Compliance-Lexikon · NIS-2
Wesentliche Einrichtung – Praxis
Wesentliche Einrichtung wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Wurde formal geprüft, ob Sektor und Unternehmensgröße die Organisation als wesentliche statt nur wichtige Einrichtung einstufen?
Häufige Fehler in der Praxis
- Unterschied zwischen wesentlicher und wichtiger Einrichtung wird nicht bewusst geprüft
- Proaktive Aufsichtsmaßnahmen (unangekündigte Vor-Ort-Kontrollen) werden nicht eingeplant
- Erhöhte Nachweispflichten wesentlicher Einrichtungen werden unterschätzt
Praxis-Tipp
Wesentliche Einrichtungen unterliegen proaktiver Aufsicht, also Kontrollen ohne konkreten Anlass. Das unterscheidet sie deutlich von wichtigen Einrichtungen, die nur reaktiv bei Verdacht geprüft werden.
Sektoren mit hoher Kritikalität
Anhang I der NIS-2-Richtlinie listet Sektoren hoher Kritikalität wie Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung. Große Unternehmen in diesen Sektoren gelten in der Regel als wesentliche Einrichtungen.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Einstufungsprüfung mit Sektorbezug, Mitarbeiterzahl, Umsatz, Datum der Bewertung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Wesentliche Einrichtung über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.