NIS2 Beratung: Die EU-Richtlinie umsetzen, bevor das BSI prüft

NIS2 ist die EU-Richtlinie für Cybersicherheit, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG). Sie verpflichtet rund 30.000 Unternehmen aus 18 Sektoren zu Risikomanagement nach Stand der Technik (Art. 21), zur Meldung von Sicherheitsvorfällen ans BSI (24 Stunden Frühwarnung, 72 Stunden Folgemeldung, ein Monat Abschlussbericht) und zur Registrierung beim BSI. Die Geschäftsleitung haftet persönlich für die Umsetzung; Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des Weltumsatzes.

Wesentliche und wichtige Einrichtungen aus 18 Sektoren: unter anderem Energie, Transport, Banken, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, produzierendes Gewerbe und Forschung. Als Faustregel gilt: ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in einem der Sektoren. Auch kleinere Unternehmen können als Zulieferer betroffener Kunden vertraglich in die Pflicht kommen. Unser Scope Assessment klärt die Betroffenheit rechtssicher.

Das NIS2UmsuCG ist in Kraft; die Registrierungspflicht beim BSI lief bis zum 6. März 2026, Nachzügler sollten umgehend registrieren. Die Meldepflichten gelten laufend: Frühwarnung binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Die Umsetzung der Maßnahmen nach Art. 21 wird vom BSI seit 2026 aktiv geprüft; eine Übergangsfrist gibt es nicht.

Anhang I (Sektoren mit hoher Kritikalität): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum. Anhang II (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Medizinprodukte, Elektronik, Maschinen- und Fahrzeugbau), Anbieter digitaler Dienste und Forschung. Anhang-I-Unternehmen ab 250 Mitarbeitern gelten in der Regel als wesentliche Einrichtungen, kleinere und Anhang-II-Unternehmen als wichtige Einrichtungen.

Drei Fragen genügen für die erste Einschätzung: Erstens, gehört Ihr Unternehmen zu einem der 18 Sektoren aus Anhang I oder II? Zweitens, haben Sie 50 oder mehr Mitarbeiter oder über 10 Millionen Euro Jahresumsatz? Drittens, sind Sie Betreiber kritischer Anlagen, qualifizierter Vertrauensdiensteanbieter oder TLD-Registry (dann gilt NIS2 unabhängig von der Größe)? Zweimal Ja bedeutet: sehr wahrscheinlich betroffen. Und selbst bei dreimal Nein können Kundenverträge NIS2-Anforderungen in Ihre Lieferkette durchreichen. Unser Scope Assessment liefert die rechtssichere Einstufung inklusive BSI-Dokumentation.

Drei nicht delegierbare Pflichten: Erstens müssen Leitungsorgane die Risikomanagementmaßnahmen nach Art. 21 selbst billigen und deren Umsetzung überwachen. Zweitens müssen sie regelmäßig an Cybersicherheitsschulungen teilnehmen und dies nachweisen können. Drittens haften sie bei Pflichtverletzungen persönlich. Für CISOs und IT-Sicherheitsverantwortliche heißt das: Berichtswege zur Geschäftsleitung etablieren, Board-taugliche Risikoberichte liefern und die Schulungspflicht organisieren. Compliance-Verantwortliche verankern NIS2 im internen Kontrollsystem und in der Lieferantensteuerung.

Art. 21 verpflichtet regulierte Unternehmen zur Sicherheit ihrer Lieferkette. In der Praxis reichen sie die Anforderungen vertraglich weiter: Sicherheitsnachweise, Auditrechte, Meldepflichten bei Vorfällen, teils Zertifizierungen. Wer als Zulieferer wesentlicher oder wichtiger Einrichtungen auftritt, wird NIS2-Anforderungen daher erfüllen müssen, ohne selbst im Anwendungsbereich zu stehen. Proaktive Vorbereitung wird zum Vertriebsargument: Wer Nachweise liefern kann, gewinnt Ausschreibungen gegen unvorbereitete Wettbewerber.