Was die Richtlinie für den Metallbau sagt
Die Sektorenlisten in Anhang I und II der NIS-2-Richtlinie (EU) 2022/2555 enthalten keinen eigenen Eintrag für Metallbau oder die Herstellung von Metallerzeugnissen (NACE C25). Ein Metallbaubetrieb ist deshalb nicht pauschal betroffen. Pauschal ausschließen lässt sich das aber ebenso wenig.
Drei Gründe, die Einstufung trotzdem zu prüfen
- Tätigkeit: Wer Maschinen oder Ausrüstungen herstellt, etwa im Sondermaschinen- oder Anlagenbau, kann unter den Eintrag zur Herstellung von Maschinen (NACE C28) fallen. Maßgeblich ist die tatsächliche Tätigkeit.
- Größe: Unter den Größenschwellen der EU-Empfehlung 2003/361/EG ist ein Unternehmen voraussichtlich nicht erfasst. Ausnahmen sind möglich, und verbundene Unternehmen können mitzählen.
- Lieferkette: Kunden, die selbst unter NIS-2 fallen, müssen die Sicherheit ihrer Lieferkette berücksichtigen. Sie können deshalb Nachweise von Zulieferern erbitten, siehe Lieferkettensicherheit.
Der Ablauf mit dem Assistenten: Muster Metallbau KG (Beispiel)
Das erfundene Beispiel hat 35 Vollzeitstellen und beliefert Industriekunden.
- Einstufung: Der Assistent meldet „Fall N – voraussichtlich nicht betroffen: Die Umsetzung ist freiwillig“ und schlägt das Profil P2 Klein vor (10–49 Beschäftigte).
- Schlanker Weg: Im Profil Klein genügen die fünf wichtigsten Abläufe, hier Auftragsabwicklung (ERP), Fertigungssteuerung und Einkauf und Disposition, jeweils mit Schadenspotenzial, Wiederanlaufzeit und tolerierbarem Datenverlust.
- Grundlagen: Die Fragen zur Cyberhygiene und der Bericht halten fest, wo der Betrieb steht. Ob das gegenüber einem Kunden als Nachweis genügt, entscheidet der Kunde.
Prüfen Sie die Einstufung
Eine Pflicht entsteht nicht durch den Branchennamen, sondern durch Tätigkeit, Größe und Gruppenzugehörigkeit. Eine erste Orientierung gibt der NIS2-Betroffenheitscheck. Auch ohne Pflicht kann ein schlanker Weg mit Cyberhygiene sinnvoll sein.
Wer weiß, welche Abläufe in Fertigung und Auftragsabwicklung kritisch sind und wie schnell sie wieder laufen müssen, ist bei der Anfrage eines Kunden vorbereitet. Die Einstufung bleibt dabei vorläufig, bis Sie sie geprüft haben.
