Unter NIS2 ist „wichtig“ keine leichtere Sicherheitsstufe

Eine NIS2-Geltungsbereichsanalyse kann mit einem Moment der Erleichterung enden. Das Team durchläuft seine Branche anhand der Anhänge I und II, prüft Mitarbeiterzahl und Umsatz auf die Größenkriterien und kommt zu dem Schluss, dass es sich um eine „wichtige“ Entität handelt – nicht um eine „wesentliche“. Die Erkenntnis wird als gute Nachricht nach oben kommuniziert: Wir gehören zur leichteren Stufe, daher kann das Sicherheitsprogramm entsprechend angepasst werden. Die Kontrollliste wird gekürzt, der Vorfallprozess zunächst zurückgestellt und dem Vorstand mitgeteilt, dass NIS2 „sanft“ eintrifft.

Diese Interpretation des Begriffs „wichtig“ ist ein Fehler. Die Stufen „wesentlich“ und „wichtig“ sind keine schweren und leichten Versionen derselben Sicherheitsverpflichtung. Es handelt sich vielmehr um zwei Aufsichts- und Durchsetzungssysteme, die an dieselbe Verpflichtung geknüpft sind. Die Stufe, in der eine Entität landet, bestimmt, wie sie überprüft wird, welche zusätzlichen Durchsetzungsinstrumente die Behörde einsetzen kann und welche Untergrenze für die nationale Höchststrafe gilt. Sie ändert jedoch nicht die Sicherheitsmaßnahmen, die sie schuldet.

Die Verpflichtungen, die sich mit der Stufe nicht ändern

Die materiellen Pflichten der NIS2 gelten für beide Stufen gleichermaßen. Artikel 21(1) der Richtlinie (EU) 2022/2555 (angenommen am 14. Dezember 2022) verpflichtet die Mitgliedstaaten sicherzustellen, dass wesentliche und wichtige Entitäten angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme zu bewältigen, die diese Entitäten für ihre Geschäftstätigkeit oder die Erbringung ihrer Dienste nutzen, und um die Auswirkungen von Vorfällen auf Empfänger ihrer Dienste sowie auf andere Dienste zu verhindern oder zu minimieren. Die in Artikel 21(2) folgende Mindestliste – von Risikoanalysen und Vorfallbehandlung über Lieferketten-Sicherheit, Zugriffskontrolle bis hin zur Nutzung von Kryptografie – ist eine einzige Liste. Es gibt keine kürzere Anlage für wichtige Entitäten und keine längere für wesentliche Entitäten.

Auch die Meldepflicht ist identisch formuliert. Artikel 23 verlangt von beiden, wesentlichen und wichtigen Entitäten, dass sie erhebliche Vorfälle der CSIRT oder der zuständigen Behörde melden: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden und eine Vorfallmeldung innerhalb von 72 Stunden. Bei Vertrauensdiensteanbietern verkürzt sich diese Frist auf 24 Stunden, sofern der erhebliche Vorfall die Erbringung ihrer Vertrauensdienste betrifft. Ein Abschlussbericht folgt innerhalb eines Monats nach der Vorfallmeldung; falls der Vorfall noch andauert, ist ein Fortschrittsbericht fällig, gefolgt von einem Abschlussbericht innerhalb eines Monats nach Abschluss des Vorfalls. Die Uhr tickt für die wichtige Stufe genauso schnell. Eine wichtige Entität, die ihre Bereitschaft zur Vorfallmeldung als optional betrachtet, hat denselben Artikel falsch gelesen wie eine wesentliche Entität.

Die erste Korrektur ist also sachlich: Wenn die Geltungsbereichsanalyse zu dem Schluss kommt „wichtig, daher weniger Kontrollen“, wurde eine Unterscheidung erfunden, die die Richtlinie nicht vorsieht. Artikel 21 ist die Quelle der Verpflichtung, und Artikel 21 kennt keine Stufe.

Die Bezeichnung ist nicht einmal ein Proxy für den Arbeitsaufwand

Unter dieser ersten Korrektur liegt ein zweiter, stillerer Fehler: die Annahme, dass „wichtig“ mit „kleiner“ korreliert und daher ein leichteres Programm ohnehin verhältnismäßig sei. Die Klassifizierung funktioniert nicht so. Nach Artikel 3 gelten wesentliche Entitäten grob gesagt als Entitäten eines in Anhang I aufgeführten Typs (die hochkritischen Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit und digitale Infrastruktur), die die Schwellenwerte für mittlere Unternehmen gemäß Empfehlung 2003/361/EG der Kommission vom 6. Mai 2003 überschreiten, sowie bestimmte Typen, die unabhängig von ihrer Größe als wesentlich gelten. Qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registry-Betreiber und DNS-Diensteanbieter sind unabhängig von ihrer Mitarbeiterzahl wesentlich. Wichtige Entitäten sind zunächst die residuale Menge aus Artikel 3(2): Entitäten eines in Anhang I oder II genannten Typs, die nicht als wesentlich gelten. Gelesen mit Artikel 2 ist diese residuale Menge nicht jede nicht-wesentliche Anhang-I- oder -II-Entität. Die allgemeine Regel umfasst mittelgroße und große Entitäten; kleinere Entitäten sind nur über bestimmte größenunabhängige Wege erfasst. Mitgliedstaaten können zudem Entitäten nach Artikel 2(2)(b) bis (e) als wichtig einstufen, und eine große Anhang-II-Entität kann nach Artikel 3(1)(e) als wesentlich eingestuft werden oder durch die Identifizierung als kritische Entität nach Artikel 3(1)(f) zur wesentlichen Entität werden.

Folgt man dieser Logik, löst sich die Bezeichnung von der Größe. Ein großes multinationales Unternehmen in einem bestimmten Anhang-II-Sektor, etwa der industriellen Lebensmittel- oder Chemikalienproduktion oder ein digitaler Anbieter wie ein Online-Marktplatz, kann trotz Zehntausender Mitarbeiter eine „wichtige“ Entität sein, weil allein die Größe einen Anhang-II-Sektor nicht in die wesentliche Stufe hebt. Gleichzeitig ist ein kleiner DNS-Anbieter unabhängig von seiner Größe wesentlich. Die verhältnismäßigen Maßnahmen für diesen großen wichtigen Hersteller sind nicht geringfügig, weil sich die Verhältnismäßigkeit in Artikel 21(1) an der Risikoexposition der Entität, ihrer Größe, der Eintrittswahrscheinlichkeit und Schwere von Vorfällen sowie dem Stand der Technik bemisst – nicht an ihrer Stufe. Man kann seinen Arbeitsaufwand nicht aus dem Wort „wichtig“ ablesen. Ein Unternehmen, das dies tut, wird wahrscheinlich zu wenig investieren. Dieser letzte Satz ist eine Einschätzung aus der Praxis, keine Statistik.

Was die Stufe tatsächlich ändert

Die Stufe bewirkt drei Dinge, die es wert sind, benannt zu werden, weil sie real sind.

Erstens legt sie die Aufsichtshaltung fest. Artikel 32, der für wesentliche Entitäten gilt, gibt den zuständigen Behörden ein proaktives Instrumentarium an die Hand: regelmäßige und gezielte Sicherheitsaudits, Vor-Ort-Inspektionen, Fernaufsicht einschließlich Stichprobenprüfungen und Sicherheitsscans. Eine wesentliche Entität kann auditiert werden, weil es Zeit für ein Audit ist – ohne dass ein Vorfall vorliegen muss. Gezielte Audits können von der Entität bezahlt werden und zu Durchsetzungsmaßnahmen führen; sie sind keine kostenlose Generalprobe. Artikel 33, der für wichtige Entitäten gilt, ist dagegen auf einen reaktiven Auslöser ausgelegt. Seine Aufsichts- und Durchsetzungsmaßnahmen greifen „wenn ihnen Beweise, Hinweise oder Informationen vorliegen, dass eine wichtige Entität mutmaßlich nicht konform ist“. Artikel 33 betont ausdrücklich, dass es sich um eine ex-post-Aufsicht handelt. Informationen aus einem Vorfall oder dessen Meldung nach Artikel 23 können diesen Auslöser liefern, sofern sie auf mögliche Nichtkonformität hindeuten. Gleiches gilt für Beschwerden, Medienberichte oder Informationen von anderen Behörden. Ein Vorfall allein ist kein Beweis für Nichtkonformität.

Zweitens schafft sie zusätzliche Durchsetzungsinstrumente für wesentliche Entitäten. Artikel 32(5) erlaubt der Behörde, im äußersten Fall eine Zertifizierung oder Genehmigung für die relevanten Teile des Dienstes auszusetzen oder zu verlangen, dass eine natürliche Person in leitender Verantwortung auf Geschäftsführungs- oder gesetzlicher Vertretungsebene vorübergehend von der Ausübung dieser Funktionen ausgeschlossen wird. Diese Instrumente gelten ausschließlich für wesentliche Entitäten, nicht für wichtige.

Drittens setzt sie die Untergrenze für die nationale Höchststrafe bei Verstößen gegen die Artikel 21 oder 23 fest. Artikel 34(4) verlangt, dass wesentliche Entitäten mit administrativen Geldbußen von mindestens 10.000.000 EUR oder mindestens 2 % des weltweiten Gesamtjahresumsatzes belegt werden können, je nachdem, welcher Betrag höher ist. Artikel 34(5) setzt die Untergrenze für wichtige Entitäten niedriger an, auf mindestens 7.000.000 EUR oder mindestens 1,4 % des weltweiten Gesamtjahresumsatzes. Diese Beträge sind das Mindestniveau, das jeder Mitgliedstaat für seine Höchststrafe bei diesen Verstößen festlegen muss. Sie sind weder eine EU-weite Obergrenze noch eine Formel für jede einzelne Strafe.

Diese drei Unterschiede verändern die operative Beziehung zur Aufsichtsbehörde. Keiner davon reduziert die Sicherheitsmaßnahmen, die Sie umsetzen müssen.

Reaktive Aufsicht ist ein Grund, rigoroser – nicht weniger – zu sein

Hier liegt die Wendung, die ein Geltungsbereichsteam übersehen kann. Die leichtere Aufsicht der wichtigen Stufe lässt sich leicht als geringeren Druck interpretieren. Operativ kann es genau andersherum sein. Eine wesentliche Entität trifft die Behörde eher bei einem planmäßigen Audit nach Artikel 32, während die Systeme normal laufen. Dieses Treffen kann zwar zu Feststellungen und Kosten führen. Es bietet jedoch die Chance, Lücken zu schließen, bevor ein Vorfall eintritt. Eine wichtige Entität unterliegt der Aufsicht nach Artikel 33 erst, wenn es Hinweise auf Nichtkonformität gibt. Sie kann dennoch andere regulatorische Interaktionen haben, einschließlich Vorfallmeldungen nach Artikel 23. Erwägungsgrund 122 derselben Richtlinie besagt, dass wichtige Entitäten nicht systematisch verpflichtet werden sollen, die Einhaltung der Cybersicherheits-Risikomanagementmaßnahmen zu dokumentieren. Das ist keine Lizenz, überhaupt keine Nachweise zu haben. Es ist – eher als rechtliche Pflicht denn als praktischer Rat – ein Grund, die Risikoentscheidungen, den Vorfallprozess und die Protokolle bereitzuhalten, die Sie tatsächlich bräuchten, wenn das erste Gespräch mit der Behörde eine Untersuchung statt ein Audit ist.

Die Stufe, die leichter überwacht wird, ist also die Stufe, die sich selbst überwachen muss. Leichtere Aufsicht bedeutet nicht geringeres Risiko. Es bedeutet Risiko, das auf einen schlechteren Zeitpunkt verschoben wird.

Der berechtigte Einwand

Das stärkste Gegenargument ist das Wort „verhältnismäßig“ in Artikel 21(1). Eine kleine wichtige Entität kann und sollte tatsächlich ein schlankeres Maßnahmenpaket umsetzen als ein großes, wesentliches Energieunternehmen – und genau das beabsichtigt die Richtlinie. Das ist richtig. Doch beachten Sie, was hier wirkt: Größe und Risikoexposition, nicht die Stufenbezeichnung. Verhältnismäßigkeit würde auch das Programm einer kleinen wesentlichen Entität reduzieren und das eines großen Anhang-II-Herstellers trotz seiner wichtigen Einstufung erhöhen. (Ein großes Bankinstitut ist hier das falsche Beispiel: Die Verordnung (EU) 2022/2554 (DORA) ist für erfasste Finanzunternehmen die speziellere Regelung und verdrängt die NIS2-Artikel 21 und 23 sowie die damit verbundenen Aufsichts- und Durchsetzungsvorschriften, gemäß Artikel 4 und Erwägungsgrund 28 der NIS2-Richtlinie.) Stufe und Verhältnismäßigkeitsbewertung sind unterschiedliche Achsen. Die Stufe als Abkürzung für die Verhältnismäßigkeitsbewertung zu nutzen, ist der Grund, warum eine große wichtige Entität am Ende die Kontrollen einer kleinen Entität erhält.

Die Regel, die es zu beachten gilt

Behandeln Sie die Einstufung in „wesentlich“ und „wichtig“ als eine Linie für Aufsicht, Durchsetzung und Strafen – nicht für den Geltungsbereich der Sicherheit. Leiten Sie Ihre Verpflichtungen aus Artikel 21 und Ihrer eigenen Risikobewertung ab, skalieren Sie Ihre Maßnahmen nach Verhältnismäßigkeit gegenüber diesem Risiko, und lassen Sie die Stufe Ihnen sagen, wie Sie überprüft werden, welche zusätzlichen Durchsetzungsinstrumente bestehen und welche Untergrenze für die nationale Höchststrafe gilt. Wenn die Stufe „wichtig“ ist, betrachten Sie die reaktive Aufsicht nach Artikel 33 als Signal, die Nachweise bereitzuhalten, die Sie in einer Untersuchung bräuchten – nicht als Grund, die Arbeit aufzuschieben.

Ein wichtiger jurisdiktioneller Vorbehalt gilt throughout: NIS2 ist eine Richtlinie, daher binden die operativen Verpflichtungen über das jeweilige Umsetzungsgesetz der Mitgliedstaaten. Die Umsetzungsfrist bis zum 17. Oktober 2024 (Richtlinie (EU) 2022/2555, Artikel 41) wurde nicht einheitlich eingehalten. Die Europäische Kommission leitete am 28. November 2024 gegen 23 Mitgliedstaaten ein Vertragsverletzungsverfahren ein und verwies am 8. Juli 2026 Irland, Spanien, Frankreich und die Niederlande wegen unvollständiger Umsetzung vor den Gerichtshof (Pressemitteilung IP/26/1499). Die grundlegende Klassifizierungsarchitektur und Größenkriterien stammen aus der Richtlinie und aus der Empfehlung 2003/361/EG. Das nationale Recht macht die Verpflichtungen operativ und darf zusätzliche Anforderungen stellen („gold-plating“); es erfindet jedoch nicht eigenständig die EU-Größenkriterien. Ein Unternehmen in einem Mitgliedstaat, der die Umsetzung noch abschließt, sollte die Architektur aus der Richtlinie ableiten und die Details anhand des nationalen Rechts prüfen, sobald es vorliegt.

Die Verpflichtungen, die Sie über die Stufen hinweg begleiten, von der Aufsicht und Durchsetzung zu trennen, die sich mit ihnen ändern, und beides anhand der Artikel und Ihres nationalen Umsetzungsgesetzes abzubilden, ist die Art von Querverweisen, für die ISMS Copilot entwickelt wurde. Die korrekte Einstufung ist wichtig für Ihre Strafexposition und Ihre Interaktion mit der Aufsichtsbehörde. Sie ist die falsche Variable, um die Größe Ihres Sicherheitsprogramms zu bestimmen.

Dies ist eine praktische Compliance-Analyse, keine Rechtsberatung. Prüfen Sie die Einstufung und Verpflichtungen Ihrer Entität anhand des Umsetzungsgesetzes Ihres Mitgliedstaats und – wo relevant – mit Ihrer zuständigen Behörde oder Ihrem Rechtsbeistand.