änderungen des BSI-Gesetzes in nationales Recht überführt.

Als besonders wichtige Einrichtungen gelten in der Regel große Unternehmen (mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Jahresumsatz und über 43 Mio. Euro Bilanzsumme) aus den Sektoren mit hoher Kritikalität nach Anhang I, etwa Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur und IKT-Dienstleistungsmanagement. Hinzu kommen unabhängig von der Größe bestimmte Einrichtungen wie qualifizierte Vertrauensdiensteanbieter, Betreiber kritischer Anlagen oder Einrichtungen der zentralen Bundesverwaltung. Wichtige Einrichtungen sind demgegenüber typischerweise mittlere Unternehmen (mindestens 50 Beschäftigte oder über 10 Mio. Euro Umsatz und Bilanzsumme) der Anhang-I-Sektoren sowie Einrichtungen aus den sonstigen kritischen Sektoren nach Anhang II, etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und Anbieter digitaler Dienste.

Materiell gelten für beide Kategorien dieselben Risikomanagementmaßnahmen nach Art. 21 NIS2 und dieselben Melde- und Registrierungspflichten; der wesentliche Unterschied liegt in der Aufsicht und Durchsetzung. Besonders wichtige Einrichtungen unterliegen einer proaktiven, ex-ante-Aufsicht mit regelmäßigen Prüfungen, Vor-Ort-Kontrollen und Sicherheitsaudits, während wichtige Einrichtungen grundsätzlich nur anlassbezogen, also reaktiv (ex post), kontrolliert werden, wenn Hinweise auf einen Verstoß vorliegen. Auch der Bußgeldrahmen ist unterschiedlich ausgestaltet: für besonders wichtige Einrichtungen sind Geldbußen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vorgesehen, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 % des Umsatzes. Die korrekte Selbsteinstufung ist daher ein entscheidender erster Schritt, um den eigenen Pflichtenumfang zu bestimmen.