NIS2 — wesentliche und wichtige Einrichtungen

• Directive (EU) 2022/2555 — NIS2, Art. 26

Wer muss benennen

DNS-Anbieter, TLD-Registrierungsstellen, Cloud-Computing- und Rechenzentrumsdienste, CDNs, verwaltete Dienstleister und verwaltete Sicherheitsdienstleister, Online-Marktplätze, Suchmaschinen und soziale Plattformen, die nicht in der Union ansässig sind, aber dort Dienstleistungen anbieten.

Schwellen und Ausnahmen

Im Allgemeinen Einrichtungen mit 50 oder mehr Mitarbeitern oder einem Umsatz von 10 Millionen Euro, aber einige Anbieter digitaler Infrastrukturen sind unabhängig von der Größe abgedeckt.

Was auf das Etikett gehört

Keine Kennzeichnungspflicht. Die Einrichtung muss bei der Behörde des Mitgliedstaates registriert sein, in dem der Vertreter ansässig ist.

Marktplatz-Felder

Nicht anwendbar, aber die Beschaffung in Unternehmen fragt jetzt routinemäßig, ob der Anbieter NIS2-registriert ist.

Unterlagen, die Sie vorhalten müssen

Risikomanagementmaßnahmen, Verfahren zur Bearbeitung von Vorfällen, Sicherheitsrichtlinie für die Lieferkette, Notfallplan und das Registrierungsprotokoll.

Normen und Prüfungen

Nicht anwendbar, obwohl Prüfungen bei wesentlichen Einrichtungen auferlegt werden können.

Sprachanforderungen

Berichterstattung in der vom betreffenden CSIRT akzeptierten Sprache.

Ab wann es gilt

Frühwarnung innerhalb von 24 Stunden nach einem signifikanten Vorfall, Vorfallbenachrichtigung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.

Aufbewahrungsfristen

Für die Dauer der Registrierung.

Was bei Verstößen passiert

Bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen, und das Management kann in mehreren Mitgliedstaaten persönlich zur Verantwortung gezogen werden.

Wer kontrolliert

Nationale zuständige Behörden und CSIRTs.

Wo die Grenze verläuft

Die Berichterstattung nach NIS2 und die Berichterstattung gemäß Artikel 14 der CRA sind separate Verpflichtungen mit unterschiedlichen Auslösern: NIS2 betrifft Vorfälle, die Ihren Dienst betreffen, CRA betrifft Schwachstellen in Ihrem Produkt.

Häufige Fragen

Wir sind ein kleines SaaS mit EU-Kunden — fallen wir unter den Geltungsbereich?

Nur wenn Sie in einen der aufgeführten Sektoren fallen und die Größenkriterien erfüllen oder Sie ein Anbieter digitaler Infrastrukturen sind, der unabhängig von der Größe abgedeckt ist.