Mit dem NIS-2-Umsetzungsgesetz, das Mitte November im Bundestag beschlossen wurde, nimmt die europäische Cybersicherheitsrichtlinie nun auch in Deutschland ganz konkret Gestalt an. Für viele Unternehmen bedeutet das einen tiefgreifenden Wandel, der oft erst auf den zweiten Blick sichtbar wird.
Was zuvor als europäische Vorgabe noch in weiter Ferne schien, befindet sich nun auf dem Weg in nationales Recht. Die Anforderungen werden mit dem endgültigen Gesetzesbeschluss zeitnah wirksam werden. Die Erwartungen an Sicherheitsniveau und Resilienz steigen spürbar, ebenso wie die Bedrohungslage durch immer professionellere Cyberangriffe. Unternehmen stehen damit an einem Wendepunkt: Es ist an der Zeit, die neuen Vorgaben systematisch umzusetzen und Cybersicherheit als festen Bestandteil ihrer Zukunftsfähigkeit zu begreifen.
Wer ist von NIS 2 betroffen?
Das Gesetz richtet sich an „wesentliche“ und „wichtige“ Einrichtungen aus insgesamt 18 kritischen und wichtigen Sektoren – von Energieversorgung, Transport und Gesundheitswesen über kritische Infrastrukturen und öffentliche Verwaltung bis hin zu Abfallwirtschaft, Produktion und weiteren zentralen Wirtschaftsbereichen. Doch die Einordnung erfolgt nicht allein über den Sektor. Entscheidend sind auch wirtschaftliche Kennzahlen: Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz von mindestens 10 Millionen Euro rücken in vielen Fällen auch in den Anwendungsbereich.
Damit erweitert sich der Kreis der verpflichteten Organisationen deutlich. Schätzungen gehen davon aus, dass die Richtlinie in Deutschland über 30.000 Unternehmen betrifft, darunter zahlreiche, die bislang kaum Berührungspunkte mit regulatorischer Cybersicherheit hatten. Genau hier liegt eine der größten Herausforderungen: Viele Unternehmen erkennen ihre eigene Betroffenheit erst spät oder unterschätzen deren Tragweite, obwohl die Anforderungen unmittelbare Auswirkungen auf Prozesse, Strukturen und Verantwortlichkeiten haben.
Wie Sie feststellen, ob Ihre Organisation unter NIS-2 fällt
Bevor konkrete Maßnahmen geplant werden können, gilt es zunächst zu verstehen: Bin ich überhaupt von NIS-2 betroffen? Und wenn ja, in welchem Umfang? Der erste Schritt ist daher eine systematische Betroffenheitsprüfung. Unternehmen sollten prüfen, welche Geschäftsbereiche als „wesentlich“ oder „wichtig“ eingestuft werden und welche Tätigkeiten als „vernachlässigbar“ gelten könnten.
Dabei ist Vorsicht geboten: Eine Ausklammerung bestimmter Tätigkeiten bedeutet nicht automatisch, dass dort keine Risiken bestehen. Angreifer orientieren sich nicht an gesetzlichen Definitionen. Sie suchen den leichtesten Einstiegspunkt für Cyberangriffe. Zu großzügige Interpretationen oder oberflächlich definierte Ausnahmen können daher schnell zur unerwarteten Schwachstelle werden.
Umso wichtiger ist eine sorgfältige, nachvollziehbare und dokumentierte Betroffenheitsprüfung. Sie bildet die Grundlage für alle weiteren Entscheidungen – von der Governance über technische Maßnahmen bis hin zu Meldewegen und Verantwortlichkeiten. Das sorgt dafür, dass Organisationen ihre Pflichten realistisch einschätzen und wirksam umsetzen können.
