NIS2 in Deutschland: Betroffenheit in 10 Minuten selbst prüfen

„Sind wir eigentlich von NIS2 betroffen?" ist eine Frage, die in vielen Geschäftsführungen erst gestellt wird, wenn ein Kunde plötzlich einen Fragebogen dazu schickt. Dabei lässt sich eine erste, belastbare Einschätzung in wenigen Minuten selbst erarbeiten, ohne dass gleich die Rechtsabteilung eingeschaltet werden muss.

Was NIS2 grundsätzlich regelt

NIS2 ist eine EU-Richtlinie zur Netzwerk- und Informationssicherheit, die in nationales Recht umgesetzt wird. Ziel ist ein höheres, europaweit einheitlicheres Sicherheitsniveau für Unternehmen, die für Wirtschaft und Gesellschaft eine wichtige Rolle spielen. Betroffene Unternehmen müssen Risikomanagement betreiben, Sicherheitsvorfälle melden und in bestimmten Fällen auch Nachweise über getroffene Maßnahmen erbringen können.

Die Richtlinie unterscheidet zwei Kategorien: wesentliche Einrichtungen (etwa Energie, Verkehr, Bankwesen, Gesundheitswesen, digitale Infrastruktur, öffentliche Verwaltung) und wichtige Einrichtungen (etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe, digitale Dienste, Forschung). Für beide Kategorien gelten grundsätzlich ähnliche Pflichten, mit Unterschieden bei Aufsicht und Sanktionen.

Die 10-Minuten-Selbstprüfung

Fünf Fragen, die eine erste Einordnung ermöglichen:

• 1. Sektor. Lässt sich Ihr Unternehmen einem der NIS2-Sektoren zuordnen, etwa Energie, Gesundheitswesen, digitale Infrastruktur, verarbeitendes Gewerbe, Chemie, Lebensmittel oder digitale Dienste?
• 2. Größe. Beschäftigt Ihr Unternehmen mindestens 50 Mitarbeitende oder erzielt es mindestens 10 Millionen Euro Jahresumsatz? Das ist die grobe Schwelle, ab der die Größenkriterien greifen.
• 3. Alleinstellung. Sind Sie in Ihrer Region der einzige oder ein besonders kritischer Anbieter einer bestimmten Dienstleistung? Dann kann eine Einstufung auch unabhängig von der Größe erfolgen.
• 4. Lieferkette. Beliefern Sie als Zulieferer ein Unternehmen, das selbst unter NIS2 fällt? Dann werden Sicherheitsanforderungen häufig vertraglich an Sie weitergegeben, auch ohne eigene direkte Pflicht.
• 5. Signale von außen. Haben Sie bereits eine Anfrage, einen Fragebogen oder eine Auditforderung eines Kunden zum Thema NIS2 erhalten? Das ist oft das erste konkrete Anzeichen für eine faktische Betroffenheit.

Wer bei Frage 1 und 2 zweimal mit Ja antwortet, ist mit hoher Wahrscheinlichkeit direkt betroffen. Wer bei Frage 4 oder 5 mit Ja antwortet, sollte sich unabhängig von der eigenen Größe auf steigende Sicherheitsanforderungen einstellen, weil der Druck über die Lieferkette kommt.

Die eigentliche Betroffenheit ist oft breiter als die formal-juristische. Wer Zulieferer eines NIS2-Unternehmens ist, bekommt die Anforderungen vertraglich, nicht gesetzlich, aber genauso verbindlich.

Was aus „betroffen" konkret folgt

Wer unter NIS2 fällt, muss unter anderem ein Risikomanagement für Informationssicherheit betreiben, Sicherheitsvorfälle innerhalb enger Fristen melden, Lieferkettenrisiken bewerten und in der Regel auch Schulungen für die Geschäftsleitung nachweisen. Die Geschäftsführung trägt dabei persönliche Verantwortung für die Umsetzung, das lässt sich nicht vollständig delegieren.

Praktisch bedeutet das für die meisten Unternehmen: eine dokumentierte Risikobewertung, klare Zuständigkeiten für Informationssicherheit, ein Prozess für den Umgang mit Sicherheitsvorfällen und die Fähigkeit, auf Nachfrage zu belegen, dass diese Punkte nicht nur behauptet, sondern tatsächlich gelebt werden.

Häufige Missverständnisse

• „Wir sind zu klein, das betrifft uns nicht." Die Größenkriterien sind eine grobe Richtschnur, keine Garantie. Wer in einer kritischen Lieferkette steht oder in einer Nische eine Alleinstellung hat, kann auch unterhalb der üblichen Schwellen relevant sein.
• „Wir haben noch nichts gehört, also sind wir wohl nicht betroffen." Behörden und Kunden fragen nicht immer proaktiv nach. Fehlende Anfragen sind kein verlässliches Zeichen für fehlende Betroffenheit.
• „Ein Zertifikat reicht als Nachweis." Ein Zertifikat kann Teil des Nachweises sein, ersetzt aber nicht die eigentlichen Prozesse dahinter. Auditoren prüfen, ob etwas tatsächlich funktioniert, nicht nur, ob ein Dokument existiert.

Und wenn ich nicht direkt betroffen bin?

Auch dann lohnt sich ein zweiter Blick. Viele Unternehmen, die formal nicht unter NIS2 fallen, spüren die Wirkung trotzdem, weil ihre Kunden es tun und entsprechende Nachweise einfordern. Wer als Zulieferer oder Dienstleister für ein NIS2-pflichtiges Unternehmen arbeitet, tut gut daran, sich frühzeitig mit den gängigen Anforderungen vertraut zu machen, unabhängig von der eigenen formalen Einstufung.

Was, wenn die Einschätzung unklar bleibt?

Nicht jede Selbstprüfung führt zu einem eindeutigen Ergebnis. Grenzfälle sind normal, etwa wenn ein Unternehmen knapp unter den Größenschwellen liegt, aber in mehreren Lieferketten kritischer Kunden eine Rolle spielt. In solchen Fällen ist eine vorsichtige, strukturkonservative Herangehensweise sinnvoller als das Aussitzen der Unsicherheit: Wer die grundlegenden Prozesse ohnehin aufbaut, verliert im Zweifel wenig, gewinnt aber Handlungsfähigkeit, sobald die Betroffenheit doch bestätigt wird oder ein Kunde danach fragt.

Der nächste Schritt

Eine Selbstprüfung ersetzt keine rechtsverbindliche Einordnung, gibt aber eine solide erste Orientierung. Fällt die Einschätzung eher in Richtung „wahrscheinlich betroffen" oder "faktisch betroffen über die Lieferkette", lohnt sich der nächste Schritt: eine strukturierte Betroffenheitsprüfung, gefolgt vom Aufbau der nötigen Prozesse, statt einer Reaktion erst unter Zeitdruck.

Für den Aufbau der Struktur, Richtlinien und Nachweise setzen wir CompliantDesk ein, unser eigenes GRC-SaaS im laufenden Betrieb. Wer zusätzlich keine eigene Sicherheitsfunktion im Haus hat, findet auf der Seite CISO as a Service eine externe Lösung dafür. Beides zusammen deckt sowohl die Werkzeug- als auch die Umsetzungsseite ab, statt nur ein Softwareabo zu verkaufen und den Rest dem Unternehmen zu überlassen.

Wer die Selbstprüfung mehrfach durchgeht, etwa einmal jährlich oder bei größeren organisatorischen Änderungen, behält auch dann den Überblick, wenn sich Geschäftsmodell, Kundenstruktur oder Lieferkette verschieben. Betroffenheit ist kein einmaliger Status, sondern kann sich mit dem Unternehmen weiterentwickeln.

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die rechtsverbindliche Einordnung Ihrer NIS2-Betroffenheit sollten Sie mit einer spezialisierten Kanzlei klären.