Verarbeitendes Gewerbe ist einer der sieben Anlage-2-Sektoren des BSIG und auf die Kategorie „wichtige Einrichtung" gedeckelt. Er bündelt mehrere NACE-Teilbereiche: Herstellung von Medizinprodukten und In-vitro-Diagnostika, Datenverarbeitungsgeräten sowie elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen und Kraftwagen sowie Kraftwagenteilen und sonstigem Fahrzeugbau. Maschinen- und Anlagenbau ist als eigener NACE-Bereich in derselben Anlage geführt und auf dieser Website als eigene Branchenseite abgebildet.
Die Einstufung greift wie in den meisten Sektoren in der Regel ab 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro. Gerade Medizinprodukte- und Automobilzulieferer stehen häufig zusätzlich unter Druck aus zwei weiteren Richtungen: der Medizinprodukteverordnung (MDR) beziehungsweise Anforderungen der Automobilhersteller an ihre Zulieferkette (etwa TISAX) - NIS2 kommt für viele dieser Betriebe als dritte, eigenständige Anforderung hinzu.
- Hersteller von Medizinprodukten und In-vitro-Diagnostika
- Hersteller von Datenverarbeitungsgeräten, Elektronik und Optik
- Hersteller elektrischer Ausrüstungen
- Automobilhersteller und Zulieferer von Kraftwagenteilen
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Ist Maschinenbau Teil dieses Sektors oder eigenständig?
Rechtlich gehört Maschinenbau zum selben Anlage-2-Bereich „Verarbeitendes Gewerbe". Diese Website führt Maschinen- und Anlagenbau wegen der eigenständigen Suchnachfrage als separate Branchenseite, inhaltlich gelten dieselben Schwellen und Pflichten.
Reicht eine TISAX-Zertifizierung als Automobilzulieferer aus, um NIS2 zu erfüllen?
Nein, TISAX prüft ein anderes, wenn auch verwandtes Anforderungsset für die Automobilbranche. Die zehn Mindestmaßnahmen aus Art. 21 Abs. 2 NIS2 werden dadurch nicht automatisch vollständig abgedeckt und sollten gesondert nachgewiesen werden, auch wenn es inhaltliche Überschneidungen gibt.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · CRA im Glossar