Wenn Sie in den letzten Monaten versucht haben, sich selbst einen Überblick über NIS2 zu verschaffen, ist Ihnen wahrscheinlich ein Widerspruch aufgefallen: Die einen sagen, NIS2 betreffe nur "kritische Infrastruktur" wie Energieversorger und Krankenhäuser. Die anderen warnen, dass praktisch jedes Unternehmen mit mehr als 50 Mitarbeitenden betroffen sei. Beides stimmt – abhängig davon, in welcher Branche Sie tätig sind.
Die zwei Fragen, die eigentlich zählen
Statt sich durch 40 Seiten Richtlinientext zu arbeiten, lohnt es sich, die Frage in zwei Schritte zu zerlegen. Erstens: Fällt Ihre Branche in einen der 18 in NIS2 gelisteten Sektoren (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, verarbeitendes Gewerbe, Post- und Kurierdienste, öffentliche Verwaltung)? Zweitens: Erreicht Ihr Unternehmen die Schwellenwerte – in der Regel mindestens 50 Mitarbeitende oder mindestens 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme? Nur wenn beides zutrifft, sind Sie in Deutschland nach aktuellem Stand direkt NIS2-pflichtig.
Direkt vs. indirekt betroffen – der Unterschied, der oft übersehen wird
Hier liegt der Punkt, an dem viele kleine Unternehmen sich zu früh entspannen. Auch wenn Sie selbst unter den Schwellenwerten liegen, kann NIS2 Sie indirekt betreffen: Direkt verpflichtete Unternehmen müssen die Sicherheit ihrer eigenen Lieferkette bewerten – und geben diesen Druck über Sicherheitsfragebögen und Vertragsklauseln an ihre Zulieferer weiter. Ein 15-Personen-IT-Dienstleister, der für einen NIS2-pflichtigen Automobilzulieferer arbeitet, bekommt die Anforderungen also faktisch vertraglich aufgezwungen, auch ohne selbst unter das Gesetz zu fallen.
Was NIS2 konkret verlangt, wenn man betroffen ist
Kern der Richtlinie sind zehn Mindestmaßnahmen, im deutschen Umsetzungsgesetz (BSIG) in §30 verankert: Risikoanalyse und Sicherheitskonzept, Vorfallsbewältigung, Business Continuity, Lieferkettensicherheit, Sicherheit bei Beschaffung und Entwicklung, Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulung, Kryptografie und Verschlüsselung, Personalsicherheit und Zugriffskontrolle, sowie Multi-Faktor-Authentifizierung und sichere Kommunikation. Dazu kommt eine Meldepflicht: erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden mit einer detaillierteren Meldung an das BSI gemeldet werden.
Was NIS2 nicht verlangt (drei verbreitete Mythen)
Erstens: NIS2 schreibt keine ISO-27001-Zertifizierung vor. Eine Zertifizierung kann helfen, die Anforderungen nachzuweisen, ist aber keine gesetzliche Pflicht. Zweitens: NIS2 verlangt keinen externen Auditor für die Ersteinschätzung – die Selbsteinschätzung der Betroffenheit können Unternehmen intern vornehmen, auch ohne Beratervertrag. Drittens: Die Bußgelder (bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes) treffen in der Praxis vor allem Unternehmen, die überhaupt keine Maßnahmen ergreifen – nicht solche, die nachweisbar an der Umsetzung arbeiten, auch wenn diese noch nicht vollständig ist.
Statt weiterzulesen: einfach nachrechnen lassen
Der kostenlose Betroffenheits-Check beantwortet die Frage für Ihr konkretes Unternehmen in etwa drei Minuten.