NIS2: Bin ich betroffen?

Was ist NIS2 eigentlich?

NIS2 ist die zweite EU-Richtlinie „Network and Information Security“. Sie soll die Cybersicherheit kritischer und wichtiger Wirtschaftszweige EU-weit anheben und wird in Deutschland über das NIS2-Umsetzungsgesetz in nationales Recht überführt. Kurz gesagt: Wer unter NIS2 fällt, muss ein Mindestmaß an technischen und organisatorischen Sicherheitsmaßnahmen nachweisen können — und Sicherheitsvorfälle innerhalb enger Fristen melden.

Bin ich von NIS2 betroffen?

Direkt betroffen sind in der Regel Unternehmen ab mittlerer Größe (grob ab 50 Mitarbeitenden bzw. 10 Mio. € Jahresumsatz) aus definierten Sektoren wie Energie, Gesundheit, Verkehr, digitale Infrastruktur, Finanzwesen oder Abfallwirtschaft — dort als „wesentliche“ oder „wichtige Einrichtung“. Aber auch kleinere Unternehmen außerhalb dieser Schwellen können betroffen sein, wenn sie als Zulieferer für ein NIS2-pflichtiges Unternehmen arbeiten: über die Lieferkette werden Sicherheitsnachweise dann vertraglich nach unten durchgereicht.

Wer fällt in der Regel direkt unter NIS2

Die Richtlinie unterscheidet grob zwei Kategorien mit unterschiedlich strengen Pflichten:

• Wesentliche Einrichtungen: in der Regel größere Unternehmen aus besonders kritischen Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser oder digitale Infrastruktur (z. B. Cloud-Anbieter, Rechenzentren).
• Wichtige Einrichtungen: mittlere Unternehmen aus einem breiteren Sektorenkreis, etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion oder Teile der verarbeitenden Industrie.
• Größenschwellen orientieren sich grob an der EU-KMU-Definition (Mitarbeiterzahl, Umsatz, Bilanzsumme) — Details und Ausnahmen regelt das jeweilige nationale Umsetzungsgesetz.

Betroffen über die Lieferkette — auch als kleines Unternehmen

Ein Punkt wird oft übersehen: NIS2-pflichtige Unternehmen müssen die Sicherheit ihrer Lieferkette mitbetrachten. In der Praxis bedeutet das: Ein Großkunde aus einem NIS2-Sektor kann von seinen Dienstleistern und Zulieferern — auch von kleinen Agenturen, Softwarehäusern oder IT-Dienstleistern — Nachweise über Sicherheitsmaßnahmen verlangen, unabhängig davon, ob dieser Zulieferer selbst unter die gesetzliche Definition fällt. Wer als kleines Unternehmen für einen größeren NIS2-pflichtigen Kunden arbeitet, kann also faktisch betroffen sein, ohne formal „wesentliche“ oder „wichtige Einrichtung“ zu sein.

Was NIS2 praktisch verlangt

Unabhängig von der genauen Einordnung laufen die inhaltlichen Anforderungen auf ähnliche Bausteine hinaus:

• Risikomanagement: ein dokumentierter Prozess, der Cyberrisiken erkennt, bewertet und behandelt — kein einmaliges Projekt, sondern laufender Betrieb.
• Technische Maßnahmen: unter anderem Zugriffskontrolle, Verschlüsselung, Härtung von Systemen, Schwachstellenmanagement und regelmäßige Sicherheitstests wie Penetrationstests.
• Meldepflichten: signifikante Sicherheitsvorfälle müssen innerhalb enger, gestaffelter Fristen an die zuständige Behörde gemeldet werden.
• Nachweisfähigkeit: Maßnahmen müssen dokumentiert und im Zweifel gegenüber Behörden oder Kunden belegbar sein — reine Absichtserklärungen reichen nicht.

Was wir bei Tutalis dazu beitragen — und was nicht

Die verbindliche Frage, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt, ist eine rechtliche Einordnung — die sollte, wenn es ernst wird, juristisch geprüft werden. Wir liefern nicht die Rechtsberatung und keine Zertifizierung, sondern den technischen Teil des Nachweises: Penetrationstest, Schwachstellenanalyse und Härtung als NIS2-Nachweis, damit Sie belegbare technische Maßnahmen in der Hand haben, sowie ein laufendes Monitoring & Schutz-Abo, das die Anforderung an dauerhafte Risikobehandlung dauerhaft abdeckt statt sie zum einmaligen Projekt zu machen.