Compliance-Lexikon · NIS-2
Wichtige Einrichtung – Praxis
Wichtige Einrichtung wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Ist dokumentiert, warum die Organisation als wichtige und nicht als wesentliche Einrichtung eingestuft wurde?
Häufige Fehler in der Praxis
- Einstufung als wichtige Einrichtung wird nie schriftlich begründet
- Reaktive Natur der Aufsicht wird mit geringeren inhaltlichen Anforderungen verwechselt
- Wachstum über die Schwellenwerte hinaus wird nicht rechtzeitig erkannt
Praxis-Tipp
Wichtige Einrichtungen unterliegen zwar nur reaktiver Aufsicht, müssen aber inhaltlich dieselben Mindestmaßnahmen umsetzen wie wesentliche Einrichtungen. Der Unterschied liegt in der Kontrollintensität, nicht im Pflichtenumfang.
Reaktive Aufsicht in der Praxis
Bei wichtigen Einrichtungen wird die Aufsichtsbehörde in der Regel erst bei konkreten Hinweisen auf Verstoße, etwa nach einem gemeldeten Sicherheitsvorfall, aktiv. Das reduziert nicht die inhaltlichen Anforderungen, sondern nur die Wahrscheinlichkeit einer anlasslosen Prüfung.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Einstufungsbegründung, Nachweis der Größenkriterien, Datum der letzten Überprüfung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Wichtige Einrichtung über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.