NIS-2: Ist mein Unternehmen betroffen?

Die europäische NIS-2-Richtlinie erweitert den Kreis der Unternehmen, die verbindliche Pflichten zur Cybersicherheit erfüllen müssen, deutlich. In Deutschland wird sie über das NIS-2-Umsetzungsgesetz in das BSI-Gesetz überführt. Viele mittelständische Unternehmen fragen sich deshalb zum ersten Mal, ob sie betroffen sind.

Maßgeblich sind der Sektor und die Größe. Die Richtlinie unterscheidet Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur und Verwaltung von IKT-Diensten, sowie sonstige kritische Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter.

Bei der Größe gilt grundsätzlich: Ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme kann ein Unternehmen in einem dieser Sektoren erfasst sein. Daraus ergibt sich die Einstufung als wichtige oder besonders wichtige Einrichtung. Für einige Anbieter, etwa bestimmte DNS- oder Vertrauensdienste, gilt die Pflicht unabhängig von der Größe.

Gerade der letzte Punkt ist neu: Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen. Verstöße können zu empfindlichen Bußgeldern führen.

Wer selbst nicht unter die Richtlinie fällt, aber Kunden aus regulierten Sektoren beliefert, spürt NIS-2 trotzdem. Die Sicherheit der Lieferkette ist ausdrücklich Teil des Risikomanagements, und betroffene Kunden geben Anforderungen an ihre Dienstleister weiter.

Am Anfang steht eine strukturierte Betroffenheitsprüfung: Sektor, Größe und Geschäftsbeziehungen werden dokumentiert. Darauf folgt eine Gap-Analyse der vorhandenen Sicherheitsmaßnahmen. So entsteht eine realistische Roadmap, statt eines Aktenordners, der im Regal verstaubt.