Wissensdatenbank · NIS2
Fällt Ihr Unternehmen unter NIS2? Entscheidungshilfe für belgische KMU
Ob das belgische NIS2-Gesetz auf Sie anwendbar ist, hängt von vier Dingen ab: wo Sie niedergelassen sind, was Sie tun, wie groß Sie sind und ob eine Ausnahme gilt. Diese Seite geht sie der Reihe nach durch, mit den Grenzfällen, in denen sich KMU am häufigsten irren.
Der Rahmen
Gesetz vom 26. April 2024, Aufsicht durch das CCBNicht der Sektor allein entscheidet, sondern die Kombination aus vier Faktoren
Das Gesetz vom 26. April 2024 setzt die europäische NIS2-Richtlinie in belgisches Recht um und wird vom Zentrum für Cybersicherheit Belgien (CCB) durchgesetzt. Die Sektorenlisten folgen denen der Richtlinie: Anhang I für Sektoren mit hoher Kritikalität und Anhang II für sonstige kritische Sektoren. Was die Pflichten beinhalten und wie die Durchsetzung abläuft, lesen Sie auf der NIS2-Seite und auf der Seite zur Stufenplanung. Hier geht es um eine einzige Frage: Fallen Sie darunter, und wenn ja, als wesentliche oder als wichtige Einrichtung?
Entscheidungshilfe
Fünf Schritte zur Feststellung Ihrer Situation
- 1Prüfen Sie Ihre Niederlassung: Das Gesetz gilt für Einrichtungen, die in Belgien niedergelassen sind und in der EU eine in den Anhängen aufgeführte Dienstleistung erbringen. Bei Anbietern öffentlicher elektronischer Kommunikation zählt, dass sie Dienste in Belgien erbringen. Bei Cloud, Rechenzentren, DNS, verwalteten Diensten und Online-Plattformen zählt, wo sich die Hauptniederlassung befindet, also wo die Entscheidungen über Cyberrisiken überwiegend getroffen werden.
- 2Suchen Sie Ihre Tätigkeit in Anhang I oder II. Betrachten Sie, was Sie tatsächlich anbieten. Ein NACE-Code allein ist laut CCB keine gültige Grundlage. Ist Ihr Unternehmen in mehreren Sektoren tätig, gelten die strengsten Pflichten für die gesamte Einrichtung, nicht nur für diese eine Tätigkeit.
- 3Bestimmen Sie Ihre Größe nach den Regeln im nächsten Block, einschließlich Ihrer Gruppe.
- 4Prüfen Sie die Ausnahmen, die unabhängig von der Größe gelten: siehe Tabelle. Das CCB kann auch selbst eine Einrichtung benennen, zum Beispiel wenn Sie der einzige Anbieter eines wesentlichen Dienstes sind.
- 5Halten Sie Ihr Ergebnis fest und bestätigen Sie es mit dem offiziellen Scope-Test des CCB. Ein begründeter Vermerk zu diesem Test ist nützlich, wenn später jemand fragt, warum Sie sich registriert haben oder nicht.
Die Sektoren
Steht Ihre Tätigkeit in Anhang I oder Anhang II?
Das belgische Gesetz übernimmt die Sektoren der europäischen Richtlinie. Lesen Sie die Beschreibung, nicht nur den Sektornamen: Innerhalb jedes Sektors fallen nur die aufgeführten Arten von Einrichtungen darunter.
| Anhang | Sektor | Wer darunter fällt |
|---|---|---|
| I | Energie | Elektrizität (unter anderem Lieferanten, Netzbetreiber, Erzeuger und Betreiber von Ladepunkten), Fernwärme und Fernkälte, Erdöl, Erdgas, Wasserstoff |
| I | Verkehr | Luft, Schiene, Wasser und Straße: unter anderem Luftfahrtunternehmen, Flughäfen, Eisenbahnunternehmen, Reedereien, Hafenbetreiber und Betreiber intelligenter Verkehrssysteme |
| I | Bankwesen und Finanzmarktinfrastrukturen | Kreditinstitute, Betreiber von Handelsplätzen, zentrale Gegenparteien |
| I | Gesundheitswesen | Gesundheitsdienstleister, EU-Referenzlaboratorien, Forschung und Entwicklung von Arzneimitteln, Herstellung pharmazeutischer Grundstoffe und kritischer Medizinprodukte |
| I | Trinkwasser und Abwasser | Lieferanten und Verteiler von Trinkwasser (außer Verteilern, für die Trinkwasser ein nicht wesentlicher Teil der Verteilung anderer Waren ist) und Unternehmen, die Abwasser sammeln, entsorgen oder behandeln, es sei denn, dies ist ein nicht wesentlicher Teil ihrer Tätigkeit |
| I | Digitale Infrastruktur | Internet-Knoten, DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing, Rechenzentren, Inhaltszustellnetze, Vertrauensdienste, öffentliche elektronische Kommunikation |
| I | Verwaltung von IKT-Diensten (Business-to-Business) | Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste. Kleine IT-Partner bleiben selbst meist außerhalb des Gesetzes, mittlere und große Anbieter fallen darunter. Kunden legen ihrem IT-Partner die gleichen Maßnahmen aber oft vertraglich auf. |
| I | Öffentliche Verwaltung | Einrichtungen der öffentlichen Verwaltung, wie das Gesetz sie abgrenzt |
| I | Weltraum | Betreiber von Bodeninfrastrukturen zur Unterstützung weltraumgestützter Dienste |
| II | Post- und Kurierdienste | Anbieter von Postdiensten, einschließlich Kurierdiensten |
| II | Abfallbewirtschaftung | Unternehmen, für die die Abfallbewirtschaftung die Haupttätigkeit ist |
| II | Produktion, Herstellung und Handel mit chemischen Stoffen | Herstellung, Produktion und Vertrieb von Stoffen und Gemischen |
| II | Produktion, Verarbeitung und Vertrieb von Lebensmitteln | Lebensmittelunternehmen im Großhandel und in der industriellen Produktion und Verarbeitung |
| II | Verarbeitendes Gewerbe/Herstellung von Waren | Medizinprodukte, Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinen, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau |
| II | Anbieter digitaler Dienste | Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke |
| II | Forschung | Forschungseinrichtungen |
Sektor und Größe
So übersetzt sich die Kombination in Ihre Kategorie
Wesentlich und wichtig unterscheiden sich vor allem in Aufsicht und Beweislast. Die inhaltlichen Pflichten zu Risikomanagement und Meldung von Sicherheitsvorfällen sind dieselben.
| Sektor | Groß | Mittelgroß | Klein oder Kleinst |
|---|---|---|---|
| Tätigkeit aus Anhang I | Wesentlich | Wichtig | Außerhalb des Anwendungsbereichs, außer bei einer Ausnahme |
| Tätigkeit aus Anhang II | Wichtig | Wichtig | Außerhalb des Anwendungsbereichs, außer bei einer Ausnahme |
| Qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Namenregister, Anbieter öffentlicher elektronischer Kommunikation | Wesentlich | Wesentlich | Wesentlich |
| Nicht qualifizierte Vertrauensdiensteanbieter | Wesentlich | Wichtig | Wichtig |
| Betreiber kritischer Infrastrukturen (Gesetz vom 1. Juli 2011) und föderale öffentliche Dienste | Wesentlich | Wesentlich | Wesentlich |
Größe berechnen
Wo KMU ihre Größe falsch einschätzen
Das CCB wendet die europäische KMU-Definition an. Mittelgroß sind Sie, sobald Sie 50 bis 249 Jahresarbeitseinheiten (JAE) zählen oder sobald Ihr Jahresumsatz und Ihre Bilanzsumme beide über 10 Millionen Euro liegen. Groß sind Sie ab 250 Jahresarbeitseinheiten oder wenn Ihr Jahresumsatz über 50 Millionen Euro und Ihre Bilanzsumme über 43 Millionen Euro liegt. Personal- und Finanzzahlen sind also Alternativen: Eine von beiden genügt, um in eine höhere Klasse zu fallen. Darin stecken fünf Fallstricke.
Vollzeitäquivalente, nicht Köpfe
Das CCB zählt Jahresarbeitseinheiten: Wer Vollzeit gearbeitet hat, zählt als eins. Teilzeit- und Saisonarbeit zählen als Bruchteile. Die Zahl der Namen auf Ihrer Personalliste und die Zahl der Jahresarbeitseinheiten können daher weit auseinanderliegen.
Umsatz und Bilanzsumme
Für die finanzielle Prüfung müssen beide Zahlen die Schwelle überschreiten. Liegt nur Ihr Umsatz oder nur Ihre Bilanzsumme dar über, ändert das Ihre Klasse nicht. Mit 50 Jahresarbeitseinheiten oder mehr sind Sie aber in jedem Fall mindestens mittelgroß, auch bei einem kleinen Umsatz.
Verbundene Unternehmen
Halten Sie oder jemand anderes mehr als 50 Prozent, zählen Sie die Daten dieses Unternehmens zu 100 Prozent mit. Familienholdings und Schwesterunternehmen bringen ein kleines KMU so über die Schwelle.
Partnerunternehmen
Bei einer Beteiligung von 25 bis 50 Prozent zählen Sie einen anteiligen Teil mit. Das wird am häufigsten vergessen.
Das CCB achtet auf Unabhängigkeit
In unverhältnismäßigen Fällen kann das CCB eine Einrichtung als wichtig neu einstufen oder ausschließen. Auf eine günstige Auslegung zu setzen ist keine Strategie, eine begründete Akte schon.
Außerhalb des Gesetzes, innerhalb der Kette
Vertraglich, nicht gesetzlichSie fallen nicht darunter, beliefern aber eine NIS2-Einrichtung? Dann kommen die Anforderungen über den Vertrag
Die NIS2-Pflichten gelten nicht unmittelbar für einen Lieferanten, der selbst nicht unter das Gesetz fällt. Eine NIS2-Einrichtung muss aber dafür sorgen, dass ihre Lieferanten und direkten Dienstleister ähnliche Maßnahmen treffen. Das CCB empfiehlt, in Verträgen ein Label oder eine Zertifizierung vorzuschreiben, zum Beispiel eine CyFun-Stufe oder ISO 27001, und das Lieferantenrisiko zu bewerten, um diese Stufe zu wählen. Das CCB sagt selbst, dass viele Organisationen indirekt betroffen sein werden. Fragen Sie einen Kunden daher ausdrücklich, welche Stufe und welchen Geltungsbereich er erwartet, und unterschreiben Sie keinen vagen Verweis auf „NIS2-Konformität“, den Sie später nicht einlösen können.
Wenn Sie unter das Gesetz fallen
Erste Schritte für eine wesentliche oder wichtige Einrichtung
- 1Registrieren Sie sich beim CCB über Safeonweb@Work, unter anderem mit Name, Unternehmensnummer, Adresse, Kontaktdaten, IP-Bereichen und Sektor. Die allgemeinen Registrierungsfristen sind abgelaufen. Wer später unter das Gesetz fällt, erhält Fristen ab diesem Zeitpunkt. Änderungen melden Sie innerhalb von zwei Wochen.
- 2Wählen Sie Ihren Referenzrahmen: CyFun oder ISO 27001 mit einem Geltungsbereich, der alle Netz- und Informationssysteme abdeckt. Das begründet eine Konformitätsvermutung, bis das Gegenteil bewiesen ist. Welche CyFun-Stufe passt, lesen Sie im Artikel über die Stufen.
- 3Richten Sie den Prozess für erhebliche Sicherheitsvorfälle ein: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Meldung, über notif.safeonweb.be. Das ersetzt die DSGVO-Meldung an die Datenschutzbehörde nicht.
- 4Beziehen Sie das Leitungsorgan ein: Es billigt die Risikomanagementmaßnahmen, überwacht deren Umsetzung und muss geschult sein. Das Leitungsorgan kann haftbar sein, wenn die Einrichtung die Risikomanagementpflichten verletzt.
- 5Planen Sie die Konformitätsbewertung entsprechend Ihrer Kategorie. Wesentliche Einrichtungen müssen regelmäßig eine durchführen lassen, wichtige Einrichtungen können sich freiwillig dafür entscheiden. Die Termine für wesentliche Einrichtungen stehen auf der Seite zur Stufenplanung.
Zweifel und Zukunft
Vorschlag, noch nicht in KraftDer europäische Vorschlag zu Small Mid-Caps ändert heute nichts an Ihrer Antwort
Die Europäische Kommission hat im Januar 2026 einen Vorschlag zur gezielten Änderung von NIS2 veröffentlicht, unter anderem mit einer neuen Kategorie der Small Mid-Caps. Das ist ein Vorschlag. Er ist nicht angenommen, nicht veröffentlicht und nicht in belgisches Recht umgesetzt. Bis das geschieht, gilt das Gesetz, wie es jetzt ist, und Sie entscheiden anhand der obigen Schwellen. Verschieben Sie Investitionen also nicht wegen einer Änderung, die sich noch ändern oder ausbleiben kann. Liegen Sie nahe an einer Grenze oder ist Ihre Gruppenstruktur kompliziert, machen Sie den offiziellen Scope-Test des CCB auf Safeonweb@Work. Bleibt nach dem Test Zweifel, fragen Sie das CCB selbst.
Häufig gestellte Fragen
Kurz beantwortet
Wissen, ob Sie unter NIS2 fallen?
In einem ersten Gespräch von 30 Minuten gehen wir Ihre Niederlassung, Ihren Sektor und Ihre Gruppenstruktur durch und besprechen, was das Ergebnis für Ihr Unternehmen bedeutet. Das Gespräch ist kostenlos.