Compliance-Lexikon · NIS-2
NIS-2 Anwendungsbereich – Praxis
NIS-2 Anwendungsbereich wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Wurde die Organisation formal gegen die NIS-2-Sektorliste und die Größenschwellen (mind. 50 Mitarbeitende oder 10 Mio. Euro Umsatz) geprüft?
Häufige Fehler in der Praxis
- Anwendungsbereich wird angenommen statt anhand der Kriterien geprüft
- Konzerngesellschaften werden nicht einzeln gegen die Schwellenwerte bewertet
- Veränderungen der Unternehmensgröße führen nicht zu einer erneuten Prüfung
Praxis-Tipp
Auch Unternehmen unterhalb der Größenschwellen können erfasst sein, wenn sie in bestimmten Sektoren als einzige Anbieter eine kritische Funktion erfüllen. Die Ausnahmeregelungen lohnen einen genauen Blick.
Wesentliche versus wichtige Einrichtung
NIS-2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Die Einstufung hängt vom Sektor und von der Unternehmensgröße ab und bestimmt die Aufsichtsintensität: wesentliche Einrichtungen unterliegen proaktiver, wichtige Einrichtungen reaktiver Aufsicht.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Anwendungsbereichsprüfung mit Datum, Sektorzuordnung, Mitarbeiterzahl und Umsatzangabe. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum NIS-2 Anwendungsbereich über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.