Wer ist betroffen?

Allein in Deutschland sind schätzungsweise bis zu 30.000 Unternehmen von der neuen EU-Richtlinie NIS-2 betroffen. Alle müssen bestimmte gesetzliche Anforderungen in Bezug auf Cybersicherheit und Berichterstattung erfüllen:

1. Betreiber kritischer Anlagen (KRITIS-Betreiber) nach § 28 (2–5) 
   
   
2. Besonders wichtige Einrichtungen nach § 28 (6) und wichtige Einrichtungen nach § 28 (7) je nach Größe:
   
   
   1. Mittlere Unternehmen, zwei Möglichkeiten:
       
      • 50 bis 249 Mitarbeiter und Umsatz weniger 50 Mio. EUR oder Bilanz weniger 43 Mio. EUR
      • Weniger 50 Mitarbeiter und Umsatz 10–50 Mio. EUR und Bilanz 10–43 Mio. EUR
        
        
   2. Großunternehmen, zwei Möglichkeiten:
       
      • Mindestens 250 Mitarbeiter
      • ab 50 Mio. EUR Umsatz und Bilanz ab 43 Mio. EUR

Hinweis: Auch kleine Unternehmen, die in die nachfolgenden Kriterien zur Einordnung "wichtiger" und "besonders wichtiger" Einrichtungen fallen, können von der neuen NIS-Richtlinie betroffen sein. Besonders dann, wenn diese als Dienstleister oder Lieferant für NIS-2-pflichtige Großunternehmen tätig sind.