NIS2: Viele Unternehmen kennen ihre neuen Pflichten noch nicht

Rund 29.500 wichtige und besonders wichtige Einrichtungen sind nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) erstmals von entsprechenden Pflichten betroffen. Gleichzeitig wissen viele Unternehmen noch nicht, ob sie unter die neue Regulierung fallen.

Anwendungsbereich reicht über kritische Infrastruktur hinaus

Mit dem NIS2-Umsetzungsgesetz wurden die europäischen Vorgaben in deutsches Recht übertragen. Das novellierte BSI-Gesetz erfasst Einrichtungen aus 18 Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT und Telekommunikation sowie Teile des verarbeitenden Gewerbes.

Entscheidend für die Einstufung sind die konkrete Geschäftstätigkeit und die Unternehmensgröße. Als erste Orientierung sollten Unternehmen aus den betroffenen Bereichen ihre Einordnung prüfen, wenn sie mindestens 50 Beschäftigte haben oder sowohl einen Jahresumsatz als auch eine Jahresbilanzsumme von jeweils mehr als zehn Millionen Euro aufweisen. Je nach Einrichtungsart und Unternehmenskonstellation können allerdings abweichende Regelungen gelten.

Wie groß die Unsicherheit ist, zeigt der Cyber Security Report 2026 von Schwarz Digits: Demnach haben schätzungsweise 48 Prozent der potenziell betroffenen Unternehmen ihre mögliche regulatorische Einordnung bislang nicht erkannt.

Jörg Dießner, Managing Director bei citrus, weist darauf hin, dass NIS2 nicht nur klassische Betreiber kritischer Infrastrukturen betrifft. Unternehmen sollten deshalb prüfen, ob ihre Tätigkeit und Größe unter die gesetzlichen Kriterien fallen.

Auch Zulieferer können Anforderungen spüren

Nicht jedes Unternehmen, das mit NIS2 in Berührung kommt, ist automatisch selbst unmittelbar reguliert. Dennoch können sich indirekte Anforderungen ergeben. Betroffene Organisationen müssen Risiken in ihren Lieferketten berücksichtigen und können deshalb von IT-Dienstleistern, Zulieferern und anderen Geschäftspartnern Sicherheitsnachweise, ausgefüllte Fragebögen oder vertragliche Zusicherungen verlangen.

Damit kann die Regulierung auch Unternehmen betreffen, die selbst nicht unter das BSI-Gesetz fallen. Für sie wird es wichtiger, ihre Sicherheitsmaßnahmen nachvollziehbar zu dokumentieren und auf entsprechende Anfragen von Kunden vorbereitet zu sein.

Geschäftsleitungen tragen Verantwortung

NIS2 verankert Cybersicherheit ausdrücklich als Aufgabe der Unternehmensführung. Die Geschäftsleitungen betroffener Einrichtungen müssen die erforderlichen Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Außerdem sieht das Gesetz regelmäßige Schulungen vor.

Bei schuldhaften Pflichtverletzungen können Mitglieder der Geschäftsleitung gegenüber dem eigenen Unternehmen zum Schadensersatz verpflichtet sein. Zusätzlich drohen bei Verstößen hohe Bußgelder. Je nach Einstufung sind Höchstbeträge von sieben oder zehn Millionen Euro beziehungsweise umsatzabhängige Sanktionen möglich.

Betroffene Einrichtungen müssen sich außerdem beim BSI registrieren. Die Frist beträgt grundsätzlich drei Monate ab dem Zeitpunkt, zu dem die Voraussetzungen für die jeweilige Einstufung erstmals oder erneut erfüllt werden. Für bereits zum Inkrafttreten des Gesetzes am 6. Dezember 2025 betroffene Unternehmen endete die Registrierungsfrist am 6. März 2026. Wer seine Betroffenheit bislang nicht erkannt und die Frist versäumt hat, sollte die Registrierung unverzüglich nachholen und die geltenden Pflichten klären.

Fünf Schritte zur Prüfung der Betroffenheit

citrus empfiehlt Unternehmen, zunächst ihre Geschäftstätigkeit einem der gesetzlich erfassten Bereiche zuzuordnen und anschließend Beschäftigtenzahl, Umsatz und Bilanzsumme zu prüfen. Dabei können auch verbundene oder Partnerunternehmen sowie besondere Regelungen für einzelne Einrichtungsarten relevant sein.

Für eine erste Orientierung stellt das BSI eine offizielle NIS2-Betroffenheitsprüfung bereit. Sie ersetzt bei komplexen Unternehmensstrukturen oder unklaren Grenzfällen allerdings keine rechtliche Prüfung.

Ergibt die Analyse eine Betroffenheit, sollten Unternehmen ihre bestehenden Sicherheitsmaßnahmen mit den gesetzlichen Anforderungen abgleichen. Dazu gehören unter anderem Risikomanagement, Registrierung, Meldeprozesse für Sicherheitsvorfälle, klare Zuständigkeiten und eine nachvollziehbare Dokumentation.

Sicherheitsmaßnahmen auf den Prüfstand stellen

Neben der formalen Einordnung kommt es darauf an, mögliche Schwachstellen in der Praxis zu erkennen. Zu den relevanten Bereichen zählen Backup- und Wiederherstellungsprozesse, Zugriffsrechte, Netzwerksicherheit, Schwachstellenmanagement und die Reaktion auf Sicherheitsvorfälle. Auch Dienstleister und Lieferketten müssen angemessen berücksichtigt werden.

Die Betroffenheitsprüfung sollte deshalb nicht mit der Feststellung enden, ob ein Unternehmen unter NIS2 fällt. Sie bildet vielmehr den Ausgangspunkt, um vorhandene Schutzmaßnahmen zu bewerten und notwendige Verbesserungen zu planen. Eine externe fachliche Analyse kann dabei helfen, wenn rechtliche Fragen oder der konkrete technische und organisatorische Handlungsbedarf unklar sind. Auch Unternehmen ohne unmittelbare NIS2-Pflicht profitieren davon, ihre Cybersicherheit regelmäßig zu überprüfen und weiterzuentwickeln.

(red/cs communication systems GmbH)