Digitale Infrastruktur zählt zu den zehn Anlage-1-Sektoren, die als „besonders wichtige Einrichtung" eingestuft werden können, und umfasst unter anderem Internet-Knoten (IXPs), DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Anbieter, Rechenzentrumsdienste und Betreiber von Vertrauensdiensten. Die übliche Größenschwelle liegt bei 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro für „wichtig" und 250 Beschäftigten oder entsprechend höheren Werten für „besonders wichtig" - für bestimmte Rollen wie DNS-Diensteanbieter und TLD-Register gilt die Pflicht davon abweichend unabhängig von der Unternehmensgröße.
Wer digitale Infrastruktur betreibt, ist häufig zugleich Zulieferer für andere NIS2-pflichtige Organisationen - die eigene Cybersicherheit wirkt sich damit direkt auf die Lieferkette der Kunden aus. Das macht ein dokumentiertes ISMS mit Statement of Applicability hier besonders relevant, weil Kunden entsprechende Nachweise zunehmend vertraglich einfordern.
- Cloud-Computing-Anbieter und Rechenzentrumsbetreiber
- DNS-Diensteanbieter und TLD-Namenregister
- Betreiber von Internet-Knoten (Internet Exchange Points)
- Anbieter von Vertrauensdiensten (z. B. elektronische Signaturen)
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Fällt ein kleiner Webhosting-Anbieter unter NIS2, auch unterhalb der Größenschwellen?
Für die meisten Rollen im Sektor digitale Infrastruktur gelten dieselben Schwellen wie sonst auch - 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz. Eine Ausnahme bilden bestimmte Rollen wie DNS-Diensteanbieter und TLD-Namenregister, die unabhängig von der Größe erfasst sein können.
Zählt ein SaaS-Anbieter zur digitalen Infrastruktur oder zu den digitalen Anbietern?
Klassische SaaS-Angebote fallen in der Regel eher unter den Sektor „Digitale Anbieter" (Anhang II), während digitale Infrastruktur im engeren Sinne Rechenzentren, Cloud-Basisdienste, DNS und ähnliche Grundlagendienste meint. Die genaue Einordnung hängt vom konkreten Geschäftsmodell ab.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · IEC 62443 im Glossar