Bei kaum einem Regulierungsthema gehen Wahrnehmung und Realität so weit auseinander wie bei NIS-2. Viele Geschäftsführer verbinden „kritische Infrastruktur” mit Kraftwerken und Kliniken — die NIS-2-Richtlinie (EU 2022/2555) erfasst aber achtzehn Sektoren, von der Lebensmittelproduktion über Maschinenbau und Elektronik bis zur Abfallwirtschaft und den digitalen Diensten. Ob Sie betroffen sind, lässt sich in drei Schritten grob klären.
Schritt 1: Sektor-Check
Gehört Ihre Tätigkeit zu den Sektoren mit hoher Kritikalität (u. a. Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister/Managed Services) oder zu den „sonstigen kritischen Sektoren” (u. a. Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe wie Maschinenbau, Elektronik und Medizinprodukte, digitale Anbieter)? Gerade das verarbeitende Gewerbe überrascht viele — der sächsische Maschinenbauer ist schneller im Anwendungsbereich, als er denkt.
Schritt 2: Größen-Check
Als Faustregel gilt die Mittelstandsschwelle: ab 50 Beschäftigten oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme im erfassten Sektor beginnt die Regulierung (mittlere und große Unternehmen); besonders kritische Anbieter können unabhängig von der Größe erfasst sein. Unterhalb der Schwelle ist man raus — es sei denn, Schritt 3 greift.
Schritt 3: Lieferketten-Check
NIS-2 wirkt indirekt weiter, als der Anwendungsbereich reicht: Regulierte Unternehmen müssen die Sicherheit ihrer Lieferkette managen — und geben die Anforderungen vertraglich an Zulieferer und Dienstleister weiter. Wer B2B-Kunde eines NIS-2-regulierten Unternehmens ist, bekommt Sicherheitsanforderungen, Nachweispflichten und Auditklauseln auf den Tisch, ganz ohne selbst reguliert zu sein.
Zum deutschen Umsetzungsstand: Die Umsetzung in nationales Recht hat sich in Deutschland lange hingezogen; Details wie Registrierungsmodalitäten und Übergangsregelungen ändern sich mit dem Gesetzgebungsstand. Verlassen Sie sich hier nicht auf Blogartikel mit Datum — den jeweils aktuellen Stand und die konkreten Pflichten halten wir auf unserer NIS-2-Beratungsseite nach.
Was auf Betroffene zukommt
Der Pflichtenkatalog ist im Kern solides Sicherheitsmanagement: Risikoanalyse, Incident-Handling mit gestaffelten Meldefristen (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden), Business Continuity, Lieferkettensicherheit, Verschlüsselung, Schulungen — und ausdrücklich die persönliche Verantwortung der Geschäftsleitung, die die Maßnahmen billigen, überwachen und sich selbst schulen lassen muss. Wer bereits ein ISMS nach ISO 27001 betreibt oder auf dem Weg dorthin ist, hat den Großteil der Hausaufgaben gemacht; wer bei null startet, sollte nicht auf den letzten Behörden-Stichtag warten.
Fazit
Zehn Minuten Sektor-, Größen- und Lieferketten-Check ersparen böse Überraschungen — in beide Richtungen: Wer betroffen ist, kann strukturiert starten statt panisch; wer nicht betroffen ist, kann Kundenanforderungen aus der Lieferkette gelassen und gezielt beantworten. Bei der Einordnung hilft unser externer Informationssicherheitsbeauftragter — vom Erst-Check bis zum Maßnahmenplan.