Die ordnungsgemäße Durchführung einer Selbsteinschätzung gemäß dem neuen Gesetz über das Nationale Cybersicherheitssystem (KSC) erfordert nicht nur die Feststellung, ob ein Unternehmen den Vorschriften unterliegt, sondern auch die Klärung seines Status. Das Gesetz unterteilt die Verpflichtungsempfänger in zwei Hauptkategorien: Schlüsselunternehmen und wichtige Unternehmen. Obwohl beide Gruppen verpflichtet sind, Maßnahmen zum Management von Cybersicherheitsrisiken umzusetzen und sich bis zum 3. Oktober 2026 zu registrieren, unterscheiden sich der Umfang der Aufsicht und die potenziellen finanziellen Sanktionen erheblich.
Wie unterscheidet man eine Schlüsselentität von einer wichtigen Entität?
Die Zugehörigkeit zu einer bestimmten Kategorie wird durch zwei Hauptfaktoren bestimmt: den Wirtschaftssektor, in dem das Unternehmen tätig ist, und seine Größe (gemessen an Beschäftigungs- und Finanzkennzahlen).
| Kriterium | Schlüsselentität | Wichtige Einheit |
| Wirtschaftssektoren | Schlüsselsektoren (einschließlich Energie, Transport, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, IKT). | Wichtige Sektoren (einschließlich Post/Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Industrieproduktion, digitale Dienstleistungen). |
| Unternehmensgröße | Große Unternehmen in Schlüsselbranchen (≥250 Mitarbeiter oder Umsatz >50 Mio. € / Bilanzsumme >43 Mio. €). | Mittelgroße Unternehmen in Schlüsselbranchen sowie mittelständische und große Unternehmen in wichtigen Branchen. |
| Qualifikation unabhängig von der Größe | Vertrauensdienstleister, Domainnamenregistrierungsstellen, Einrichtungen der öffentlichen Verwaltung oder solche, die aufgrund eines systemischen Risikos individuell benannt wurden. | Im Gesetz als wichtig eingestufte Einrichtungen, unabhängig vom Umfang ihrer Tätigkeit. |
Ex-ante- versus Ex-post-Supervision: ein wesentlicher systemischer Unterschied
Der bedeutendste praktische Unterschied zwischen den beiden Kategorien betrifft die Art und Weise, wie die Regulierungsbehörden die Einhaltung der Vorschriften kontrollieren:
- Überwachung vorlaufende): Die Aufsichtsbehörden sind befugt, präventive und regelmäßige Inspektionen durchzuführen. Sie können jederzeit – auch ohne vorherigen Vorfall – Unterlagen anfordern, unabhängige Sicherheitsprüfungen auf Kosten des Unternehmens anordnen oder Verfahren überprüfen.
- Aufsicht nachträgliche): Die Aufsicht erfolgt nach dem Wettbewerbseintritt. Die Behörden ergreifen Kontroll- und Durchsetzungsmaßnahmen erst nach Erhalt von Beweisen, einer Meldung oder eines begründeten Verdachts auf einen Verstoß gegen die Vorschriften (z. B. nach einem schwerwiegenden Vorfall oder einer Beschwerde).
Organisatorische Verantwortlichkeiten
Beide Kategorien von Organisationen müssen ähnliche technische und organisatorische Maßnahmen umsetzen, darunter:
- regelmäßige Risikoanalyse und Sicherheitspolitik von IKT-Systemen,
- Verfahren zur Bearbeitung von Zwischenfällen und Geschäftskontinuitätsplanung (BCP) sowie Krisenmanagement,
- Überprüfung der Lieferkettensicherheit (Auditierung von Software- und IT-Dienstleistern),
- obligatorische Verwendung von Kryptographie und Verschlüsselung, wo dies gerechtfertigt ist.
Für beide Gruppen bleibt der 3. April 2027 die Frist für die vollständige Implementierung des Informationssicherheitsmanagementsystems (ISMS)
Finanzielle Sanktionen und Managerhaftung
Unterschiede in der Kritikalität des jeweiligen Sektors spiegeln sich auch in der Höhe der Strafen für die Nichterfüllung von Verpflichtungen wider:
- Für Schlüsselunternehmen: Die Geldbußen können bis zu 10.000.000 EUR oder bis zu 2 % des weltweiten Jahresumsatzes des Unternehmens im vorangegangenen Geschäftsjahr betragen (je nachdem, welcher Betrag höher ist).
- Für bedeutende Unternehmen: Höchststrafen bis zu 7.000.000 EUR oder bis zu 1,4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
Hervorzuheben ist, dass die Änderung des KSC auch die persönliche Haftung von Bereichsleitern (Vorstandsmitgliedern) vorsieht. Bei Schlüsselunternehmen sind die Aufsichtsbehörden in extremen Fällen wiederholter Nichtbeachtung von Empfehlungen nach der Prüfung befugt, die vorübergehende Suspendierung einer Person von der Ausübung ihrer Managementfunktionen zu beantragen.
Um zusammenzufassen
Obwohl für wichtige Einrichtungen ein weniger strenges, nachträgliches Kontrollmodell gilt , ist der Umfang der erforderlichen Sicherheitsmaßnahmen nahezu identisch mit dem für Schlüsseleinrichtungen. Eine oberflächliche Auslegung der Vorschriften und eine verzögerte Umsetzung aufgrund fehlender Präventivmaßnahmen bergen ein hohes Geschäftsrisiko – der erste schwerwiegende Vorfall in einer wichtigen Einrichtung löst ein Prüfverfahren aus. Um die Organisation vor empfindlichen Strafen zu schützen, empfiehlt es sich, die technologische und rechtliche Gap-Analyse parallel zur Vorbereitung des Registrierungsantrags durchzuführen.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 13. August 2026.
