NIS2 in Zypern: wesentliche und wichtige Einrichtungen richtig einordnen

Mit dem geänderten zyprischen Gesetz von 2025 beginnen

Zypern hat NIS2 mit der Änderung des Gesetzes über die Sicherheit von Netz- und Informationssystemen 89(I)/2020 im Jahr 2025 umgesetzt. Ein zyprisches Unternehmen sollte seine Einordnung anhand der konsolidierten nationalen Fassung vornehmen, insbesondere der Artikel 2A, 27, 35, 35A und 35B sowie der Anhänge I und II. Die EU-Richtlinie erklärt die Struktur, beantwortet aber nicht jede nationale Frage zu Anwendungsbereich, Behördenverfahren und Meldezeit. Die Behörde für digitale Sicherheit identifiziert und bezeichnet wesentliche und wichtige Einrichtungen. Legen Sie eine datierte Fassung des Gesetzes, die benutzten Anhänge und sämtliche Mitteilungen der Behörde in einer nachvollziehbaren Akte ab.

Die erste Frage lautet nicht, ob die Gesellschaft eine IT-Abteilung hat oder personenbezogene Daten verarbeitet. Entscheidend ist, ob ihre tatsächliche Dienstleistung zu einem gesetzlich genannten Einrichtungstyp gehört und ob Größenregel oder Ausnahme sie erfasst. Ein gewöhnlicher Einzelhändler, der Cloudsoftware benutzt, ist damit nicht selbst Anbieter von Cloud-Computing-Diensten. Ein Managed-Service-Provider, der Kundensysteme betreibt, sollte NIS2 dagegen nicht allein wegen einer kleinen eigenen Belegschaft ausschließen. Beschreiben Sie die Leistung gegenüber Dritten, die Verträge und die leistende juristische Person, bevor Sie einen Branchenbegriff aus einer Präsentation übernehmen. Bei mehreren Geschäftslinien braucht jede eine eigene Zuordnung.

Die rechtliche Einstufung ist keine Sicherheitszertifizierung. Ein Unternehmen außerhalb des NIS2-Anwendungsbereichs kann weiterhin Pflichten aus DSGVO, Fachrecht, Verträgen oder Produktsicherheitsregeln haben. Ein erfasstes Unternehmen benötigt umgekehrt wirksame Risikosteuerung und Vorfallmeldungen, nicht nur eine Seite mit dem Wort „wesentlich“. Dieser Leitfaden behandelt die Einordnung und die ersten Schritte. Bei einem Hersteller vernetzter Software sind die Regeln der Cyberresilienz-Verordnung separat zu prüfen; eine NIS2-Klassifizierung ersetzt diese produktbezogene Analyse nicht. Halten Sie die Grenze der Untersuchung ausdrücklich fest, damit die Geschäftsleitung keine falsche Gesamtfreigabe daraus ableitet.

Weiterführend: Leitfaden zur Cyberresilienz-Verordnung.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Behörde für digitale Sicherheit: Mitteilung zur NIS2-Umsetzung in Zypern; Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 21 und 23, Anhänge I und II

Die konkrete Dienstleistung einer Zeile des Anhangs zuordnen

Anhang I enthält Sektoren hoher Kritikalität, darunter Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, unternehmensbezogene IKT-Dienstleistungsverwaltung, öffentliche Verwaltung und Weltraum. Anhang II umfasst andere kritische Sektoren, etwa Post und Kurier, Abfall, Chemikalien, bestimmte Lebensmittelproduktion und Großhandel, ausgewählte Industrie, digitale Anbieter und Forschung. Jede Überschrift ist durch konkrete Einrichtungstypen und Definitionen eingeschränkt. Zitieren Sie im Einstufungsvermerk die exakte Tabellenzeile und Tätigkeit, nicht bloß ein weites Wort wie „Technologie“, „Gesundheit“ oder „Logistik“. Ein Marketingetikett ist kein Ersatz für die gesetzliche Beschreibung.

Zu Anhang I zählen unter anderem Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, DNS-Diensten sowie Managed-Service- und Managed-Security-Service-Provider. Prüfen Sie deren Definition gegen das tatsächlich angebotene Leistungsmodell, die Infrastruktur, Kundenverträge und den Betrieb von Kundensystemen. Ein Softwarehersteller, der nur eine App verkauft, ist nicht automatisch ein Managed-Security-Anbieter; eine Firma, die Netzwerke ihrer Kunden betreibt, kann dagegen ein solcher Dienstleister sein. Beim Lebensmittelbereich des Anhangs II geht es um bestimmte Unternehmen der industriellen Produktion, Verarbeitung und Großhandelsverteilung, nicht um jedes Café. Die Grenzen der Tabellenzeile sind ebenso wichtig wie der Sektorname.

Erstellen Sie je zyprischer Gesellschaft eine Dienstleistungskarte: Angebot, Kunden, Vertragspartner, Standorte, unterstützende Systeme, ausgelagerte Betreiber und bediente Mitgliedstaaten. Eine Unternehmensgruppe sollte nicht ihre Marke mit einer einzigen juristischen Person verwechseln. Eine Gruppengesellschaft kann selbst erfasste IKT-Dienste anbieten, während eine Schwester diese nur einkauft. Ein gemischtes Geschäft kann durch eine kleine, aber erfasste Dienstleistung in den Anwendungsbereich gelangen, obwohl eine andere Tätigkeit den meisten Umsatz erzeugt. Dokumentieren Sie auch verworfene Anhangszeilen. Nach Übernahme, neuem Cloudangebot oder Wechsel des Betriebsmodells kann die alte Entscheidung sonst nicht gezielt überprüft werden.

Weiterführend: Leitfaden zum Cloudwechsel nach Data Act.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 21 und 23, Anhänge I und II

Größenregel und Ausnahmen getrennt anwenden

Artikel 2A Absatz 1 erfasst grundsätzlich Typen aus Anhang I oder II, die nach der EU-Empfehlung für KMU als mittlere Unternehmen gelten oder deren Obergrenzen überschreiten und in der Union tätig sind. Die Empfehlung arbeitet mit Beschäftigtenzahl und finanziellen Kennzahlen. Bei der Berechnung müssen Partner- und verbundene Unternehmen berücksichtigt werden; eine bloße Zahl der Mitarbeiter auf der zyprischen Gehaltsliste kann täuschen. Sammeln Sie aktuelle Beschäftigte, Umsatz, Bilanzsumme und Eigentumsverhältnisse und dokumentieren Sie die angewandte Berechnung. Die zyprische Vorschrift enthält eine besondere Nichtanwendung von Artikel 3 Absatz 4 des Empfehlungsanhangs; prüfen Sie den nationalen Wortlaut bei öffentlich kontrollierten Strukturen gesondert.

Kleine Größe ist keine allgemeine Freistellung. Artikel 2A Absatz 2 nennt größenunabhängige Wege für bestimmte öffentliche elektronische Kommunikation, Vertrauensdienste, TLD-Register und DNS-Dienste. Ebenso können der einzige Anbieter einer wesentlichen Dienstleistung und Unternehmen mit erheblichen Auswirkungen auf Sicherheit, Gesundheit, öffentliche Ordnung oder systemische beziehungsweise regionale Risiken erfasst werden. Weitere Bestimmungen behandeln öffentliche Verwaltung, kritische Einrichtungen und Anbieter von Domainnamenregistrierung. Gehen Sie jede einschlägige Ausnahme einzeln durch und notieren Sie warum sie greift oder nicht. Ein kleiner Anbieter für kritische Kunden darf sich nicht ausschließlich auf seine Mitarbeiterzahl verlassen.

Umgekehrt wird nicht jeder Lieferant eines Krankenhauses automatisch selbst wesentliche Gesundheitseinrichtung. Die eigene Leistung des Lieferanten ist zunächst gegen den Anhang zu prüfen; sie kann möglicherweise über IKT-Verwaltung oder eine andere Zeile erfasst sein. Verlassen Sie sich weder auf ein Werbeversprechen „zu klein für NIS2“ noch auf einen fremden Online-Rechner ohne nationale Prüfung. Aktualisieren Sie die Zahlen nach Zusammenschluss, neuen Dienstleistungen, anderem Markt oder bedeutendem Wachstum. Eine datierte Berechnung mit Belegen und Negativentscheidungen ist für spätere Behördenfragen nützlicher als ein dauerhaftes Ja/Nein-Feld im Kundenmanagementsystem.

Weiterführend: DSA-Leitfaden zu Plattformmeldungen.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Empfehlung 2003/361/EG der Kommission zur Definition kleiner und mittlerer Unternehmen; Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 21 und 23, Anhänge I und II

Wesentliche und wichtige Einrichtungen unterscheiden

Artikel 27 ordnet bestimmte Einrichtungen aus Anhang I oberhalb der Schwelle eines mittleren Unternehmens als wesentlich ein. Hinzu kommen unter anderem qualifizierte Vertrauensdienste, TLD-Register und DNS-Dienste unabhängig von der Größe sowie bestimmte öffentliche elektronische Kommunikation, Verwaltung und als kritisch bestimmte Einrichtungen. Andere erfasste Einrichtungen aus Anhang I oder II, die nicht als wesentlich gelten, sind grundsätzlich wichtig. Die beiden Begriffe entsprechen deshalb nicht schlicht Anhang I und Anhang II. Ein mittelgroßer Cloudanbieter kann eine wichtige Einrichtung sein, sofern nicht ein besonderer Weg zur wesentlichen Einstufung führt. Prüfen Sie jede Tatbestandsvariante, statt nur einen Sektor zu lesen.

Die Behörde für digitale Sicherheit kann Einrichtungen nach nationalen Kriterien der Kritikalität benennen. Nach Artikel 27 wird die nationale Liste durch einen vertraulichen Beschluss des Ministerrats genehmigt; die Behörde stellt die Benennungsentscheidung der Einrichtung zu. Die Liste ist kein allgemein zugängliches Onlineverzeichnis. Wenn eine Firma ihren Namen auf einer Website nicht findet, beweist das keine Freistellung. Bewahren Sie Zustellungen und frühere Korrespondenz auf, fragen Sie bei unklarer Einordnung nach dem offiziellen Kontaktweg und veröffentlichen Sie keinen nicht belegten Behördenstatus. Ein selbst erstellter Einstufungsvermerk muss von einer tatsächlichen behördlichen Benennung klar unterschieden werden.

Wesentliche und wichtige Einrichtungen brauchen beide Risikomanagement und Meldungen erheblicher Vorfälle. Ihre Aufsicht unterscheidet sich: Die nationale Behörde erläutert für wesentliche Einrichtungen eine vorausschauende und nachträgliche Aufsicht, für wichtige grundsätzlich eine nachträgliche. Die Geschäftsleitung sollte daher zwei Fragen getrennt beantworten: Ist die Gesellschaft im Anwendungsbereich, und welcher Status ergibt sich aus Gesetz, Mitteilung oder begründeter vorläufiger Einordnung? Solange ein Grenzfall offen ist, sollten Basiskontrollen und Meldebereitschaft nicht warten. Dokumentieren Sie Eigentümer der Entscheidung, Datum, Quellen und Ereignisse, die eine Neubewertung auslösen.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 21 und 23, Anhänge I und II

Die Behörde über neue oder übersehene Einrichtungen informieren

Das zyprische Gesetz verpflichtet die Behörde, eine Liste wesentlicher und wichtiger Einrichtungen sowie bestimmter Domainregistrierungsdienste zu führen und regelmäßig zu aktualisieren. Artikel 27 Absatz 4 betrifft Angaben zu Name, Adresse und Kontakten, Anhangssektor und Teilsektor sowie den Mitgliedstaaten, in denen die jeweilige Dienstleistung erbracht wird. Änderungen übermittelter Daten sind ohne Verzögerung, jedenfalls binnen zwei Wochen, mitzuteilen. Halten Sie ein kontrolliertes Kontaktregister. Ein neuer Ansprechpartner, eine weitere Betriebsregion oder eine Umstrukturierung darf nicht in einem gemeinsamen Postfach verschwinden, während die behördliche Akte alte Angaben enthält.

Artikel 27B verpflichtet neu gegründete und zuvor nicht gelistete Einrichtungen innerhalb des Artikels 2A, die Behörde zu ihrer Beurteilung zu informieren. Artikel 27A sieht zusätzlich für neue potenziell wesentliche oder wichtige Einrichtungen eine frühzeitige Anfrage nach Stellungnahme oder Orientierung zu Sicherheitsmaßnahmen bei der Gestaltung ihrer Computerinfrastruktur vor. Ein Start-up mit einem erfassten digitalen Dienst sollte nicht erst nach Aufbau des gesamten Betriebs auf einen Benennungsbrief warten. Ermitteln Sie den aktuellen offiziellen Kommunikationskanal, schildern Sie die konkrete Tätigkeit und sichern Sie Übermittlungsnachweis sowie Antwort. Die Pflicht zur Information ist keine erfundene pauschale Registrierung für jedes Unternehmen.

Erfinden Sie keine starre allgemeine Anmeldefrist und verwenden Sie kein Portal eines anderen Mitgliedstaats. Prüfen Sie die aktuellen Hinweise und Beschlüsse der zyprischen Behörde im Zeitpunkt der Kontaktaufnahme. Die Länderseite der Kommission nennt die zuständige zyprische Stelle, ist jedoch ein Überblick über die Umsetzung und ersetzt nicht das später geänderte nationale Gesetz. Widersprüchliche Statusangaben in einem europäischen Fortschrittsmonitor dürfen den konsolidierten Gesetzestext nicht verdrängen. Halten Sie im Vorgang fest, welche Frage Sie gestellt, welche Unterlagen Sie gesendet und welche Antwort Sie erhalten haben. Bei ausbleibender Antwort bleibt die eigene risikobasierte Vorbereitung notwendig.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Behörde für digitale Sicherheit: Mitteilung zur NIS2-Umsetzung in Zypern; Europäische Kommission: NIS2-Umsetzung in Zypern und Behördenkontakt

Aus der Einstufung ein von der Leitung getragenes Programm machen

Für erfasste Einrichtungen verlangt Artikel 35 verhältnismäßige technische, betriebliche und organisatorische Maßnahmen gegen Risiken für Netz- und Informationssysteme und für Leistungsempfänger. Genannt werden Risikoanalyse, Vorfallbehandlung, Kontinuität und Wiederherstellung, Lieferkettensicherheit, sicherer Erwerb und Entwicklung, Umgang mit Schwachstellen, Wirksamkeitsprüfungen, Cyberhygiene und Schulung, Kryptografie, Zugriffs- und Anlagenverwaltung sowie Mehrfaktor- oder fortlaufende Authentifizierung. Inventarisieren Sie zuerst die konkrete Dienstleistung, Systeme, Lieferanten und Ausfallmöglichkeiten. Ein generisches Paket mit dem Aufkleber „NIS2-konform“ zeigt nicht, welche Maßnahmen im tatsächlichen Betrieb erforderlich und wirksam sind.

Artikel 35A macht das Leitungsorgan für Genehmigung und Überwachung der Maßnahmen verantwortlich und verlangt Schulung der Leitung sowie regelmäßige Mitarbeiterschulung. Setzen Sie Cyberrisiken mit Budget, Entscheidungsprotokoll, verantwortlicher Person und Fristen auf die Tagesordnung. Prüfen Sie, ob Backups tatsächlich wiederhergestellt wurden, wichtige Lieferanten Vorfälle mitteilen, privilegierte Konten stark authentifiziert sind und eine Rufbereitschaft eine rechtliche Meldeentscheidung treffen kann. Eine Sammlung von Richtlinien ohne geübten Betrieb ist schwächer als nachvollziehbare Belege. Passen Sie die Kontrollen an Art und Schwere des Risikos und an anwendbare Behördenentscheidungen an.

Bei Einrichtungen mit anderem Fachrecht sollten Anforderungen zugeordnet werden, statt automatische Verdrängung zu behaupten. Ein Finanzunternehmen kann DORA-Pflichten haben; bei personenbezogenen Daten kann die DSGVO eine weitere Meldung verlangen; ein Hersteller vernetzter Produkte kann zusätzlich produktbezogene Sicherheitsregeln erfüllen müssen. Artikel 2A enthält außerdem eine spezielle Regel für gleichwertige sektorale EU-Rechtsakte. Prüfen Sie deren genaue Voraussetzungen im Einzelfall. Ein und derselbe Vorfall kann mehrere Uhren auslösen. Benennen Sie für jedes Regime einen juristischen Eigentümer und verbinden Sie die Prüfung mit einem einzigen technischen Ereignisprotokoll, damit die Überschneidung nicht erst während eines Ausfalls entdeckt wird.

Weiterführend: Leitfaden zur DSGVO-Meldung.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 21 und 23, Anhänge I und II

Die Vorfalltriage an der zyprischen Meldeuhr ausrichten

Artikel 35B definiert einen erheblichen Vorfall unter anderem durch schwere oder mögliche Betriebsunterbrechung oder finanziellen Verlust beziehungsweise erhebliche materielle oder immaterielle Schäden für andere. Wesentliche und wichtige Einrichtungen müssen der Behörde eine Frühwarnung ohne unangemessene Verzögerung, jedenfalls binnen sechs Stunden ab Kenntnis eines erheblichen Vorfalls, übermitteln. Die weitere Vorfallmeldung folgt grundsätzlich binnen 72 Stunden mit erster Bewertung, der Abschlussbericht grundsätzlich binnen eines Monats nach dieser Meldung. Für einschlägige Vorfälle qualifizierter Vertrauensdienste besteht eine besondere 24-Stunden-Regel. Prüfen Sie aktuelle Entscheidungen der Behörde zu Format, Kanal und sektorspezifischen Vorgaben.

Die zyprische Sechs-Stunden-Frist wird leicht übersehen, weil europäische Zusammenfassungen zu NIS2 häufig 24 Stunden nennen. Ein Einsatzplan für eine in Zypern erfasste Einrichtung muss den geltenden nationalen Text und etwaige Fachvorgaben zugrunde legen. Bestimmen Sie rund um die Uhr erreichbare technische und rechtliche Kontakte, Ersatzkanäle und eine Person, die den Schwellenwert entscheiden kann. Erfassen Sie Beginn der Kenntnis, betroffene Dienstleistung, bisherige Auswirkungen und offene Fakten. Für die Frühwarnung ist keine vollständige Ursachenanalyse nötig. Wer auf perfekte forensische Gewissheit wartet, kann die gesetzliche Frist trotz guter technischer Arbeit verpassen.

Nicht jeder Malware-Alarm ist schon ein erheblicher Vorfall nach Artikel 35B. Ein Datenschutzereignis kann zudem nach DSGVO oder Vertrag meldepflichtig sein, obwohl die NIS2-Schwelle nicht erreicht ist. Dokumentieren Sie betroffene Dienste, tatsächliche und mögliche Unterbrechung, Kunden, grenzüberschreitende Folgen, Kenntniszeit und die Gründe der Entscheidung. Artikel 35B behandelt auch eine angemessene Information der Leistungsempfänger. Üben Sie einen realistischen nächtlichen Vorfall: Kann die Gruppe Schwellen prüfen, freigeben und über den richtigen Kanal melden, ohne auf den nächsten Arbeitstag zu warten? Wer nur den Rechtsträger einordnet, aber keine Ereignisse rechtzeitig bewerten kann, hat das Programm nicht abgeschlossen.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 21 und 23, Anhänge I und II

Die Entscheidung mit einer überprüfbaren Akte abschließen

Ein belastbarer NIS2-Vermerk enthält fünf Anlagen: genaue Anhangszeile und Dienstleistungsbeschreibung; Größenberechnung einschließlich relevanter Beteiligungen; Prüfung aller größenunabhängigen Wege; behördliche Korrespondenz oder Benennung; und einen von der Leitung freigegebenen Maßnahmenplan. Datieren Sie die Quellen und die verwendete Fassung des zyprischen Gesetzes. Bei einem Ergebnis außerhalb des Anwendungsbereichs nennen Sie ausdrücklich die Tatsachen, die es ändern würden: etwa Beginn von Managed Services, Überschreiten der Größenschwelle oder nationale Einstufung als kritisch. So wird eine spätere Überprüfung schneller und hängt weniger von der Erinnerung einer einzelnen Compliance-Person ab.

Testen Sie Grenzfälle anhand wirklicher Verträge. Ein Unternehmen, das Buchhaltungssoftware nur lizenziert, hat ein anderes Profil als eines, das Kundennetze als Managed Service betreibt. Eine private Klinik kann durch ihre eigene Gesundheitsleistung zu Anhang I gehören; ihr ausgelagerter Cloudlieferant wird anhand seiner eigenen Tätigkeit und Größe oder Ausnahme geprüft. Ein Großhändler für Lebensmittel kann zu Anhang II gehören, ein kleines Café nicht automatisch. Das sind Prüfbeispiele, keine pauschalen Entscheidungen. Der gesetzliche Einrichtungstyp, das Geschäftsmodell, Gruppendaten und eine mögliche Benennung der Behörde bestimmen das Ergebnis. Erfassen Sie Gegenargumente vor Unterzeichnung.

Lassen Sie Rechtsberatung, Sicherheit, Betrieb und verantwortliche Geschäftseinheit die Beschreibung der Dienstleistung gemeinsam kritisch prüfen. Kontaktieren Sie die Behörde, wenn Identifizierung oder Informationspflicht unklar bleiben. Setzen Sie jährliche und anlassbezogene Nachprüfung an; für erfasste Einrichtungen braucht das Leitungsorgan einen Eigentümer für Risiken und Maßnahmen. Vermeiden Sie eine öffentliche Behauptung, das Unternehmen sei „NIS2-zertifiziert“: Das Gesetz schafft Pflichten und Aufsicht, kein universelles Zertifikat. Entscheidend ist, ob die richtige Gesellschaft identifiziert, die Behörde gegebenenfalls informiert und das Sicherheits- und Meldeverfahren durch Nachweise belegt werden kann.

Weiterführend: Data-Act-Leitfaden für Cloudverträge.

Rechtsgrundlage und Hinweise: Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung; Empfehlung 2003/361/EG der Kommission zur Definition kleiner und mittlerer Unternehmen; Europäische Kommission: NIS2-Umsetzung in Zypern und Behördenkontakt

Primärquellen und Geltungsbereich

Quellenabgleich: 8. Oktober 2026. Dieser Leitfaden bezieht sich auf die Republik Zypern. Beispiele sind hypothetisch und keine Kundenfälle. Prüfen Sie vor einer Einreichung die aktuellen amtlichen Anforderungen.

• Zyprisches Gesetz über die Sicherheit von Netz- und Informationssystemen 89(I)/2020, konsolidierte griechische Fassung
• Behörde für digitale Sicherheit: englische konsolidierte Fassung des Gesetzes 89(I)/2020 mit Änderung 60(I)/2025
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 21 und 23, Anhänge I und II
• Empfehlung 2003/361/EG der Kommission zur Definition kleiner und mittlerer Unternehmen
• Behörde für digitale Sicherheit: Mitteilung zur NIS2-Umsetzung in Zypern
• Europäische Kommission: NIS2-Umsetzung in Zypern und Behördenkontakt

Praktische Leitfäden zu diesem Thema

• DORA-Verträge mit IKT-Dienstleistern in Zypern: Artikel-30-Checkliste

  Prüfen Sie DORA-Artikel 30 für zyprische Finanzunternehmen: Grundklauseln, kritische Funktionen, Unterauftragnehmer, Ausstieg und CySEC-Register.