Mit der NIS-2-Richtlinie und dem nationalen Umsetzungsgesetz werden die Anforderungen an die IT-Sicherheit in vielen Branchen angepasst und verschärft.
Handwerksbetriebe könn im Einzelfall betroffen sein, wenn das Unternehmen einem der kritischen Sektoren zugeordnet werden kann, entgeltlich Waren oder Dienstleistungen anbietet, die einer der in Anlage 1 und 2 des BSIG bestimmten Einrichtungsarten zuzuordnen sind sowie die Schwellenwerte für Mitarbeiteranzahl und bzw. oder Umsatz überschritten werden.
Bei wichtigen Einrichtungen müssen mindestens 50 Mitarbeiter beschäftigt werden oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufgewiesen werden (§ 28 Abs. 2 Nr. 3 BSIG), damit der Betrieb erfasst wird. Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind. (§ 28 Abs. 3 BSIG)
Aus den Anlagen 1 und 2 ergibt sich, dass vor allem die Gesundheitshandwerke und Betriebe des Fahrzeugbaus betroffen sein können.
Gesundheitshandwerke können nach Anlage 1 Nr. 4.1.1. als Erbringer von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU sowie Anlage 2 als verarbeitendes Gewerbe nach Nr. 5.1.1 als Unternehmen die Medzinprodukte nach Artikel 2 Nummer 1 der Verordnung (EU) 2017/745 (Medizinprodukteverordnung) herstellen. Fahrzeugbauer können dann betroffen sein, wenn nach Anlage 2 Nr. 5.6.1 als sonstiger Fahrzeugbau, wenn das Unternehmen, eine der Wirtschaftstätigkeiten nach Abschnitt C Abteilung 30 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) ausübt.
Denkbar ist zudem eine indirekte Betroffenheit über steigende Anforderungen von Auftraggebern.
Der Selbsttest ist auf den Seiten des Bundesamtes abrufbar und dient zur ersten Orientierung (Betroffenheitsprüfung) ergänzend werden FAQ und eine Themenseite #nis2know zur Beantwortung einer Vielzahl von Fragen bereitgestellt.
Betroffene Betriebe müssen angemessene technische und organisatorische Maßnahmen einhalten, relevante Sicherheitsvorfälle melden und sich im BSI-Portal anmelden bzw. registrieren und darüber Meldungen vornehmen.