Forschung gehört zu den sieben Anlage-2-Sektoren des BSIG und ist auf die Kategorie „wichtige Einrichtung" gedeckelt. Erfasst sind Einrichtungen, deren Hauptzweck die Durchführung angewandter Forschung oder experimenteller Entwicklung mit dem Ziel der wirtschaftlichen Nutzung der Ergebnisse ist. Rein grundlagenorientierte Forschung ohne wirtschaftliche Verwertungsabsicht fällt nach überwiegender Auslegung nicht automatisch darunter - die genaue Abgrenzung ist im Zweifel eine Einzelfallfrage.
Forschungseinrichtungen sind für Angreifer ein attraktives Ziel, weil sie oft wertvolles geistiges Eigentum verwalten und zugleich vergleichsweise offene IT-Infrastrukturen betreiben - etwa für den internationalen Datenaustausch mit Kooperationspartnern. Ein Risikoregister sollte hier besonders den Schutz von Forschungsdaten und Ergebnissen vor Diebstahl und Manipulation abdecken, nicht nur klassische Verfügbarkeitsrisiken.
- Angewandte Forschungsinstitute mit wirtschaftlicher Verwertung
- Industrienahe Forschungs- und Entwicklungsabteilungen
- An-Institute und Technologietransferstellen
- Auftragsforschungsunternehmen (CROs)
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Zählen Universitäten grundsätzlich zum NIS2-Sektor Forschung?
Nicht automatisch: Der Sektor erfasst Einrichtungen mit dem Ziel wirtschaftlicher Verwertung ihrer Forschungsergebnisse. Rein grundlagenorientierte Hochschulforschung ohne diesen Zweck fällt nach überwiegender Auslegung nicht darunter, einzelne anwendungsnahe Institute innerhalb einer Hochschule aber möglicherweise schon.
Reicht die Größe eines einzelnen Instituts oder zählt die ganze Trägerorganisation?
Das hängt von der rechtlichen Struktur ab. Ist das Institut eine eigenständige juristische Person, wird meist auf dessen Größe abgestellt; ist es organisatorisch unselbstständiger Teil einer größeren Einrichtung, kann die Gesamtorganisation maßgeblich sein.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · Risikoregister im Glossar