Leitfaden · NIS-2
NIS-2 — sind Sie betroffen?
Die Richtlinie betrifft geschätzt 30.000 Unternehmen in Deutschland — viele davon wissen es nicht. Diese Seite klärt in drei Fragen, ob Sie dazugehören.
Seit Oktober 2024 gilt in der EU die zweite Richtlinie zur Netzwerk- und Informationssicherheit, kurz NIS-2. Sie erweitert den Kreis der betroffenen Unternehmen erheblich — von rund 2.000 auf geschätzt 30.000 Einrichtungen allein in Deutschland. Viele Betriebe, die sich nie als kritische Infrastruktur verstanden haben, fallen jetzt darunter.
Sind Sie betroffen? Drei Fragen genügen für die erste Einschätzung
Die Richtlinie knüpft an zwei Bedingungen an, die beide erfüllt sein müssen: die Branche und die Unternehmensgröße.
1. Fällt Ihre Branche darunter?
Die Richtlinie unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Zur ersten Gruppe zählen Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienstleister, Weltraum und öffentliche Verwaltung. Zur zweiten Gruppe gehören Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Medizinprodukte, Datenverarbeitungsgeräte, Elektro, Maschinenbau, Kraftfahrzeuge), digitale Dienste und Forschung.
Der letzte Punkt trifft viele Mittelständler unerwartet: Wer Maschinen baut, Elektronik fertigt oder Medizinprodukte herstellt, ist im Zweifel dabei.
2. Wie groß sind Sie?
| Größe | Mitarbeitende | Umsatz / Bilanz | Folge |
|---|---|---|---|
| Groß | ab 250 | über 50 Mio. € Umsatz | besonders wichtige Einrichtung |
| Mittel | 50 bis 249 | über 10 Mio. € Umsatz | wichtige Einrichtung |
| Klein | unter 50 | unter 10 Mio. € | in der Regel nicht betroffen |
Von dieser Größenregel gibt es Ausnahmen: Bestimmte Anbieter — etwa Betreiber öffentlicher Telekommunikationsnetze oder Vertrauensdiensteanbieter — fallen unabhängig von ihrer Größe darunter.
3. Beliefern Sie jemanden, der betroffen ist?
Auch wenn Sie selbst nicht unter die Richtlinie fallen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette steuern. Das reichen sie an Sie weiter — in Form von Fragebögen, Vertragsklauseln und Nachweispflichten. In der Praxis erreicht NIS-2 damit deutlich mehr Betriebe, als der Gesetzestext vermuten lässt.
„Wir sind zu klein" stimmt nur, wenn Sie beide Größenkriterien unterschreiten und niemanden beliefern, der betroffen ist. Prüfen Sie die zweite Bedingung, bevor Sie das Thema abhaken.
Was verlangt die Richtlinie konkret?
Artikel 21 nennt zehn Mindestmaßnahmen. Keine davon ist überraschend — überraschend ist eher, wie wenige Betriebe sie belegen können:
- Konzepte für Risikoanalyse und Informationssicherheit
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung
- Bewertung der Wirksamkeit der Maßnahmen
- Schulung und grundlegende Cyberhygiene
- Einsatz von Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle, Verwaltung von Werten
- Mehr-Faktor-Authentifizierung und gesicherte Kommunikation
Die Meldepflichten — und ihre Fristen
Bei einem erheblichen Sicherheitsvorfall gilt ein dreistufiges Verfahren:
| Frist | Was zu tun ist |
|---|---|
| 24 Stunden | Frühwarnung an die zuständige Stelle — auch wenn noch wenig bekannt ist |
| 72 Stunden | Meldung mit erster Bewertung von Schwere, Auswirkungen und Ursache |
| 1 Monat | Abschlussbericht mit Ursachen, Maßnahmen und grenzüberschreitenden Auswirkungen |
Diese Fristen laufen ab dem Zeitpunkt, an dem Sie Kenntnis erlangen — nicht ab der vollständigen Aufklärung. Wer keinen festgelegten Meldeweg hat, verliert die ersten Stunden mit der Frage, wer überhaupt melden darf.
Was neu ist: die Haftung der Geschäftsleitung
NIS-2 nimmt die Leitungsebene ausdrücklich in die Pflicht. Die Geschäftsführung muss die Maßnahmen billigen, überwachen und sich schulen lassen — und haftet bei Pflichtverletzungen persönlich. Das lässt sich nicht an die IT delegieren, auch nicht an einen externen Dienstleister.
Klären Sie zuerst die Betroffenheit schriftlich — mit Begründung, nicht nach Bauchgefühl. Wenn Sie betroffen sind, folgen drei Dinge in dieser Reihenfolge: ein benannter Meldeweg mit Vertretung, eine belegbare Bestandsaufnahme entlang der zehn Maßnahmen, und ein Plan mit Terminen. Die Bestandsaufnahme ist der Teil, der am längsten dauert — und den eine Prüfung zuerst sehen will.
Was passiert bei Verstößen?
Für besonders wichtige Einrichtungen sieht die Richtlinie Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Grenze bei 7 Millionen Euro oder 1,4 %. Hinzu kommen Anordnungen, Prüfungen und im Extremfall das vorübergehende Verbot, Leitungsaufgaben auszuüben.
In der Praxis ist allerdings selten das Bußgeld das erste Problem. Häufiger ist es der Kunde, der einen Nachweis verlangt, den niemand liefern kann.
Unsicher, ob NIS-2 für Sie gilt?
Die Betroffenheit lässt sich in einem Gespräch klären — und die Bestandsaufnahme entlang der zehn Maßnahmen ist genau das, was ein Audit leistet.
Termin für ein Erstgespräch