3.1.6 Behördliche Einstufung nach § 26 NISG 2026
Verhältnis zu § 25 NISG 2026
Die behördliche Einstufung nach § 26 NISG 2026 ist systematisch von der Größenbestimmung nach § 25 NISG 2026 zu trennen. § 25 NISG 2026 regelt ausschließlich die Frage, ob eine Einrichtung im unionsrechtlichen Sinn als mittleres oder großes Unternehmen einzustufen ist, und stellt damit einen eigenständigen, primär quantitativen Abgrenzungsmaßstab bereit. Demgegenüber normiert § 26 NISG 2026 eine eigenständige behördliche Zuordnungskompetenz der Cybersicherheitsbehörde. Diese ermöglicht es der Behörde, Einrichtungen unabhängig von ihrer Größenklassifikation als wesentliche oder wichtige Einrichtungen einzustufen oder eine bereits als wichtige Einrichtung eingestufte Einrichtung im Einzelfall als wesentliche Einrichtung zu qualifizieren. § 26 wirkt damit als risikoorientiertes Korrektiv zur rein größenbezogenen Systematik des § 25 NISG 2026.
