NIS-2-Richtlinie: Wen sie betrifft und welche Pflichten gelten

Der IT-Leiter meldet einen Ransomware-Vorfall am Montagmorgen an die Geschäftsführung: Mehrere Fachanwendungen sind verschlüsselt, Lieferantenportale nicht erreichbar, erste Kunden fragen nach dem Status. Jetzt reicht es nicht, nur Backups einzuspielen. Die Verantwortlichen müssen klären, ob ein erheblicher Sicherheitsvorfall vorliegt, ob das BSI informiert werden muss und wer welche Entscheidung dokumentiert. Genau für solche Situationen schafft die NIS-2-Richtlinie verbindliche Anforderungen.

Mit dem deutschen Umsetzungsgesetz sind die Vorgaben der europäischen NIS-2-Richtlinie im BSI-Gesetz verankert. Betroffene Einrichtungen müssen angemessene Maßnahmen zum Cybersicherheits-Risikomanagement treffen, Sicherheitsvorfälle melden und ihre Geschäftsleitung stärker einbinden. Für viele Unternehmen ist dabei die erste wichtige Frage nicht, welche technische Lösung sie beschaffen sollen, sondern ob sie überhaupt in den Anwendungsbereich fallen.

Infografik zu NIS-2-Richtlinie: Wen sie betrifft und welche Pflichten gelten (KI-generiert).

Wen NIS-2 betrifft

NIS-2 richtet sich an Einrichtungen bestimmter Wirtschaftssektoren, die mindestens eine mittlere Unternehmensgröße erreichen. Das Gesetz unterscheidet zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“. Im allgemeinen Sprachgebrauch ist oft von wesentlichen und wichtigen Einrichtungen die Rede.

Die Einordnung hängt vor allem von drei Punkten ab:

• Branche und Art der erbrachten Dienstleistung
• Unternehmensgröße
• Sondertatbestände, die unabhängig von der Größe gelten können

Grundsätzlich werden mittlere und große Unternehmen erfasst. Als Orientierung gilt: Eine Einrichtung mit mindestens 50 Beschäftigten und entweder mindestens 10 Millionen Euro Jahresumsatz oder mindestens 10 Millionen Euro Jahresbilanzsumme kann in den Anwendungsbereich fallen. Für die Einstufung als besonders wichtige Einrichtung gelten in vielen Fällen die Schwellenwerte für große Unternehmen, also mindestens 250 Beschäftigte und entweder mindestens 50 Millionen Euro Umsatz oder 43 Millionen Euro Bilanzsumme.

Diese Werte sind allerdings kein vollständiger Freifahrtschein für kleinere Unternehmen. Für bestimmte digitale Dienste und Infrastrukturen gelten Sonderregeln. Außerdem muss die Unternehmensgröße nach den europäischen Vorgaben ermittelt werden. Beteiligungen, verbundene Unternehmen und Partnerunternehmen können deshalb bei der Berechnung relevant sein. Wer nur die Zahlen einer einzelnen Gesellschaft betrachtet, kann zu einem falschen Ergebnis kommen.

Welche Branchen besonders im Fokus stehen

Besonders wichtige Einrichtungen finden sich vor allem in Sektoren mit hoher Kritikalität. Dazu gehören unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten sowie öffentliche Verwaltung auf zentralstaatlicher Ebene.

Wichtige Einrichtungen können zusätzlich in weiteren Bereichen tätig sein. Dazu zählen beispielsweise Post- und Kurierdienste, Abfallwirtschaft, Herstellung und Handel bestimmter kritischer Produkte, Chemie, Lebensmittelwirtschaft, verarbeitendes Gewerbe, digitale Anbieter sowie Forschungseinrichtungen.

Für die Praxis ist entscheidend: Nicht die Bezeichnung einer Branche im Handelsregister entscheidet, sondern die tatsächlich ausgeübte Tätigkeit. Ein produzierendes Unternehmen kann etwa betroffen sein, wenn es Produkte in einem erfassten Bereich herstellt und die Größenkriterien erfüllt. Ein IT-Dienstleister sollte prüfen, ob seine Leistungen als Managed Service Provider oder Managed Security Service Provider einzuordnen sind. Auch Betreiber digitaler Plattformen, Rechenzentren, Cloud-Dienste oder Vertrauensdienste müssen ihren Status sorgfältig bewerten.

Einige Einrichtungen können unabhängig von den allgemeinen Größenwerten besonders wichtig sein. Dazu gehören insbesondere bestimmte Anbieter zentraler digitaler Dienste, Betreiber öffentlicher Kommunikationsnetze oder qualifizierte Vertrauensdiensteanbieter. Auch Kritische Infrastrukturen nach dem bisherigen BSI-Gesetz bleiben besonders relevant.

So prüfst du die Betroffenheit sauber

Eine belastbare NIS-2-Prüfung ist kein Formular, das allein die Personalabteilung ausfüllt. Du brauchst Informationen aus Geschäftsführung, Recht, IT, Informationssicherheit, Einkauf und den verantwortlichen Fachbereichen.

Gehe dabei in dieser Reihenfolge vor:

• Erfasse alle rechtlich selbstständigen Gesellschaften und ihre tatsächlichen Tätigkeiten.
• Ordne die Tätigkeiten den NIS-2-Sektoren zu.
• Ermittle Beschäftigtenzahl, Umsatz und Bilanzsumme nach den maßgeblichen Unternehmensverflechtungen.
• Prüfe Sonderfälle, etwa digitale Infrastruktur, Vertrauensdienste oder Telekommunikationsleistungen.
• Halte die Bewertung mit Quellen, Annahmen und Verantwortlichkeiten schriftlich fest.
• Aktualisiere die Prüfung bei Zukäufen, Umstrukturierungen, neuem Leistungsangebot oder deutlichem Wachstum.

Gerade bei Konzernen und Unternehmensgruppen lohnt sich eine juristisch und organisatorisch abgestimmte Analyse. Die NIS-2-Pflichten knüpfen an Einrichtungen an, nicht pauschal an einen Konzernnamen. Dennoch können zentral erbrachte IT-Leistungen, gemeinsame Sicherheitsprozesse und gruppenweite Abhängigkeiten für die Umsetzung entscheidend sein.

Welche Risikomanagementpflichten gelten

NIS-2 verlangt kein einzelnes Zertifikat und keine starre Liste bestimmter Produkte. Gefordert werden geeignete, verhältnismäßige und wirksame technische, operative und organisatorische Maßnahmen. Sie müssen Risiken für Netz- und Informationssysteme beherrschen und den möglichen Schaden für die Leistungserbringung berücksichtigen.

In der Praxis sollte dein Informationssicherheitsmanagement mindestens folgende Themen abdecken:

Handlungsfeld	Praktische Umsetzung
Risikoanalyse	Kritische Prozesse, Systeme, Daten, Abhängigkeiten und Bedrohungen regelmäßig bewerten
Incident Response	Meldewege, Entscheidungsbefugnisse, Notfallkontakte und technische Abläufe verbindlich festlegen
Business Continuity	Wiederanlaufpläne, Notbetrieb, Backups und Krisenkommunikation testen
Lieferkettensicherheit	Sicherheitsanforderungen an IT-Dienstleister und Cloud-Anbieter vertraglich und operativ steuern
Schwachstellenmanagement	Sicherheitslücken erfassen, priorisieren, patchen und Ausnahmen dokumentieren
Zugriffsschutz	Berechtigungen minimieren, Mehrfaktor-Authentifizierung nutzen und privilegierte Konten besonders absichern
Kryptografie	Verschlüsselung und Schlüsselmanagement passend zu Schutzbedarf und Einsatzszenario gestalten
Schulungen	Beschäftigte und Leitungsebene regelmäßig zu Sicherheitsrisiken und ihren Aufgaben unterweisen

Wichtig ist die Wirksamkeit. Eine Richtlinie im Intranet genügt nicht, wenn sie niemand kennt, Prozesse nicht getestet werden oder Ausnahmen dauerhaft unkontrolliert bleiben. Dokumentiere deshalb Entscheidungen, Testergebnisse, Risiken, Maßnahmenpläne und Verantwortlichkeiten. Im Ernstfall und bei einer Prüfung musst du nachvollziehbar zeigen können, wie du Risiken erkannt und behandelt hast.

Wer vernetzte Produkte herstellt oder in Verkehr bringt, sollte diese Anforderungen mit den Vorgaben aus dem Cyber Resilience Act abstimmen, der Security by Design und ein Schwachstellenmanagement über den gesamten Produktlebenszyklus verlangt.

Meldepflichten bei erheblichen Sicherheitsvorfällen

Nicht jeder Phishing-Versuch oder jede kurzzeitige Störung ist meldepflichtig. Eine Meldung wird relevant, wenn ein Sicherheitsvorfall erhebliche Auswirkungen auf die Erbringung deiner Dienste hat oder haben kann. Maßgeblich sind insbesondere erhebliche Betriebsstörungen, finanzielle Verluste oder Auswirkungen auf andere Personen und Unternehmen.

Das deutsche Regelwerk orientiert sich an einem gestuften Verfahren:

• Innerhalb von 24 Stunden erfolgt eine Frühwarnung an das BSI, wenn ein erheblicher Sicherheitsvorfall vermutet wird.
• Innerhalb von 72 Stunden folgt eine weitergehende Meldung mit verfügbaren Informationen, einer ersten Bewertung sowie möglichen grenzüberschreitenden Auswirkungen.
• Spätestens innerhalb eines Monats ist ein Abschlussbericht vorgesehen. Wenn der Vorfall noch nicht abgeschlossen ist, sind Zwischenberichte erforderlich.

Diese Fristen machen deutlich, warum ein Incident-Response-Plan nicht erst während eines Angriffs entstehen darf. Kläre vorab, wer Vorfälle bewertet, wer das BSI kontaktiert, wer externe Forensik beauftragen darf und wer mit Kunden, Aufsichtsbehörden sowie der Öffentlichkeit kommuniziert. Daneben können datenschutzrechtliche Meldepflichten nach der DSGVO bestehen. Die NIS-2-Meldung ersetzt also nicht automatisch eine Bewertung nach Datenschutzrecht.

Warum die Geschäftsführung persönlich eingebunden ist

NIS-2 macht Cybersicherheit ausdrücklich zur Leitungsaufgabe. Die Geschäftsleitung muss die Maßnahmen zum Risikomanagement billigen, ihre Umsetzung überwachen und sich selbst fortbilden. IT-Verantwortliche bereiten Entscheidungen vor und steuern die Umsetzung, können die Verantwortung der Leitung aber nicht vollständig übernehmen.

Für Geschäftsführung, Vorstand und Bereichsleitung bedeutet das konkret:

• Lass dir regelmäßig über wesentliche Cyberrisiken, offene Maßnahmen und Sicherheitsvorfälle berichten.
• Beschließe Sicherheitsziele, Rollen, Budgets und Eskalationswege nachvollziehbar.
• Frage bei kritischen Dienstleistern nach Abhängigkeiten, Exit-Szenarien und Notfallmaßnahmen.
• Verlange Übungen für Ransomware, Ausfall von Cloud-Diensten und kompromittierte Administrationskonten.
• Dokumentiere Beschlüsse und die Kontrolle ihrer Umsetzung.

Wer Cyberrisiken dauerhaft ignoriert, setzt nicht nur den Betrieb, sondern auch die eigene Organisations- und Überwachungspflicht aufs Spiel. Dabei kommt es nicht darauf an, jede technische Einzelentscheidung selbst zu treffen. Die Leitung muss aber ein angemessenes Steuerungs- und Kontrollsystem etablieren, wie es das Compliance-Management mit seinen Haftungs- und Delegationsregeln für Leitungspersonen ohnehin verlangt.

Dein Vorbereitungsplan für die nächsten Wochen

Beginne mit einer strukturierten Bestandsaufnahme statt mit einem vorschnellen Tool-Kauf. Benenne eine verantwortliche Person für die NIS-2-Umsetzung und stelle ein kleines, entscheidungsfähiges Kernteam zusammen. Dieses Team sollte die Betroffenheitsprüfung durchführen, eine Lückenanalyse erstellen und einen priorisierten Maßnahmenplan an die Geschäftsführung geben.

Prüfe danach besonders kritisch die Themen, die im Alltag oft unterschätzt werden: privilegierte Zugänge, ungeprüfte Dienstleisterkonten, Wiederherstellbarkeit von Backups, Erreichbarkeit im Krisenfall und die Qualität vorhandener Notfallpläne. Eine Übung mit realistischem Szenario zeigt schnell, ob Rollen, Kontaktdaten und Entscheidungswege tatsächlich funktionieren.

Sobald deine Einrichtung erfasst ist, musst du auch die Registrierung und die laufende Pflege der erforderlichen Angaben gegenüber dem BSI organisatorisch absichern. Plane hierfür eindeutige Zuständigkeiten ein, denn Unternehmensdaten, Ansprechpartner, Domains und IP-Adressbereiche können sich ändern.

Passende Seminare und Termine findest du bei uns auf cmt.de.