Digitale Anbieter gehören zu den Sektoren, die NIS2 als „wichtige Einrichtungen" führt. Erfasst sind namentlich Betreiber von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke. Anders als in den meisten übrigen Sektoren gilt für diese drei Rollen eine EU-weite Zuständigkeit nach dem Hauptniederlassungsprinzip statt der sonst üblichen nationalen Zuordnung - relevant vor allem für internationale Konzerne.
Wie in allen NIS2-Sektoren greift die Einstufung als wichtige Einrichtung in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Für viele digitale Anbieter überschneidet sich die eigene NIS2-Betroffenheit zusätzlich mit den Pflichten aus dem Digital Services Act (DSA), der Plattformen aus einer anderen Perspektive reguliert - dort geht es primär um Inhalte, hier um Netz- und Informationssicherheit.
- Betreiber von Online-Marktplätzen
- Anbieter von Online-Suchmaschinen
- Plattformen sozialer Netzwerke
- Größere SaaS- und Vermittlungsplattformen mit vergleichbarer Reichweite
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Gilt für digitale Anbieter eine andere Zuständigkeit als für andere NIS2-Sektoren?
Ja: Online-Marktplätze, Suchmaschinen und soziale Netzwerke unterliegen dem Hauptniederlassungsprinzip - zuständig ist die Behörde des EU-Mitgliedstaats, in dem die Hauptniederlassung liegt, unabhängig davon, in welchen Ländern der Dienst genutzt wird. In den meisten anderen Sektoren ist dagegen jeder Mitgliedstaat für die dort tätigen Einrichtungen zuständig.
Muss ich als digitaler Anbieter sowohl NIS2 als auch den Digital Services Act erfüllen?
Beide Rechtsakte können parallel greifen, regeln aber unterschiedliche Aspekte: der DSA vor allem Inhalte, Nutzerrechte und Plattformpflichten, NIS2 die Netz- und Informationssicherheit. Eine Erfüllung des einen ersetzt die Pflichten aus dem anderen nicht automatisch.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · Risikoregister im Glossar