Bei Gesprächen mit IT-Verantwortlichen fällt mir immer wieder dieselbe Situation auf: Jemand hat von NIS 2 gehört, liest ein paar Schlagzeilen und fragt sich, ob das eigene Unternehmen überhaupt gemeint ist. Besonders mittelständische Betriebe stehen häufig vor dieser Frage. „Wir sind doch kein großer Konzern“, höre ich dann oft. Genau hier entstehen die meisten Missverständnisse.
Die neue europäische Richtlinie betrifft nämlich nicht nur die Unternehmen, die man spontan mit kritischer Infrastruktur verbindet. Während meiner Arbeit an IT-Sicherheitsthemen habe ich gesehen, dass viele Organisationen ihre eigene Bedeutung unterschätzen. Ein regionaler Dienstleister kann genauso relevant sein wie ein internationaler Anbieter, wenn sein Ausfall andere Unternehmen oder wichtige gesellschaftliche Prozesse beeinflusst.
NIS 2 ist deshalb weniger eine Frage der Größe allein, sondern eine Frage der Rolle, die eine Organisation in bestimmten Bereichen spielt. Wer verstehen möchte, ob die eigenen Strukturen betroffen sind, muss genauer hinschauen: Welche Dienstleistungen werden angeboten? In welchem Sektor arbeitet das Unternehmen? Welche Auswirkungen hätte ein Sicherheitsvorfall?
Warum NIS 2 deutlich mehr Unternehmen erreicht als die frühere Regelung
Die erste NIS-Richtlinie aus dem Jahr 2016 hatte einen deutlich engeren Fokus. Viele kleinere und mittlere Unternehmen kamen damals kaum mit den Anforderungen in Berührung. Mit NIS 2 hat sich dieser Ansatz verändert. Die Europäische Union wollte nicht nur einzelne kritische Betreiber schützen, sondern die gesamte digitale Lieferkette stabiler machen.
In der Praxis bedeutet das: Auch ein Unternehmen, das selbst keine Energieversorgung betreibt oder kein Krankenhaus ist, kann unter NIS 2 fallen. Ein Softwareanbieter, ein Rechenzentrumsbetreiber oder ein wichtiger Zulieferer kann Teil einer Infrastruktur sein, deren Ausfall erhebliche Folgen hätte.
Eine typische Situation aus der Praxis: Ein Produktionsunternehmen betreibt seine Maschinen, Logistik und Verwaltung über externe IT-Dienstleister. Wenn einer dieser Dienstleister Opfer eines größeren Cyberangriffs wird, steht nicht nur der Dienstleister selbst vor Problemen. Die Auswirkungen können sich über mehrere Unternehmen hinweg ausbreiten. Genau solche Abhängigkeiten möchte NIS 2 stärker berücksichtigen.
Der entscheidende Unterschied liegt also nicht nur darin, wer „kritisch“ aussieht, sondern wer durch digitale Dienste eine wichtige Funktion für andere erfüllt.
Welche Branchen unter NIS 2 fallen
NIS 2 unterscheidet zwischen verschiedenen Sektoren und ordnet Unternehmen abhängig von ihrer Tätigkeit ein. Die Richtlinie nennt sogenannte wesentliche und wichtige Einrichtungen. Beide Gruppen müssen bestimmte Sicherheitsanforderungen erfüllen, allerdings können die Aufsicht und mögliche Sanktionen unterschiedlich ausfallen.
Bei der Einordnung hilft ein Blick auf die Branche. Viele Unternehmen erkennen ihre Betroffenheit erst, wenn sie ihre tatsächlichen Geschäftsbereiche mit den genannten Sektoren vergleichen.
| Sektor | Beispiele für betroffene Unternehmen | Warum relevant? |
|---|---|---|
| Energie | Stromversorger, Betreiber von Energieanlagen, Gasunternehmen | Ausfälle können große Auswirkungen auf Versorgung und Gesellschaft haben |
| Verkehr | Flughäfen, Bahnunternehmen, Logistikunternehmen | Digitale Systeme steuern wichtige Transportprozesse |
| Gesundheit | Krankenhäuser, Hersteller bestimmter Medizinprodukte, Labore | IT-Ausfälle können direkt Menschen betreffen |
| Digitale Infrastruktur | Rechenzentren, Cloud-Anbieter, Internetanbieter | Viele andere Unternehmen hängen von diesen Diensten ab |
| Öffentliche Verwaltung | Behörden und bestimmte öffentliche Einrichtungen | Digitale Dienste sind für Bürger und Unternehmen notwendig |
| Produktion | Hersteller wichtiger Produkte, etwa in bestimmten Industriebereichen | Lieferketten können durch Cyberangriffe beeinträchtigt werden |
Diese Übersicht zeigt bereits, warum eine einfache Einteilung in „große Firmen betroffen, kleine Firmen nicht betroffen“ nicht funktioniert. Entscheidend ist die Funktion innerhalb des jeweiligen Bereichs.
Die Größenfrage: Muss ein Unternehmen eine bestimmte Anzahl Mitarbeiter haben?
Viele Geschäftsführer fragen zuerst nach der Mitarbeiterzahl. Das ist nachvollziehbar, denn die Unternehmensgröße spielt bei NIS 2 tatsächlich eine Rolle. Grundsätzlich richtet sich die Richtlinie häufig an mittlere und große Unternehmen. Doch die Grenzen sind nicht absolut.
Ein kleinerer Anbieter kann ebenfalls betroffen sein, wenn er eine besonders wichtige Dienstleistung erbringt oder in einen relevanten Bereich fällt. Die reine Mitarbeiterzahl schützt also nicht automatisch davor, sich mit NIS 2 beschäftigen zu müssen.
In Gesprächen mit Unternehmen sehe ich häufig denselben Fehler: Man schaut nur auf den eigenen Jahresumsatz oder die Anzahl der Beschäftigten und beendet die Prüfung zu früh. Besser ist eine zweite Frage: Was passiert, wenn unser Dienst für einige Tage nicht verfügbar ist?
Wenn die Antwort lautet, dass Kunden, Behörden, Versorgungssysteme oder andere Unternehmen dadurch erhebliche Probleme bekommen könnten, lohnt sich eine genauere Prüfung.
Besonders häufig betroffen: IT-Dienstleister und digitale Anbieter
Eine Gruppe wird bei NIS 2 besonders oft unterschätzt: Unternehmen, die technische Dienstleistungen anbieten. Dazu gehören beispielsweise Managed-Service-Provider, Cloud-Anbieter, Hosting-Unternehmen oder Anbieter von Sicherheitslösungen.
Der Grund ist einfach: Diese Firmen betreiben häufig die Systeme, auf denen andere Organisationen ihre Arbeit aufbauen. Ein Angriff auf einen zentralen IT-Dienstleister kann deshalb viele Kunden gleichzeitig treffen.
Ich habe in der Vergangenheit mehrere Sicherheitsprojekte begleitet, bei denen genau diese Abhängigkeit sichtbar wurde. Ein Unternehmen hatte seine eigenen Systeme gut abgesichert, aber kaum geprüft, welche Risiken durch externe Partner entstehen. Die technische Schutzmauer war stabil – nur die Lieferkette hatte Lücken.
NIS 2 bringt deshalb einen wichtigen Perspektivwechsel: IT-Sicherheit endet nicht mehr an der eigenen Unternehmensgrenze.
Was Unternehmen prüfen sollten, bevor sie eine Entscheidung treffen
Bevor ein Unternehmen Maßnahmen plant, sollte zuerst eine saubere Einordnung erfolgen. Viele Organisationen starten direkt mit technischen Lösungen, kaufen neue Sicherheitssoftware oder erstellen Dokumente. Das kann später unnötige Arbeit verursachen.
Der erste Schritt ist eine Bestandsaufnahme. Welche Leistungen bietet das Unternehmen tatsächlich an? Welche Kunden nutzen diese Leistungen? Gibt es Verbindungen zu kritischen Bereichen? Welche Systeme sind für den Betrieb unverzichtbar?
Auch Verträge mit Dienstleistern verdienen Aufmerksamkeit. NIS 2 fordert einen stärkeren Umgang mit Risiken innerhalb der Lieferkette. Wer wichtige IT-Leistungen einkauft, sollte nicht nur auf Preis und Verfügbarkeit achten, sondern auch auf Sicherheitsprozesse des Partners.
Ein kleiner Cloud-Anbieter, der bisher ausschließlich über technische Verfügbarkeit gesprochen hat, wird künftig häufiger Fragen zu Sicherheitskonzepten, Vorfallmanagement und Zugangskontrollen beantworten müssen.
Welche Pflichten auf betroffene Organisationen zukommen
Wenn ein Unternehmen unter NIS 2 fällt, geht es nicht darum, jede denkbare Sicherheitslücke zu verhindern. Das wäre weder realistisch noch technisch möglich. Gefordert wird vielmehr ein angemessenes Risikomanagement.
Dazu gehören unter anderem Maßnahmen wie der Schutz von Netzwerken und Informationssystemen, der Umgang mit Sicherheitsvorfällen, Wiederherstellungspläne und ein kontrollierter Umgang mit Risiken durch Lieferanten.
In vielen Unternehmen existieren einzelne Sicherheitsmaßnahmen bereits. Das Problem liegt häufig weniger im fehlenden Werkzeug, sondern in fehlenden Strukturen. Ein Backup-System ist beispielsweise nur dann hilfreich, wenn regelmäßig geprüft wird, ob eine Wiederherstellung tatsächlich funktioniert.
Ähnlich verhält es sich mit Notfallplänen. Ein Dokument, das seit Jahren in einem Ordner liegt, hilft wenig, wenn niemand weiß, welche Schritte im Ernstfall notwendig sind.
Warum NIS 2 für viele Unternehmen eine Chance zur Ordnung ist
Bei neuen gesetzlichen Anforderungen entsteht oft zuerst Widerstand. Das verstehe ich, denn zusätzliche Vorgaben bedeuten zunächst mehr Arbeit. Trotzdem sehe ich bei NIS 2 einen positiven Effekt: Viele Unternehmen beginnen dadurch, ihre eigene digitale Abhängigkeit realistischer zu betrachten.
In zahlreichen Betrieben sind IT-Systeme über Jahre gewachsen. Neue Software wurde eingeführt, alte Systeme blieben bestehen, Zuständigkeiten veränderten sich. Solche Strukturen funktionieren im Alltag oft erstaunlich lange – bis ein Sicherheitsvorfall zeigt, wo die Schwachstellen liegen.
NIS 2 zwingt Organisationen dazu, Fragen zu stellen, die ohnehin wichtig sind: Wer hat Zugriff auf kritische Systeme? Wie schnell können wir nach einem Angriff wieder arbeiten? Welche Informationen benötigen wir von unseren Dienstleistern?
Die häufigsten Missverständnisse rund um die Betroffenheit
Ein verbreiteter Irrtum ist, dass nur Unternehmen mit eigener IT-Abteilung betroffen sein können. Das Gegenteil ist oft der Fall. Gerade kleinere Organisationen ohne große interne IT-Strukturen müssen prüfen, wie sie Sicherheitsanforderungen erfüllen können.
Ein weiteres Missverständnis betrifft den Begriff „kritisch“. Viele verbinden damit nur Energie, Wasser oder staatliche Einrichtungen. Die moderne Wirtschaft hängt jedoch stark von digitalen Dienstleistungen ab. Ein Ausfall eines wichtigen Softwaredienstes kann heute ähnliche Auswirkungen haben wie ein klassischer Infrastrukturfehler.
Auch die Annahme, dass NIS 2 ausschließlich ein Thema für die IT-Abteilung sei, führt häufig zu Problemen. Sicherheitsentscheidungen betreffen Geschäftsführung, Einkauf, Personal und operative Bereiche gleichermaßen.
Mein Blick auf die Vorbereitung: Lieber früh verstehen als spät reagieren
Bei Sicherheitsanforderungen beobachte ich immer wieder ein ähnliches Muster: Unternehmen warten, bis eine Frist näher rückt, und versuchen dann möglichst schnell Anforderungen abzuhaken. Bei NIS 2 ist dieser Ansatz besonders ungünstig, weil viele Fragen nicht mit einem einzelnen technischen Produkt beantwortet werden können.
Die bessere Vorgehensweise beginnt mit Verständnis. Wer weiß, ob und warum die eigene Organisation betroffen ist, kann gezielt handeln. Wer nur eine Checkliste abarbeitet, übersieht leicht die Punkte, die im Ernstfall wirklich entscheidend sind.
Am Ende geht es bei NIS 2 nicht darum, Unternehmen mit zusätzlicher Bürokratie zu beschäftigen. Es geht um eine Realität, die viele Betriebe bereits kennen: Digitale Systeme sind längst ein Teil der wichtigsten Geschäftsprozesse geworden. Sicherheit bedeutet deshalb nicht nur Schutz vor Angriffen, sondern auch die Fähigkeit, nach Problemen weiterarbeiten zu können.
Vielleicht ist genau diese Perspektive die wichtigste Veränderung durch NIS 2. Die Frage lautet nicht mehr nur: „Sind wir betroffen?“ Sondern auch: „Wie abhängig sind wir von unserer digitalen Umgebung – und wissen wir wirklich, wie wir damit umgehen?“
Illustrationen und Bilder: Magnific (https://www.magnific.com)
Interessiert sich besonders für Software, Webdienste und clevere Lösungen für typische Computerprobleme. Testet gerne Programme und neue Funktionen, bevor sie im Freundeskreis überhaupt jemand entdeckt hat – freie Zeit gehört Büchern, Fotografie und gelegentlichen Technik-Basteleien.