NIS2 ist Gesetz – was jetzt für Ihr Unternehmen gilt

Bin ich betroffen?

Das BSIG unterscheidet zwei Kategorien:

• Besonders wichtige Einrichtungen – vor allem große Unternehmen (ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme) in Sektoren hoher Kritikalität wie Energie, Verkehr, Gesundheit, digitale Infrastruktur sowie Betreiber kritischer Anlagen.
• Wichtige Einrichtungen – mittlere Unternehmen (ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme) in diesen Sektoren sowie Unternehmen in „sonstigen kritischen Sektoren", u. a. Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und die Herstellung von Datenverarbeitungsgeräten, elektrischen Ausrüstungen, Maschinen und Kraftwagen.

Gerade in Baden-Württemberg mit seinem starken Maschinen- und Fahrzeugbau fallen damit viele Mittelständler direkt unter das Gesetz. Maßgeblich ist der Tätigkeitsschwerpunkt – eine ehrliche Selbsteinschätzung anhand der Sektorenliste ist der erste Schritt.

Auch wenn Sie nicht direkt betroffen sind

Ein Zulieferer von Präzisionsteilen oder ein Lohnfertiger ist oft nicht selbst verpflichtet. Seine Kunden müssen aber nach § 30 BSIG auch die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis bedeutet das: Fragebögen, Vertragsklauseln zur Informationssicherheit, Nachweise über Backups, Zugriffsschutz und Meldewege. Wer hier vorbereitet ist, sichert seine Kundenbeziehungen.

Pragmatisch vorgehen – in fünf Schritten

1. Betroffenheit klären und dokumentieren – auch die Begründung, wenn Sie nicht betroffen sind.
2. Registrierung beim BSI vornehmen (sofern betroffen) und Ansprechpartner benennen.
3. Bestandsaufnahme: Welche Systeme, Daten und Dienstleister sind geschäftskritisch? Wo stehen Sie bei Backup, Zugängen, Patches, Protokollierung?
4. Lücken priorisiert schließen – zuerst das, was im Ernstfall am meisten schützt: Multi-Faktor-Anmeldung, geprüfte Datensicherung, aktuelle Systeme, Überwachung und ein funktionierender Meldeweg.
5. Dokumentieren und üben: Notfallhandbuch, Meldeprozess mit klaren Zuständigkeiten, jährliche Schulung der Geschäftsleitung und regelmäßige Übungen.

Wichtig: NIS2 verlangt keine Perfektion, sondern angemessene und nachweisbare Maßnahmen. Wer dokumentiert, warum er was tut, steht bei einer Prüfung deutlich besser da.

Häufige Fragen zu NIS2

Gilt NIS2 auch für Unternehmen mit weniger als 50 Mitarbeitenden?

In der Regel nicht – kleine Unternehmen fallen grundsätzlich nicht unter die Schwellenwerte. Ausnahmen gibt es für bestimmte Anbieter, etwa von DNS-Diensten oder Vertrauensdiensten, die unabhängig von ihrer Größe erfasst sind. Indirekt betroffen sind kleine Unternehmen aber häufig als Lieferant oder Dienstleister einer verpflichteten Einrichtung.

Was ist ein „erheblicher" Sicherheitsvorfall?

Ein Vorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen erheblich schädigt – typische Beispiele sind ein Verschlüsselungsangriff auf Server, ein längerer Ausfall zentraler Systeme oder der Abfluss vertraulicher Daten. Das BSI stellt dazu Kriterien und ein Meldeportal bereit. Wichtig ist, die Fristen als Höchstwerte zu verstehen und den Meldeprozess vorab festzulegen: Wer entscheidet, wer meldet, wer informiert Kunden?

Reicht eine Zertifizierung nach ISO 27001?

Eine bestehende ISO 27001 oder ein ISMS nach BSI IT-Grundschutz deckt einen großen Teil der Anforderungen ab und ist eine hervorragende Grundlage. Sie ersetzt aber weder die Registrierung noch die gesetzlichen Meldepflichten oder die Schulungspflicht der Geschäftsleitung. Ein Abgleich lohnt sich in jedem Fall.

Was kostet die Umsetzung?

Das hängt stark vom Ausgangszustand ab. Viele Mittelständler haben bereits Firewall, Virenschutz und Datensicherung – es fehlen eher die Nachweise, die Überwachung und die geübten Abläufe. Gerade diese Lücken lassen sich mit betreuten Diensten zu festen Monatspreisen planbar schließen, statt eigenes Personal für jede Disziplin aufzubauen.