Die Vorgängerin der NIS-2-Richtlinie ist die derzeit geltende NIS-Richtlinie. Der bisherige Anwendungsbereich der NIS-Richtlinie wird in Sektoren unterteilt. Durch die NIS-2-Richtlinie wird der Anwendungsbereich nach Sektoren enorm ausgeweitet.
Betroffene Einrichtungen müssen daher geeignete Maßnahmen im Bereich des Risikomanagements für die Sicherheit ihrer Netz- und Informationssysteme treffen und unterliegen Meldepflichten.
Der Anwendungsbereich der NIS-2-Richtlinie umfasst mittlere und große Unternehmen aus den folgenden Sektoren:
Sektoren mit hoher Kritikalität:
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- Verwaltung von IKT-Diensten B2B
- öffentliche Verwaltung
- Weltraum
Sonstige kritische Sektoren:
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemie
- Lebensmittel
- herstellendes/verarbeitendes Gewerbe
- Anbieter digitaler Dienste
- Forschung
Von einem „großen Unternehmen“ spricht man, wenn im Unternehmen zumindest 250 Mitarbeiter beschäftigt werden oder wenn das Unternehme einen Jahresumsatz von über 50 Millionen Euro erzielt UND sich zusätzlich die Jahresbilanzsumme auf über 43 Millionen Euro beläuft.
Von einem „mittleren Unternehmen“ spricht man, wenn im Unternehmen zumindest 50 Mitarbeiter beschäftigt werden, ODER wenn sie einen Jahresumsatz von über zehn Millionen Euro erzielt UND sich die Jahresbilanzsumme auf über 10 Millionen Euro beläuft, wenn es sich nicht bereits um ein großes Unternehmen handelt.
Ein „kleines Unternehmen“ liegt vor, wenn im Unternehmen weniger als 50 MitarbeiterInnen beschäftigt werden UND die entweder Jahresumsatz von höchstens 10 Mio. Euro erwirtschaftet wird oder die Jahresbilanzsumme sich auf höchstens 10 Mio. Euro beläuft. Kleine Unternehmen sind nicht von der NIS-2-Richtlinie erfasst.
