Öffentliche Verwaltung ist einer der zehn Anlage-1-Sektoren des BSIG. Anders als in den übrigen Sektoren bestimmt hier nicht allein eine Größenschwelle die Betroffenheit: Erfasst sind die Verwaltungen des Bundes und, je nach landesrechtlicher Umsetzung, ausgewählte Landes- und Kommunalverwaltungen, die von den Bundesländern als betroffen bestimmt werden. Reine Personal- oder Größenschwellen wie bei privaten Unternehmen greifen hier nicht in gleicher Weise.
Für kommunale Unternehmen in eigener Rechtsform - etwa Stadtwerke oder kommunale Gesellschaften - ist meist nicht der Sektor öffentliche Verwaltung einschlägig, sondern der jeweilige Fachsektor wie Energie oder Wasser. Wer unsicher ist, ob die eigene Behörde oder Einrichtung als Teil der öffentlichen Verwaltung im Sinne von NIS2 gilt, sollte die landesrechtliche Umsetzung prüfen und eine Rückfrage bei der zuständigen Aufsichtsbehörde nicht ersetzen.
- Bundesbehörden und nachgeordnete Bundeseinrichtungen
- Von den Ländern als betroffen bestimmte Landesbehörden
- Ausgewählte kommunale Verwaltungen je nach Landesrecht
- Verwaltungsdienstleister mit hoheitlichen Aufgaben
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Gelten für die öffentliche Verwaltung dieselben Größenschwellen wie für Unternehmen?
Nein, bei Behörden bestimmt sich die Betroffenheit nicht über Beschäftigtenzahl oder Umsatz, sondern über die Zuordnung zur Bundes- oder - je nach Landesrecht - Landes- und Kommunalverwaltung. Der Compliance-Kompass bildet diese besondere Regel nicht ab und eignet sich für Behörden nur eingeschränkt als Orientierung.
Sind Kommunen und Landkreise automatisch betroffen?
Nicht automatisch - ob und welche kommunalen Verwaltungen erfasst sind, legen die Bundesländer im Rahmen ihrer Umsetzungskompetenz jeweils gesondert fest. Eine bundesweit einheitliche Antwort gibt es dafür nicht.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · Risikoregister im Glossar