Wer ist von NIS 2 betroffen?
In Deutschland sind rund 29.000 Unternehmen von NIS 2 betroffen. Dazu gehören Betreiber von kritischen Infrastrukturen (KRITIS), Unternehmen bestimmter Größen sowie zahlreiche Bundeseinrichtungen. Zudem wird in der NIS-2-Richtlinie in ‘besonders wichtige’ und ‘wichtige’ Einrichtungen unterteilt. Für besonders wichtige Einrichtungen können höhere Bußgelder verhängt werden. Ebenso können diese regelmäßig ohne besonderen Anlass von BSI geprüft werden.
Ist meine Organisation betroffen?
Die Unterteilung in ‘wichtige’ und ‘besonders wichtige’ Einrichtungen ist abhängig vom Sektor und der Größe des Unternehmens nach Anzahl der Mitarbeitenden bzw. nach Umsatz. Unternehmen aus folgenden Sektoren, die eine entsprechende Größe erreichen, werden als ‘besonders wichtig’ definiert: Energie, Verkehr, Bankwesen, Finanzmarkstrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten in B2B, öffentliche Verwaltung (in Deutschland zunächst nur Bundeseinrichtungen) und Weltraum.
Darüber hinaus gibt es einige Sonderregelungen, beispielsweise für die Betreiber von Top-Level-Domains oder DNS. Die weiteren betroffenen Unternehmen werden als ‘wichtig’ eingestuft.
Wie NIS 2 Unternehmen unterschiedlich betrifft
- Große Unternehmen mit ISO 27001 Zertifikat oder IT-Grundschutz sind oft gut aufgestellt – erfüllen aber nicht automatisch alle NIS-2-Pflichten! Eine gezielte Gap-Analyse ist hier der empfohlene Einstieg.
- Kleinere Unternehmen oder Organisationen mit ausgelagerter IT stehen häufig am Anfang: Hier sind Transparenz über die eigene IT-Landschaft, Risiken und Dienstleister die wichtigsten ersten Schritte. Die gute Nachricht hier: Die NIS2 erkennt Unterschiede in Ressourcenverfügbarkeit und Risikoexposition an und verlangt von jedem betroffenen Unternehmen angemessene Maßnahmen.
NIS 2: Die ersten Schritte für Unternehmen
Ab Januar 2026 müssen sich betroffene Unternehmen beim BSI registrieren – dafür kann bereits jetzt ein Konto angelegt werden. Unternehmen sollten jetzt vier Dinge vorbereiten:
1. Betroffenheit des Unternehmens prüfen
Ob und wie das eigene Unternehmen betroffen ist, kann über dieses Tool vom BSI geprüft werden.
2. Registrierung & Meldewege vorbereiten
Betroffene Unternehmen müssen sich beim BSI registrieren und eine offizielle Kontakt- und Meldekette für Sicherheitsvorfälle einrichten. Dafür stehen nach Inkrafttreten drei Monate zur Verfügung.
Hier die Anleitung des BSI: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Anleitung-Registrierung/Anleitung-Registrierung_node.html
3. Eigene Angriffsfläche verstehen
Unternehmen sollten alle IT-Systeme, Prozesse und externen Dienstleister erfassen, um zu wissen, wo Risiken bestehen. Diese Transparenz ist die Grundlage für alle weiteren Pflichten.
4. Risiko- und Bedrohungsanalyse durchführen
Die NIS-2 basiert auf einem risikobasierten Ansatz. Erst auf dieser Basis lassen sich Maßnahmen sinnvoll priorisieren – insbesondere auch für Lieferketten und IT-Dienstleister.
„NIS 2 stellt viele Unternehmen vor enorme Herausforderungen. Häufig wird dabei jedoch übersehen, dass sich die Vorschriften nicht nur auf technische Maßnahmen beschränken, sondern Weiterbildung einen entscheidenden Faktor bei der Umsetzung der Richtlinie darstellt.“
Dr. Raphaela Schätz, Leiterin des Lernlabor Cybersicherheit
Lernlabor Cybersicherheit