Sektor (NIS-2, Anlage 1 und 2): erste Betroffenheits-Weiche

Kurzdefinition: Der Sektor ist der erste Schlüssel der NIS-2-Einordnung: Er bestimmt zusammen mit Größe und Schwellenwerten, ob und wie eine Einrichtung unter das BSIG fällt. Anlage 1 nennt die Sektoren hoher Kritikalität, Anlage 2 die sonstigen kritischen Sektoren. [N-BSIG-28]

Der Normwortlaut

§ 28 BSIG knüpft die Einordnung an die „in Anlage 1 bestimmten Einrichtungsarten“ und die in Anlage 2 bestimmten Einrichtungsarten sowie an Größen- und Schwellenkriterien. Absatz 1 regelt die besonders wichtigen, Absatz 2 die wichtigen Einrichtungen. Ohne Sektorzugehörigkeit greift das BSIG-Pflichtenregime grundsätzlich nicht. [N-BSIG-28]

Was ist ein Sektor im Sinne von NIS-2?

Ein Tätigkeitsfeld hoher oder sonstiger Kritikalität. Anlage 1 nennt etwa Energie, Verkehr, Finanzwesen, Gesundheit und digitale Infrastruktur; Anlage 2 weitere kritische Bereiche. [N-BSIG-28]

Warum ist der Sektor der erste Schritt?

Weil ohne ihn keine Betroffenheit besteht. Nur wer einem Anlage-Sektor angehört, kann besonders wichtige oder wichtige Einrichtung sein. [N-BSIG-28]

Was unterscheidet Anlage 1 und Anlage 2?

Die Kritikalität. Anlage 1 erfasst Sektoren hoher Kritikalität (eher besonders wichtige Einrichtungen), Anlage 2 sonstige kritische Sektoren (eher wichtige Einrichtungen). [N-BSIG-28]

Reicht der Sektor allein?

Nein. Neben dem Sektor müssen Größen- und Schwellenkriterien erfüllt sein, damit eine Einrichtung als besonders wichtig oder wichtig gilt. [N-BSIG-28]

Was, wenn mehrere Tätigkeiten vorliegen?

Dann ist jede Tätigkeit zu prüfen. Ein Unternehmen kann über eine einzelne Tätigkeit in einen erfassten Sektor fallen. [N-BSIG-28]

Häufige Fehlannahmen

„Nur klassische KRITIS-Sektoren sind erfasst.“ Nein. NIS-2 erweitert den Kreis deutlich. [N-BSIG-28]
„Der Sektor allein entscheidet.“ Nein. Größe und Schwellen kommen hinzu. [N-BSIG-28]
„Anlage 1 und 2 sind gleichwertig.“ Nicht ganz. Sie unterscheiden Kritikalität und Kategorie. [N-BSIG-28]
„Eine Nebentätigkeit zählt nicht.“ Doch. Auch sie kann Betroffenheit auslösen. [N-BSIG-28]
„Ohne Sektor gibt es trotzdem Pflichten.“ Grundsätzlich nicht — die Sektorzugehörigkeit ist Voraussetzung. [N-BSIG-28]

Was die Geschäftsleitung tun sollte

Sektor prüfen. Tätigkeiten gegen Anlage 1 und 2 abgleichen.
Größe bestimmen. Schwellenwerte hinzuziehen.
Kategorie ableiten. Besonders wichtig oder wichtig einordnen.
Dokumentieren. Die Einordnung festhalten.

Für die Geschäftsleitung

Der Sektor ist der Einstieg in die NIS-2-Betroffenheit: Ohne Zugehörigkeit zu Anlage 1 oder 2 greift das BSIG grundsätzlich nicht. Wer alle Tätigkeiten sauber gegen die Anlagen prüft, legt die Basis für die richtige Einordnung.