NIS2-Compliance automatisiert: Ihre Einrichtungsklasse, abgeleitet

AnnexOps leitet dies aus dem von Ihnen erfassten Profil ab: Sektor und Einrichtungsart nach Anhang I oder II sowie Größe nach Art. 2 Abs. 1. Art. 2 Abs. 2 lit. a bezieht zudem bestimmte Kategorien unabhängig von ihrer Größe ein: Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter. Nach Art. 3 Abs. 1 sind wesentliche Einrichtungen solche nach Anhang I oberhalb der Schwellenwerte für mittlere Unternehmen sowie qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter jeder Größe. Ebenso mittlere Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Einrichtungen der öffentlichen Verwaltung der Zentralregierung und Einrichtungen, die nach der Richtlinie (EU) 2022/2557 als kritisch eingestuft wurden. Die Mitgliedstaaten können nach Art. 2 Abs. 2 lit. b bis e oder Art. 3 Abs. 1 lit. g weitere wesentliche Einrichtungen bestimmen. Nach Art. 3 Abs. 2 ist jede andere Einrichtung nach Anhang I oder II im Anwendungsbereich eine wichtige Einrichtung. Das Ergebnis ist indikativ auf Basis der EU-Richtlinie. Die nationale Umsetzung kann den Anwendungsbereich erweitern oder weitere Einrichtungen bestimmen; deshalb können Sie die Entscheidung eines Mitgliedstaats als Übersteuerung mit Begründung erfassen.

Die 26 NIS2-Anforderungen, die Klassifizierungsregeln und die Control-Zuordnungen zu Art. 21 wurden von AnnexOps erstellt; eine Fachprüfung läuft. Das Produkt kennzeichnet sie auf dem Bildschirm entsprechend; der kostenlose Check ist als indikative Selbsteinschätzung und nicht als Rechtsberatung gekennzeichnet. Unsere Zuordnungen von automatisierten Prüfungen zu NIS2-Anforderungen sind ebenfalls Entwürfe. Die Inhalte zum EU AI Act und zur DSGVO auf der Plattform wurden anwaltlich geprüft. Nichts hiervon ist Rechtsberatung: Maßgeblich bleiben der Richtlinientext im ABl. L 333 und die Umsetzung Ihres Mitgliedstaats, und die Entscheidung trifft Ihre Rechtsberatung.

Nein. NIS2 selbst sieht weder ein Zertifikat noch einen Prüfbericht vor. Die Einhaltung wird von der zuständigen Behörde Ihres Mitgliedstaats beaufsichtigt, in Deutschland vom BSI. Wesentliche Einrichtungen unterliegen einer umfassenden Ex-ante- und Ex-post-Aufsicht (Erwägungsgrund 122, Art. 32), wichtige Einrichtungen nur einer Ex-post-Aufsicht (Art. 33). In Deutschland verwendet das BSI-Gesetz vom 2. Dezember 2025 (in Kraft seit 6. Dezember 2025) eigene Kategorien, besonders wichtige und wichtige Einrichtungen (§28 BSIG). Meldungen zu Sicherheitsvorfällen gehen dort an die gemeinsame Meldestelle von BSI und BBK (§32 BSIG); erfassen Sie die deutsche Einstufung als Übersteuerung. Einige Mitgliedstaaten erkennen im Rahmen ihrer Umsetzung Zertifizierungen an. Belgien etwa wertet ein CyberFundamentals- oder ISO/IEC 27001-Zertifikat einer akkreditierten Konformitätsbewertungsstelle als Konformitätsvermutung. Art. 24 erlaubt den Mitgliedstaaten zudem, IKT-Produkte, -Dienste oder -Prozesse vorzuschreiben, die nach europäischen Schemata für die Cybersicherheitszertifizierung zertifiziert sind. Ein solches Zertifikat stellt stets eine akkreditierte Zertifizierungsstelle aus, niemals AnnexOps. AnnexOps ist weder Aufsichtsbehörde noch Zertifizierungsstelle oder Meldedienst und garantiert keine Konformität. Sie erhalten Workflows mit Verantwortlichen, Terminen und Fristen, manipulationserkennbare Nachweise, bewertete Anforderungsabdeckung (indikativ) und einen schreibgeschützten Audit Room.

Art. 23 Abs. 4 sieht für erhebliche Sicherheitsvorfälle ein gestuftes Meldeverfahren vor. Eine Frühwarnung ist innerhalb von 24 Stunden nach Kenntnisnahme fällig. Innerhalb von 72 Stunden nach Kenntnisnahme folgt die Meldung des Sicherheitsvorfalls (24 Stunden für Vertrauensdiensteanbieter bei Vorfällen, die ihre Vertrauensdienste betreffen). Ein Zwischenbericht ist auf Anfrage fällig, der Abschlussbericht spätestens einen Monat nach der Meldung des Sicherheitsvorfalls. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist dann ein Fortschrittsbericht fällig und ein Abschlussbericht innerhalb eines Monats nach seiner Bewältigung. AnnexOps legt diese Schritte als terminierte Datensätze mit Verantwortlichen an und führt den Audit-Trail. Die Meldung bleibt bei Ihnen: Ihr Team bestätigt jede Meldung und übermittelt sie an das CSIRT oder gegebenenfalls an die zuständige Behörde. In Deutschland ist das das BSI, über die gemeinsame Meldestelle von BSI und BBK.