Compliance-Lexikon · NIS-2
Wesentliche Einrichtung
auch: Essential Entity
Eine wesentliche Einrichtung ist eine nach NIS-2-Anhang-I-Sektoren regulierte Organisation oberhalb der Groessenschwelle (oder als KRITIS-Betreiber unabhaengig davon), die der hoechsten Aufsichtsintensitaet, dem hoechsten Bussgeldrahmen und proaktiven Pruefungen durch das BSI unterliegt.
Warum die Einstufung als wesentliche Einrichtung verschaerfte Pflichten bedeutet
Wesentliche Einrichtungen tragen die hoechste Verantwortung im NIS-2-Regime: proaktive, anlasslose Pruefungen durch das BSI, der hoechste Bussgeldrahmen und besondere Nachweispflichten. Die Einstufung erfolgt anhand der zehn Anhang-I-Sektoren (Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Verwaltung, oeffentliche Verwaltung, Weltraum) kombiniert mit der Unternehmensgroesse.
Wo die Einstufung als wesentliche Einrichtung gilt
| Framework | Referenz | Anforderung |
|---|---|---|
| NIS-2 / BSIG | § 28 | Definition wesentlicher Einrichtungen mit Verweis auf die zehn Anhang-I-Sektoren. |
| NIS-2-Richtlinie (EU) 2022/2555 | Anhang I | Zehn Sektoren mit Einstufung als wesentliche Einrichtungen: Energie, Transport, Bankwesen u.a. |
| BSIG | § 60 | Hoeherer Bussgeldrahmen fuer wesentliche Einrichtungen: bis 10 Mio. Euro oder 2% Jahresumsatz. |
| BSI | Proaktive Aufsicht | BSI fuehrt regelmaessige, anlasslose Pruefungen bei wesentlichen Einrichtungen durch. |
| EU-CER-Richtlinie | vollstaendig | Critical Entities Resilience Directive mit ergaenzenden Anforderungen fuer kritische Sektoren. |
BAM-Objektreferenz
Haeufige Fehler
- Einstufung nicht formal dokumentiert und begruendet
- Proaktive BSI-Pruefungen nicht in der Compliance-Planung beruecksichtigt
- Erhoehte Nachweispflichten (insbesondere bei KRITIS-Doppelqualifikation) unterschaetzt
- Keine Vorbereitung auf unangekuendigte oder kurzfristig angekuendigte Pruefungen
Konsequenzen der Einstufung
Wesentliche Einrichtungen muessen mit regelmaessigen, eigeninitiativen Pruefungen durch das BSI rechnen - nicht nur reaktiv nach Vorfaellen. Diese Pruefungen koennen Vor-Ort-Audits, Dokumentenanforderungen und Sicherheitsscans umfassen. Eine vollstaendige, jederzeit pruefbereite Dokumentation aller Mindestmassnahmen ist fuer wesentliche Einrichtungen daher keine Kuer, sondern Pflichtprogramm.
Naechster Schritt
NIS-2-Stresstest starten
Kostenloser Compliance-Stresstest zur Einstufung als wesentliche Einrichtung.