In Anhang II der NIS-Richtlinie ist eine Liste von sieben Sektoren und ihren jeweiligen Teilsektoren sowie Arten von Einrichtungen aufgeführt, die relevant für das Verfahren zur Ermittlung sind ( Tabelle 1 ). Nach Artikel 5 Absatz 3 sind die Mitgliedstaaten verpflichtet, auf der Grundlage dieser Sektoren, Teilsektoren und Arten von Einrichtungen eine Liste der wesentlichen Dienste zu erstellen. Der Ansatz der Mindestharmonisierung der Richtlinie erlaubt es den Mitgliedstaaten, über den Anwendungsbereich des Anhangs II hinauszugehen und in weiteren Sektoren und Teilsektoren eine Ermittlung durchzuführen.

Die Richtlinie wurde so gestaltet, dass sie den Mitgliedstaaten mehr Handlungsspielraum in der Auswahl der relevanten Einrichtungen bietet, um nationalen Besonderheiten Rechnung zu tragen. Zugleich erhöht dieser Ansatz das Risiko einer unterschiedlichen Umsetzung der Bestimmungen der Richtlinie und kann möglicherweise zu Unstimmigkeiten bei den durch die Mitgliedstaaten ergriffenen Maßnahmen führen. Dies ist besonders für Unternehmen wichtig, die in mehreren Ländern tätig sind und aus diesem Grund die regulatorischen Anforderungen von mehr als einem Mitgliedstaat erfüllen müssen.

werden die Mitgliedstaaten in der NIS-Richtlinie aufgefordert, Sicherheitsanforderungen und Verfahren für die Meldung von Sicherheitsvorfällen für Betreiber wesentlicher Dienste festzulegen. Da mit der Richtlinie ein Ansatz der Mindestharmonisierung im Hinblick auf Betreiber wesentlicher Dienste verfolgt wird, steht es den Mitgliedstaaten frei, Anforderungen an Betreiber zu stellen, die höher sind als in der Richtlinie vorgesehen. Während die Widerstandsfähigkeit der Mitgliedstaaten damit erhöht wird, könnten solche Maßnahmen zusätzliche Regulierungskosten für die betroffenen Betreiber nach sich ziehen. Daher ist es wichtig, dass Betreiber, die ähnliche Dienste mit ähnlicher Bedeutung zur Verfügung stellen, auch einer ähnlichen Regulierung unterliegen.

Eine uneinheitliche Ermittlung wesentlicher Betreiber, die grenzüberschreitend Dienste anbieten, könnte zu einem ungleichen Niveau der Widerstandsfähigkeit gegenüber Cyberangriffen zwischen den Mitgliedstaaten führen, wodurch das Risiko erhöht würde, dass ein grenzüberschreitender Sicherheitsvorfall kritische Infrastrukturen beschädigen oder den Tod von Bürgerinnen und Bürgern verursachen könnte. Übertragungsnetzbetreiber oder Register der Domänen oberster Stufe (TLD-Register), die beide auf der Liste der Arten von Einrichtungen in Anhang II stehen, sind Einrichtungen, die durch das Anbieten grenzüberschreitender Dienste für Verbraucher und Unternehmen den Binnenmarkt bestmöglich nutzen. Eine einheitliche Ermittlung solcher Betreiber in der gesamten Union könnte daher helfen, die Ausbreitung von Bedrohungen für die Cybersicherheit im gesamten Binnenmarkt zu verhindern.

Im vorliegenden Bericht wird im Einklang mit Artikel 23 Absatz 1 die Kohärenz der Ansätze der Mitgliedstaaten für die Ermittlung der Betreiber wesentlicher Dienste bewertet. Da die Kohärenz bei der Ermittlung der Betreiber wesentlicher Dienste und das Risiko der Fragmentierung des Binnenmarktes in diesem Bereich eng miteinander verknüpft sind, wird dieser Bericht auch in die allgemeinere Bewertung der NIS-Richtlinie einfließen, denn Artikel 23 Absatz 2 sieht vor, dass die Kommission regelmäßig die Anwendung der Richtlinie überprüft und die darin festgelegte Liste der Sektoren und Teilsektoren, die der Ermittlung der Betreiber wesentlicher Dienste unterliegen, sowie die Art der digitalen Dienste, die in den Anwendungsbereich der Richtlinie fallen, überprüft. Der erste dieser Berichte ist bis zum 9. Mai 2021 vorzulegen.

Die beiden Gesetzgeber haben die Umsetzung der NIS-Richtlinie an die Mitgliedstaaten übertragen, deren Aufgabe darin besteht, wesentliche Dienste festzulegen und Betreiber wesentlicher Dienste in ihrem Hoheitsgebiet zu ermitteln. Daher sind die Mitgliedstaaten gemäß Artikel 5 Absatz 7 verpflichtet, der Kommission die Ergebnisse dieser Ermittlung zu melden. Sowohl die Kommission als auch die durch die Richtlinie eingerichtete Kooperationsgruppe stellten den Mitgliedstaaten Leitfäden im Hinblick auf dieses Verfahren zur Ermittlung der Betreiber bereit, um eine koordinierte Berichterstattung zu ermöglichen.

Nach dem Inkrafttreten der NIS-Richtlinie im August 2016 hatten die Mitgliedstaaten bis zum 9. Mai 2018 Zeit, die erforderlichen nationalen Maßnahmen zur Einhaltung der Bestimmungen dieser Richtlinie zu erlassen. Mit der Richtlinie wird eine Kultur des Risikomanagements in Unternehmen und sonstigen Einrichtungen, die wesentliche Dienste bereitstellen und gemäß Artikel 5 als „Betreiber wesentlicher Dienste“ definiert werden, gefördert. Betreiber, die in den Anwendungsbereich der Richtlinie fallen, sind verpflichtet, geeignete und verhältnismäßige technische und organisatorische Maßnahmen zu ergreifen, um die Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu bewältigen und gravierende Sicherheitsvorfälle an die zuständigen Behörden zu melden.

Die Richtlinie (EU) 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (NIS-Richtlinie) ist das erste Binnenmarktinstrument, das auf die Verbesserung der Widerstandsfähigkeit der EU gegen Cybersicherheitsrisiken abzielt. Die Richtlinie beruht auf Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union und soll die Verfügbarkeit von Diensten sicherstellen, die ein ordnungsgemäßes Funktionieren der europäischen Wirtschaft und Gesellschaft ermöglichen. Dazu werden mit der Richtlinie konkrete Maßnahmen zum EU-weiten Aufbau von Fähigkeiten im Bereich der Cybersicherheit sowie zur Eindämmung der zunehmenden Bedrohungen für die Sicherheit von Netz- und Informationssystemen eingeführt, die wesentliche Dienste in Schlüsselsektoren bereitstellen.

Gemäß Artikel 5 Absatz 7 sollten die Mitgliedstaaten die zur Erstellung dieses Berichts erforderlichen Informationen spätestens bis zum 9. November 2018 übermitteln. Leider haben lediglich 15 Länder bis zu diesem Datum aussagekräftige Daten übermittelt (siehe beigefügte Tabelle in Abschnitt 4.1). Auch nach wiederholten Mahnungen der Kommission blieben beträchtliche Datenlücken bestehen. Die Kommission hat daher am 26. Juli 2019 förmliche Aufforderungsschreiben an sechs Mitgliedstaaten versendet, in denen diese zur Übermittlung der fehlenden Daten innerhalb einer Frist von zwei Monaten aufgefordert wurden.

Gemäß Artikel 5 Absatz 4 der Richtlinie sind die Mitgliedstaaten zudem verpflichtet, in gegenseitige Konsultationen einzutreten, wenn sie feststellen, dass ein Betreiber wesentlicher Dienste diese in mehr als einem Mitgliedstaat bereitstellt. Dieses verbindliche Verfahren soll den Mitgliedstaaten helfen, die möglichen Auswirkungen eines Sicherheitsvorfalls auf grenzüberschreitend tätige Einrichtungen zu beurteilen, und es dient als Sicherheitsmaßnahme für die durch das Verfahren in verschiedenen Mitgliedstaaten betroffenen Unternehmen.

In Erwägungsgrund 23 der NIS-Richtlinie wird ausdrücklich auf die Liste der wesentlichen Dienste als Beitrag zur „Beurteilung der Regelungspraxis der einzelnen Mitgliedstaaten im Hinblick auf das Ziel, ein insgesamt kohärentes Verfahren [...] zu gewährleisten“ verwiesen. Da die von den Mitgliedstaaten erstellten Listen wesentlicher Dienste als Grundlage für die Ermittlung der Betreiber dienen, könnten Unterschiede in den ermittelten Diensten zu einer inkohärenten Ermittlung der Betreiber in den einzelnen Mitgliedstaaten führen, besonders dann, wenn bestimmte Dienste in allen Ländern bereitgestellt, aber nur durch einige Mitgliedstaaten ermittelt werden.

Wie in Abschnitt 1.2 beschrieben, verlangt Artikel 5 Absatz 2 Buchstabe b von den Mitgliedstaaten, im Rahmen des Verfahrens der Ermittlung von Betreibern wesentlicher Dienste, die Abhängigkeit eines Betreibers von Netz- und Informationssystemen zu bewerten. Viele Mitgliedstaaten setzen die Abhängigkeit von Netz- und Informationssystemen in der heutigen digitalen Wirtschaft bei der Anwendung dieser Kriterien als gegeben voraus. Einige Behörden wählen allerdings auch aufwendigere Verfahren, indem sie z. B. ausführliche Bewertungen durchführen oder Betreiber auffordern, den Grad ihrer Abhängigkeit selbst zu evaluieren.

Eine weitere Unterscheidung kann getroffen werden zwischen Mitgliedstaaten, in denen öffentliche Behörden das Verfahren zur Ermittlung durchführen (Abwärtsstruktur bei der Ermittlung) und Mitgliedstaaten, in denen Betreiber auf dem Markt aufgefordert werden, sich selbst im Hinblick auf die Einhaltung der Anforderungen an Betreiber wesentlicher Dienste zu überprüfen (sogenannter von der Basis ausgehender Ansatz oder Selbstermittlung). Damit der letztgenannte Ansatz wirksam funktioniert, müssen die Mitgliedstaaten gemäß Artikel 21 der NIS-Richtlinie Sanktionen festlegen, die hoch genug sind, um Betreiber davon abzubringen, sich nicht zu melden. In den meisten Fällen folgt das Verfahren zur Ermittlung einer Abwärtsstruktur. In der Praxis vertrauen die Behörden häufig jedoch teilweise auf gewisse Aspekte der Selbstprüfung wie Fragebögen, die von potenziellen Betreibern wesentlicher Dienste ausgefüllt werden müssen.

Dezentralisierte Ansätze scheinen andererseits den Dialog zwischen den für Netz- und Informationssysteme zuständigen Behörden (Cybersicherheitsbehörden und sektorale Behörden) zu fördern, wodurch sie die Auswirkungen sektorenübergreifender Abhängigkeiten besser ermitteln können. Darüber hinaus haben sektorale Behörden in der Regel einen tieferen Einblick in die Sektoren als übergeordnete Behörden.

Die meisten Mitgliedstaaten haben entschieden, einen Teil der Entscheidungsfindung im Hinblick auf verschiedene Aspekte des Verfahrens zur Ermittlung auf sektorale Behörden (Ministerien, Dienststellen usw.) zu übertragen. Der Grad der Zentralisierung unterscheidet sich im Einzelfall, doch die meisten Mitgliedstaaten haben eine einzige Behörde benannt, die dafür zuständig ist, den sektoralen Behörden Leitlinien zu bieten und Informationen zusammenzustellen. Einige Länder haben jedoch entschieden, das gesamte Verfahren zur Ermittlung in der Hand einer einzigen Behörde zu belassen. In wenigen Fällen besteht sogar ein ausgesprochen hoher Grad der Dezentralisierung, durch den sektorale Behörden für die Erarbeitung eigener Methoden verantwortlich sind.

Die Unterschiede in den nationalen Methoden sind in folgenden wichtigen Kategorien zu finden: wesentliche Dienste, Nutzung von Schwellenwerten, Grad der Zentralisierung, zuständige Behörden für die Ermittlung und Bewertung der Abhängigkeit von Netz- und Informationssystemen. Aufgrund ihrer Bedeutung für die Bewertung der Kohärenz in der Ermittlung der Betreiber wesentlicher Dienste wurden gesonderte Abschnitte der Analyse wesentlicher Dienste und Schwellenwerte gewidmet. Die anderen Kriterien werden in diesem Abschnitt behandelt.

Die Mitgliedstaaten haben verschiedene Methoden zur Ermittlung der Betreiber ausgearbeitet und dabei von der durch die NIS-Richtlinie ermöglichten Flexibilität Gebrauch gemacht. Aspekte, die Einfluss auf die nationalen Methoden hatte, waren ein bereits vorhandener Rahmen wie z. B. die Richtlinie 2008/114/EG des Rates über kritische Infrastrukturen sowie weitere nationale Vorschriften zu „wichtigen Betreibern“. In diesen Fällen nutzten die Mitgliedstaaten ihre vorherigen Erfahrungen als Referenz und ließen Besonderheiten der NIS-Richtlinie in bestehende Methoden einfließen.

Die in Tabelle 2 und Tabelle 3 aufgeführten Mitgliedstaaten wurden ausschließlich zu Veranschaulichungszwecken und aufgrund ihrer methodischen Ansätze, die einen Vergleich erleichtern, ausgewählt. Die meisten Mitgliedstaaten haben ähnliche Dienste ausgewählt und weisen daher ähnliche „Kohärenzlücken“ auf. Solche „Kohärenzlücken“ wie in den Teilsektoren Elektrizität und Schienenverkehr bestehen de facto in allen Mitgliedstaaten und Sektoren, die in Anhang II der Richtlinie angeführt werden. Diese Inkohärenz ist in erster Linie auf Dienste zurückzuführen, die in einigen, jedoch nicht allen Mitgliedstaaten ermittelt wurden. Die vollständige Liste der Dienste in den Teilsektoren Elektrizität und Schienenverkehr, die alle Mitgliedstaaten einschließen, sind im Anhang dieses Berichts zu finden.

Tabelle 3 stellt die durch vier Länder im Teilsektor Schienenverkehr gewählten Ansätze dar. Während Frankreich eine sehr ausführliche und umfassende Liste der für den Schienenverkehr unerlässlichen Dienste erstellt hat, haben die anderen drei Länder lediglich eine kleine Teilmenge dieser Dienste gewählt. Bei Polen ist es nicht eindeutig, welche Dienste in die Kategorien „Güterschienenverkehr“ und „Personenschienenverkehr“ fallen. Ihre Bezeichnungen wie „Regelung und Kontrolle des Schienenverkehrs“ sind so allgemein, dass die von Frankreich ermittelten Dienste ebenso dazugehören könnten. Es ist darauf hinzuweisen, dass die Kommission nicht über die Mittel verfügt, um solche Fälle genauer zu untersuchen: Die NIS-Richtlinie sieht nicht vor, dass die nationalen Behörden ausführlichere Informationen herausgeben müssen.

Kohärenzlücken wie jene, die in Tabelle 2 ermittelt wurden, sind das Ergebnis unterschiedlicher nationaler Umsetzungen der NIS-Richtlinie und im Fall von Sektoren, die nicht in den Anwendungsbereich von Anhang II fallen (wie Strommärkte) eine Folge des Ansatzes der Mindestharmonisierung. Solche Lücken in der Kohärenz deuten daher nicht zwangsläufig darauf hin, dass Mitgliedstaaten, die einen bestimmten Dienst nicht ermittelt haben, die Bestimmungen der Richtlinie nicht richtig angewendet haben.

Tabelle 2 vergleicht einige der Methoden, mit denen die Mitgliedstaaten wesentliche Dienste im Teilsektor Elektrizität ermittelt haben. Einige Länder (wie Estland) haben einen sehr allgemeinen Oberbegriff verwendet, der die Ermittlung von nahezu jedem Betreiber erlaubt, den das Land im Teilsektor Elektrizität für unerlässlich hält. Andere Länder (wie Bulgarien, Dänemark und Portugal) haben sich für einen deutlich detaillierteren Ansatz entschieden. Bulgarien hat zum Beispiel eine ausgesprochen detaillierte Liste von Diensten erstellt, die sogar einen Dienst (Strommärkte) umfasst, der nicht in den Anwendungsbereich von Anhang II fällt. Dänemark und Portugal haben hingegen einen detaillierten Ansatz verfolgt und bestimmte Dienste nicht in die Liste aufgenommen, die andere Länder berücksichtigt haben. Dies könnte zu ungleichen Ausgangsbedingungen zwischen den Betreibern wesentlicher Dienste im Binnenmarkt führen.

In gewissem Maße spiegeln die in Abbildung 2 gezeigten Zahlen verschiedene methodische Ansätze in den einzelnen Ländern wider. Einige Mitgliedstaaten haben zum Beispiel einen detaillierteren Ansatz für die Ermittlung von Diensten gewählt als andere Mitgliedstaaten, wodurch sich in diesen Mitgliedstaaten eine höhere Anzahl ergeben hat. Die von den Mitgliedstaaten erhaltenen Daten der Kommission weisen eindeutig darauf hin, dass die Unterschiede in den Zahlen auch eine Folge der Inkohärenzen der von den Mitgliedstaaten ausgewählten Ansätze sind, wie die Beispiele der Teilsektoren Elektrizität und Schienenverkehr zeigen:

Die Anzahl der durch die Mitgliedstaaten ermittelten Dienste, die gemäß Anhang II der NIS-Richtlinie an die Kommission gemeldet wurden, variiert zwischen den Mitgliedstaaten erheblich. (Die Anzahl für alle Mitgliedstaaten ist im Anhang in Abschnitt 4.2 zu finden.) Die Anzahl der ermittelten Dienste reicht, wie in Abbildung 1 zu sehen ist, von 12 bis 87, der Durchschnitt pro Mitgliedstaat beläuft sich auf 35 Dienste. Während größere Mitgliedstaaten tendenziell etwas mehr Dienste als kleinere Mitgliedstaaten ermitteln, scheint es keinen unmittelbaren Zusammenhang zwischen der Größe eines Mitgliedstaats und der Anzahl der ermittelten Dienste zu geben. Dies war zu erwarten, da Verbraucher und Unternehmen unabhängig von der Größe eines Landes in der Praxis in allen Mitgliedstaaten normalerweise Zugang zu derselben Art von Diensten haben.

Zwar wenden die meisten Mitgliedstaaten Schwellenwerte für die Ermittlung von Betreibern wesentlicher Dienste an, die Rolle dieser Schwellenwerte unterscheidet sich jedoch im Einzelfall. In Bezug auf sektorübergreifende Schwellenwerte können Schwellenwerte festgelegt werden, die sich auf Folgendes stützen:

·einen einzelnen quantitativen Faktor (z. B. Anzahl der Nutzer, die den Dienst in Anspruch nehmen), um zu bestimmen, ob eine Einrichtung als Betreiber wesentlicher Dienste für einen bestimmten Dienst angesehen wird,

·eine Reihe quantitativer Faktoren (z. B. Anzahl der Nutzer, die den Dienst in Anspruch nehmen plus Marktanteil),

·eine Kombination aus quantitativen und qualitativen Faktoren.

Die Richtlinie sieht zudem vor, dass Mitgliedstaaten zusätzlich zu den sektorübergreifenden auch sektorspezifische Schwellenwerte anwenden dürfen. Dies bietet den nationalen Behörden mehr Freiheit im Verfahren zur Ermittlung, um nationalen und sektoralen Besonderheiten Rechnung zu tragen. Zugleich ruft dies eine sehr komplexe Mischung an Schwellenwerten hervor. Dies könnte negative Auswirkungen auf die generelle Kohärenz der Ermittlung von Betreibern wesentlicher Dienste haben.

Ein Beispiel für die Vielfalt der Ansätze ist in Tabelle 4 angeführt. Es zeigt, dass die von den Mitgliedstaaten im Sektor Digitale Infrastruktur gewählten Schwellenwerte nicht nur quantitativ (in Deutschland wurden zum Beispiel DNS-Anbieter als Betreiber wesentlicher Dienste ermittelt, sofern sie mindestens 250 000 Domänen verwalten, während Polen den Schwellenwert auf nur 100 000 Domänen festgelegt hat), sondern auch qualitativ (zum Beispiel „Anzahl der verbundenen autonomen Systeme“ gegenüber „Marktanteil“) variieren.

Kohärent ausgewählte quantitative Schwellenwerte allein gewährleisten noch nicht die vollständige Kohärenz zwischen den nationalen Ansätzen. Aufgrund der Tatsache, dass Schwellenwerte in einigen Mitgliedstaaten lediglich eines der für die Ermittlung der Betreiber wesentlicher Dienste angewandten Kriterien ist, könnten die Ergebnisse des Verfahrens zur Ermittlung weiterhin sehr unterschiedlich sein, selbst wenn ähnliche Schwellenwerte eingesetzt werden. Einige Mitgliedstaaten nutzen zum Beispiel komplexe Bewertungssysteme mit mehreren Faktoren, die in eine einzige Formel einfließen. Zu solchen Faktoren könnten u. a. die Abhängigkeit einer Einrichtung von Netz- und Informationssystemen oder einige der in Artikel 6 Absatz 1 der NIS-Richtlinie angeführten Faktoren zählen. Darüber hinaus verwenden einige Mitgliedstaaten gar keine Schwellenwerte oder setzen Schwellenwerte nur in einer Vorprüfungsphase zur Bewertung ein. Diese Überlegungen gelten nicht nur für den Sektor Digitale Infrastruktur, sondern auch für alle weiteren in Anhang II einbezogenen Sektoren.

Die Festlegung des richtigen Schwellenwerts kann eine Herausforderung darstellen, besonders in Sektoren, die durch das Bestehen vieler kleiner Betreiber gekennzeichnet sind. Ein Beispiel für eine solche Vielfalt sind die zahlreichen kleineren Gesundheitseinrichtungen (z. B. Kliniken oder ärztliche Notfalldienste), die einer relativ geringen Anzahl an Nutzern wesentliche Dienste zur Verfügung stellen und deren Nichtverfügbarkeit aufgrund eines Sicherheitsvorfalls den Tod eines Patienten verursachen könnte. Ein weiteres Problem tritt auf, wenn die Funktionsfähigkeit der Lieferkette von Diensten abhängig ist, die durch Betreiber bereitgestellt werden, die kleine, aber trotzdem wesentliche Glieder in der Kette darstellen (zum Beispiel in Sektoren wie der Logistik). Ein Mitgliedstaat prüft den Einsatz von mit der Bedeutung oder Kritikalität des bereitgestellten Dienstes verknüpften Kriterien als mögliche Lösung für dieses Problem.





Land Internet-Knoten (IXP) DNS-Anbieter Register der Domänen oberster Stufe (TLD-Register) Einsatz überwiegend sektorspezifischer Schwellenwerte AT Verbundene autonome Systeme > 100 DNS-Auflöser: 88 000 Nutzer; Urheber. DNS: 50 000 Domänen 50 000 Domänen DE Verbundene autonome Systeme > 300 DNS-Auflöser: 100 000 Nutzer; Urheber. DNS: 250 000 Domänen (Dienst nicht ermittelt) DK durchschn. tägliches Datenvolumen > 200 Gbit/s DNS-Auflöser: 100 000 Nutzer; Urheber. DNS: 100 000 Domänen 500 000 Domänen EE (Dienst nicht ermittelt) (Dienst nicht ermittelt) TLD-Register des Landes FI (Dienst nicht ermittelt) (Dienst nicht ermittelt) TLD-Register des Landes und einer Region FR (kein offizieller Schwellenwert) (kein offizieller Schwellenwert) (kein offizieller Schwellenwert) HR Verbundene Mitglieder > 15 DNS-Service für die Top-Level-Domains des Landes TLD-Register des Landes IE (Schwellenwert unbekannt) DNS-Auflöser: 100 Mio. Anfragen/24 Std.; Urheber. DNS: 50 000 Domänen TLD-Register des Landes MT 25 % Marktanteil DNS-Auflöser: 78 000 Anfragen/Tag; Urheber. DNS: 7 800 Domänen 750 000 Anfragen/Tag PL Verbundene autonome Systeme ≥ 100 Urheber. DNS: 100 000 Domänen TLD-Register für mindestens 100 000 Abonnenten SE (Dienst nicht ermittelt) DNS-Auflöser: 100 000 Nutzer; Urheber. DNS: 25 000 Domänen 250 000 Domänen SK Autonomes System (AS), das mindestens zwei weitere AS mit 2 Gbit/s verbindet DNS-Auflöser: 3 Mio. Anfragen/24 Std.; Urheber. DNS: > 1 000 Domänen TLD-Register UK Marktanteil > 50 %, oder Vernetzbarkeit mit globalen Strecken im Internet im Internet ≥ 50 % DNS-Auflöser: 2 000 000 Kunden/Tag;

Urheber. DNS: 250 000 Domänen TLD-Register ≥ 2 Mrd. Anfragen/Tag Einsatz sektorübergreifender Schwellenwerte CY 50 000 Nutzer; oder 5 % der Abonnenten auf dem Markt 50 000 Nutzer; oder 5 % der Abonnenten auf dem Markt 50 000 Nutzer; oder 5 % der Abonnenten auf dem Markt LT Einwohner > 145 000 Einwohner > 145 000 Einwohner > 145 000 LU 100 % Marktanteil 13 500 Verträge 100 % Marktanteil

2.4Anzahl der ermittelten Betreiber

Die Listen wesentlicher Dienste und die Schwellenwerte sind die wichtigsten Bestimmungsfaktoren für eine kohärente Ermittlung der Betreiber wesentlicher Dienste. Die vorangegangenen Abschnitte haben aufgezeigt, dass die Mitgliedstaaten die Bestimmungen der NIS-Richtlinie in beiden Fällen auf unterschiedliche Weise umgesetzt haben. Dies deutet darauf hin, dass in der nachfolgenden Ermittlung der Betreiber wesentlicher Dienste ein Kohärenzproblem auftreten könnte. In diesem Abschnitt wird die Anzahl ermittelter Betreiber in den Sektoren und Teilsektoren des Anhangs II in den Mitgliedstaaten verglichen.

Die Gesamtzahl der durch die Mitgliedstaaten an die Kommission gemeldeten Betreiber wesentlicher Dienste reicht von 20 bis 10 897, bei einem Durchschnitt von 633 Betreibern wesentlicher Dienste pro Mitgliedstaat (die Zahlen für alle Mitgliedstaaten sind in Abschnitt 4.2 im Anhang des vorliegenden Berichts aufgeführt). Insgesamt besteht ein eindeutig positives Verhältnis zwischen der Größe eines Landes und der Anzahl der ermittelten Betreiber. Dies erklärt jedoch die großen Unterschiede der durch die Mitgliedstaaten gemeldeten Zahlen nur unzureichend. Zur Berücksichtigung des Verhältnisses zwischen Größe und Einwohnerzahl vergleicht Abbildung 3 die Anzahl der in den einzelnen Mitgliedstaaten ermittelten Betreiber wesentlicher Dienste pro 100 000 Einwohner. Der Vergleich deutet darauf hin, dass die von den Mitgliedstaaten gewählten Ansätze für die Ermittlung der Betreiber zu sehr unterschiedlichen Ergebnisse geführt haben.

Eine eingehendere Untersuchung der Sektoren und Teilsektoren offenbart erhebliche Unterschiede zwischen einzelnen Mitgliedstaaten in den ermittelten Zahlen in allen in den Anwendungsbereich von Anhang II ( Abbildung 4 ) fallenden Sektoren. Im Energiesektor reicht die Anzahl beispielsweise von 0,3 bis 29 Betreiber pro 1 000 000 Einwohner. Die Zahlen im Bankwesen reichen von 0,07 bis 51 Betreiber pro 1 000 000 Einwohner (Mitgliedstaaten, die keine einzigen Betreiber wesentlicher Dienste in diesem Sektor ermittelt haben, wurden nicht berücksichtigt).