NIS Representation EU & UK FAQ

Question 1

Ist die NIS-Rl im Vereinigten Königreich noch anwendbar?

Accepted Answer

Im Gegensatz zur DSGVO ist die NIS-Richtlinie nicht unmittelbar in allen Mitgliedstaaten anwendbar, sondern musste von allen Mitgliedstaaten in nationales Recht umgesetzt werden. Obwohl das NIS-Gesetz also auf europäischen Rechtsvorschriften beruht, ist es im nationalen Recht des Vereinigten Königreichs verankert, so dass der Brexit seine Gültigkeit nicht beeinträchtigt hat. Daher wird es auch nach der Übergangszeit noch gelten.

Question 2

Wer muss die NIS einhalten?

Accepted Answer

Die Richtlinie über die Sicherheit von Netz- und Informationssystemen (NIS-Rl) zielt darauf ab, einen höheren, gemeinsamen EU-weiten Sicherheitsstandard für Netz- und Informationssysteme zu erreichen. Sie behandelt:

- Betreiber grundlegender Dienste (OES), z. B. in den Bereichen Energie, Banken und Verkehr, und
- Anbieter digitaler Dienste (DSPs), die in drei Gruppen unterteilt werden: Online-Suchmaschinen, Online-Marktplätze und Cloud-Computing-Dienste.

Sie gilt für DSPs, die

- eine Niederlassung in der EU haben
- außerhalb der EU niedergelassen sind, aber ihre Dienstleistungen innerhalb der EU anbieten.

Question 3

Was ist ein digitaler Dienstanbieter?

Accepted Answer

Ein Anbieter digitaler Dienste ist jede juristische Person, die einen digitalen Dienst anbietet. Es ist zu beachten, dass nicht alle digitalen Dienste von den Verpflichtungen der NISD betroffen sind, sondern nur bestimmte Dienste.

**Online-Marktplätze:** An online marketplace is a spot that allows consumers and traders to conduct online sales or service contracts with traders, and which function as the final destination for the conclusion of those contracts. Application stores, which operate as online stores enabling the digital distribution of applications or software programs from third parties, are a type of online marketplace.

Der Begriff umfasst keine Online-Dienste, die lediglich als Vermittler zu Diensten Dritter fungieren, über die letztlich ein Vertrag geschlossen werden kann.

**Online-Suchmaschinen:** An online search engine allows the user to perform searches of websites based on a query on any subject. It can also be focused on websites in certain languages.

Suchfunktionen, die sich auf den Inhalt einer bestimmten Website beschränken, auch wenn die Funktion von einer externen Suchmaschine bereitgestellt wird, fallen nicht unter die NIS-Richtlinie. Online-Dienste, die den Preis bestimmter Produkte oder Dienstleistungen verschiedener Händler vergleichen und den Nutzer dann zum bevorzugten Händler weiterleiten, um das Produkt zu kaufen, fallen ebenfalls nicht darunter.

**Cloud Computing-Dienste:** Cloud computing services allow access to a scalable and elastic pool of shareable computing resources such as networks, servers or other infrastructure, storage, applications, and services. The NISD mentions three properties that a cloud computing service must have in order to be qualified as a cloud service:

- **Scalable Ressourcen:** Resources can be flexibly allocated by the cloud services provider, irrespective of the geographical location of the resources, in order to handle fluctuations in demand; and
- **Elastic Pool of Ressourcen:** Computing resources that are provisioned and released according to demand to rapidly increase and decrease resources available depending on workload; and
- **Shareable:** Computing resources are provided to multiple users who share a common access to the service, but the processing is carried out separately for each user even though the service is provided from the same electronic equipment.

Verschiedene Geschäftsmodelle wie IaaS (Infrastructure as a Service), PaaS (Platform as a Service) oder SaaS (Software as a Service) sind in der NIS-Rl enthalten.

Question 4

Bietet mein Unternehmen Dienstleistungen in der EU oder im Vereinigten Königreich an?

Accepted Answer

Bei der Entscheidung, ob ein Unternehmen seine Dienstleistungen in der EU oder im Vereinigten Königreich anbietet, ist es wichtig zu wissen, auf welchen Märkten das Unternehmen seine Dienstleistungen anbieten will. Um diese Absicht zu bestimmen, werden verschiedene Faktoren berücksichtigt. Die bloße Zugänglichkeit der Website des digitalen Diensteanbieters (DSP) oder eines Vermittlers oder die Verwendung einer Sprache, die in der Region, in der der DSP niedergelassen ist, allgemein gebräuchlich ist, reicht nicht aus, um diese Absicht festzustellen. Stattdessen können Faktoren wie die Verwendung einer Sprache oder einer Währung, die im Allgemeinen in einem oder mehreren Mitgliedstaaten oder im Vereinigten Königreich verwendet wird, und die Möglichkeit, Dienstleistungen in dieser anderen Sprache zu bestellen, ein Hinweis darauf sein, dass der DSP beabsichtigt, seine Dienstleistungen in einer Region anzubieten, in der er nicht seine Hauptniederlassung hat.

Question 5

Gibt es Ausnahmen von dieser Verpflichtung?

Accepted Answer

Wenn Ihr Unternehmen keine Niederlassung in der EU oder im Vereinigten Königreich hat, aber die genannten digitalen Dienstleistungen in diesen Regionen anbietet, sind Sie grundsätzlich verpflichtet, einen NIS-Vertreter zu benennen.

Die Verpflichtung zur Bestellung eines Vertreters gilt jedoch nicht für Unternehmen, die eine bestimmte Unternehmensgröße nicht überschreiten. Ausgenommen sind:

- **Kleine Unternehmen**, which are defined as enterprises which employ less than 50 persons and whose annual turnover and/or annual balance sheet total does not exceed 10 million; and
- **Kleinstunternehmen**, which are defined as enterprises which employ less than 10 persons and whose annual turnover and/or annual balance sheet total does not exceed 2 million

Alles in allem bedeutet dies, dass Sie keinen Vertreter benennen müssen, wenn Ihr Unternehmen weniger als 50 Beschäftigte hat und der Jahresumsatz und/oder die Jahresbilanzsumme weniger als 10 Millionen beträgt.

Question 6

Was sind die wichtigsten Verpflichtungen für DSPs im Rahmen der NIS-Richtlinie?

Accepted Answer

Was die DSPs betrifft, so sind die wichtigsten Verpflichtungen in Art. 16 der NIS-Richtlinie festgelegt:

- **Technische und organisatorische Maßnahmen:** DSPs must identify and take appropriate and proportionate technical and organisational measures to manage risks posed to the security of network and information systems which they use in the context of offering their services within the EU and UK.
- **Minimierung der Auswirkungen:** DSPs must take measures to prevent and minimise the impact of incidents affecting the security of their network and information systems.
- **Berichtspflicht/Vertreter:** DSPs must notify the relevant authority or the CSIRT when an incident occurs that has a substantial impact on the provision of their service offered in the EU or UK. In the event that a company does not have an establishment in the EU it will need to appoint a representative who acts on behalf of the company.

Question 7

Welches NIS-Gesetz muss ich einhalten?

Accepted Answer

Im Gegensatz zur Datenschutz-Grundverordnung (DSGVO), die ein einziges, in allen Mitgliedstaaten geltendes Gesetz ist, wurde die NIS-Rl von jedem EU-Mitgliedstaat und dem Vereinigten Königreich einzeln in nationales Recht umgesetzt. Welches nationale Gesetz auf Ihr Unternehmen anwendbar ist, wird wie folgt bestimmt, immer unter der Annahme, dass Ihr Unternehmen ein DSP ist und die entsprechenden Schwellenwerte überschreitet:

- If your company has one or more establishments within the EU then your company is governed by the jurisdiction of the Member State in which it has its main establishment (i.e. where your Hauptgeschäftsstelle is);
- Wenn Ihr Unternehmen seine Hauptniederlassung im Vereinigten Königreich hat, gelten die Network and Information Systems Regulations (2018);
- Wenn Sie nicht in der EU ansässig sind, aber Ihre Dienstleistungen in der EU anbieten, müssen Sie einen Vertreter benennen, der in einem Mitgliedstaat ansässig ist, in dem Sie Ihre Dienstleistungen anbieten. Ihr Unternehmen gilt dann als der Gerichtsbarkeit des Mitgliedstaats unterstellt, in dem der Vertreter seinen Sitz hat;
- Wenn Sie nicht im Vereinigten Königreich niedergelassen sind, aber dort Ihre Dienstleistungen anbieten, müssen Sie einen Vertreter im Vereinigten Königreich benennen, der der britischen Rechtsprechung unterliegt.

Question 8

Muss unser Unternehmen einen Vertreter gemäß Art. 18 NIS-Richtlinie in der EU benennen?

Accepted Answer

Gemäß Art. 18 (2) der NIS-Richtlinie (und den meisten Umsetzungen in nationales Recht) müssen Anbieter digitaler Dienste, die;

- nicht in der EU ansässig sind; und
- bestimmte digitale Dienstleistungen innerhalb der EU anbieten

einen Vertreter in der EU benennen, der in einem der Mitgliedstaaten ansässig ist, in denen die Dienstleistungen angeboten werden.

Nach dem Brexit gilt das Vereinigte Königreich aus Sicht der EU als "Drittland". Daher gilt eine Niederlassung im Vereinigten Königreich nicht mehr als "Niederlassung in einem Mitgliedstaat". Wenn Sie also ein Unternehmen mit Sitz im Vereinigten Königreich sind, das keine Niederlassung in der EU hat, aber seine Dienstleistungen dort anbietet, müssen Sie einen Vertreter nach Art. 18 in der EU benennen.

Question 9

Braucht unser Unternehmen einen Vertreter im Vereinigten Königreich?

Accepted Answer

Die britische Regierung hat erklärt, dass Organisationen

- außerhalb des Vereinigten Königreichs ansässig sind; und
- die ihre Dienste im Vereinigten Königreich anbieten

müssen die NIS-Verordnungen des Vereinigten Königreichs einhalten und bis Ende März 2021 einen Vertreter im Vereinigten Königreich benennen.

Das britische Recht sieht jedoch Ausnahmen für kleine Unternehmen vor. Wenn Ihr Unternehmen weniger als 50 Personen beschäftigt und sein Jahresumsatz und/oder seine Bilanz weniger als 10 Mio. EUR beträgt, müssen Sie keinen Vertreter im Vereinigten Königreich benennen.

Ressourcen: [ICO: Der Leitfaden zur NIS-Rl](https://ico.org.uk/for-organisations/the-guide-to-nis/key-concepts-and-definitions/) [NIS-Verordnungen - nichtbritische Anbieter digitaler Dienste, die im Vereinigten Königreich tätig sind](https://www.gov.uk/guidance/nis-regulations-what-non-uk-digital-service-providers-operating-in-the-uk-should-do-from-1-january-2021)

Question 10

Was sind die Voraussetzungen für die Ernennung eines Vertreters im Vereinigten Königreich?

Accepted Answer

Sie müssen die Ernennung Ihres Vertreters schriftlich bestätigen, nachdem Sie das vom Information Commissioner's Office (ICO) angebotene Registrierungsverfahren abgeschlossen haben. Ihr Vertreter muss das britische Recht einhalten und sollte für das ICO oder die NCSC erreichbar sein. Er wird auch in Ihrem Namen handeln, wenn es um die Erfüllung Ihrer rechtlichen Verpflichtungen nach dem britischen NIS-Gesetz geht, einschließlich der Meldung von Vorfällen.

Wenn Sie Ihren Vertreter im Vereinigten Königreich benennen, sollten Sie dem ICO mitteilen, ob Sie:

- Have a Hauptgeschäftsstelle in an EU Member State;
- einen Vertreter in einem EU-Mitgliedstaat benannt haben;
- einer gleichwertigen Gesetzgebung in einem anderen Land nachkommen;
- Netz- und Informationssysteme außerhalb des Vereinigten Königreichs betreiben.

Ressourcen: [NIS-Verordnungen - nichtbritische Anbieter digitaler Dienste, die im Vereinigten Königreich tätig sind](https://www.gov.uk/guidance/nis-regulations-what-non-uk-digital-service-providers-operating-in-the-uk-should-do-from-1-january-2021)

Question 11

Brauchen Unternehmen, die außerhalb der EU und des Vereinigten Königreichs ansässig sind, jetzt zwei Vertreter?

Accepted Answer

Wenn Ihr Unternehmen weder in der EU noch im Vereinigten Königreich eine Niederlassung hat, aber seine Dienstleistungen Einzelpersonen in beiden Regionen anbietet, müssen Sie sowohl einen EU-Vertreter als auch einen Vertreter im Vereinigten Königreich ernennen, um alle einschlägigen Rechtsvorschriften einzuhalten, die aus dem EU-Recht und seiner Umsetzung in den Mitgliedstaaten einerseits und dem britischen Recht andererseits bestehen. Bitte beachten Sie, dass Ihr EU-Vertreter in einem der Mitgliedstaaten ansässig sein muss, in denen Sie Ihre Dienstleistungen anbieten. Ihr Vertreter im Vereinigten Königreich muss im Vereinigten Königreich ansässig sein.

Question 12

Ich biete Dienstleistungen innerhalb der EU an und habe einen Art. 18-Vertreter ernannt, der vor dem Brexit im Vereinigten Königreich ansässig war. Was nun?

Accepted Answer

Da Ihr Vertreter im Vereinigten Königreich nach dem Brexit nicht mehr für die Vertretung in der EU zuständig sein wird, müssen Sie einen zusätzlichen Vertreter benennen, der in einem der EU-Mitgliedstaaten ansässig ist, in denen Ihre Dienstleistungen angeboten werden.

Question 13

Was sind die möglichen Folgen einer Nichteinhaltung?

Accepted Answer

Da das NIS-Gesetz auf einer EU-Richtlinie beruht, die in den einzelnen Mitgliedstaaten unterschiedlich umgesetzt wird, gibt es keinen allgemein gültigen Strafbetrag. So können beispielsweise im Vereinigten Königreich gegen Unternehmen, die die Vorschriften nicht einhalten, Geldstrafen von bis zu 17 Mio. GBP verhängt werden, während in Österreich die Strafen 50.000 EUR betragen und im Wiederholungsfall bis zu 100.000 EUR erreichen können.

Auch die Bußgelder für das Versäumnis, einen NIS-Vertreter zu benennen, sind von Mitgliedstaat zu Mitgliedstaat unterschiedlich. In der Tschechischen Republik beispielsweise können Unternehmen mit bis zu 40.000 EUR bestraft werden, wenn sie keinen EU-Vertreter benennen.

Question 14

Was sind die allgemeinen Anforderungen bei der Bestellung eines Vertreters und welche Pflichten hat der Vertreter?

Accepted Answer

Der Vertreter sollte ausdrücklich durch einen schriftlichen Auftrag des Anbieters digitaler Dienste benannt werden.

Die zuständigen Behörden oder das Computer Security Incident Response Team (CSIRT) sollten die Möglichkeit haben, den Vertreter zu kontaktieren, da der Vertreter als lokale Kontaktstelle fungiert. Der Beauftragte handelt im Namen des DSP in Bezug auf die rechtlichen Verpflichtungen nach dem NIS-Gesetz, einschließlich der Meldung von Vorfällen. Der Beauftragte muss die lokalen nationalen Gesetze des Landes, in dem er niedergelassen ist, einhalten.

Question 15

Wie kommt Prighter diesen Anforderungen nach?

Accepted Answer

Prighter verfügt über einen digitalen Onboarding-Prozess, bei dem eine Vollmacht erstellt wird und online oder in Papierform unterzeichnet werden kann.

Prighter verfügt über spezielle Kommunikationskanäle zu den zuständigen Datenschutzbehörden.

Braucht mein Unternehmen einen NIS-Vertreter?

Get NIS Ready

Tech Enabled

Gain Trust