Cyber Resilienz
NIS2 in Unternehmen: Bin ich betroffen und was ist genau zu tun?
Kernaussagen
- NIS2 stärkt Cybersecurity und Meldewesen für Organisationen in bestimmten Branchen; in Deutschland gelten die Regeln im BSIG — wer genau betroffen ist, hängt von Tätigkeit und Unternehmensgröße ab.
- Orientierung liefern feste Größenmerkmale (Mitarbeitende, Umsatz, Bilanz) plus Branchenzuordnung; die offizielle Betroffenheitsprüfung des BSI ersetzt keine Rechtsberatung, gibt aber eine strukturierte Ersteinschätzung.
- Praktisch geht es oft um Registrierung beim BSI, nachvollziehbares Risikomanagement, Meldung schwerer Vorfälle und klare Zuständigkeiten — nicht um „mehr Papier“, sondern um steuerbare Sicherheit.
- Geschäftsleitungen sind in die Pflicht genommen (u. a. Schulung, Überwachung); technische und organisatorische Maßnahmen müssen zum eigenen Risiko passen.
- Für die Umsetzung werden häufig Profile gesucht, die Regulatorik, IT-Sicherheit und Betrieb zusammenführen können — nicht nur einzelne Zertifikate.
Viele Unternehmen fragen sich derzeit: Gilt NIS2 für uns — und wenn ja, was muss organisatorisch und technisch passieren? Für die NIS2-Umsetzung in Unternehmen in Deutschland zählen neben der Branche vor allem Größe und Rechtsform; Orientierung liefert die BSI-Betroffenheitsprüfung zum NIS2-/BSIG-Anwendungsbereich. Dieser Text fasst die wichtigsten Punkte in Alltagssprache zusammen und nennt konkrete Größenmerkmale aus dem geltenden BSIG. Vertiefung und Aktualität liefern die Behörden- und EU-Quellen am Ende jedes Abschnitts.
Hinweis: Keine Rechtsberatung. Bei Grenzfällen (Konzern, mehrere Standorte, ausgelagerte IT) lohnt die Abstimmung mit Fachjuristinnen und Fachjuristen.
NIS2 kurz erklärt
Die EU-Richtlinie NIS2 soll Netz- und Informationssicherheit in Europa angleichen: Organisationen in bestimmten Branchen müssen Vorfälle melden können, Risiken managen und Nachweise führen, wo es das Gesetz verlangt. In Deutschland ist das im BSIG (Gesetz zum Bundesamt für Sicherheit in der Informationstechnik) umgesetzt; das BSI ist zentrale Anlaufstelle und betreibt Hilfen wie FAQs und die Betroffenheitsprüfung.
Überblick EU-Seite: ENISA — The NIS2 Directive (englisch, guter Einstieg in Zweck und Scope der Richtlinie).
NIS2: Welche Unternehmen sind betroffen?
Nicht jedes Unternehmen ist von NIS2 erfasst — entscheidend ist zuerst die Art der Tätigkeit (z. B. Energie, Transport, Gesundheit, Wasser, öffentliche Kommunikation, digitale Dienste und weitere in den Anlagen zum Gesetz genannte Bereiche). Wer unsicher ist, nutzt am schnellsten die offizielle NIS-2-Betroffenheitsprüfung des BSI: Sie führt durch Fragen zur Tätigkeit und ersetzt keine juristische Einzelfallprüfung, verschafft aber Orientierung.
Allgemeine Fragen beantwortet die BSI-FAQ zu NIS-2 (Kurzlink: bsi.bund.de/dok/nis-2-faq-allgemein).
Ab welcher Größe wird es relevant — die Schwellen in Kürze
Wenn die Branche grundsätzlich infrage kommt, spielt die Unternehmensgröße eine große Rolle. Im BSIG werden zwei Stufen unterschieden: besonders wichtige Einrichtungen (höherer Pflichtenumfang) und wichtige Einrichtungen. Die konkreten Zahlen stehen in § 28 BSIG; die Kästen fassen die typischen Fälle zusammen (ohne Sonderregeln wie KRITIS-Betrieb, DNS, Vertrauensdienste — die können auch größenunabhängig gelten).
Quelle für den Wortlaut: § 28 BSIG (Konsolidierung; Stand der Darstellung: Gesetz vom 2.12.2025).
Telekommunikation (öffentliche Netze bzw. öffentlich zugängliche Dienste)
- Besonders wichtig: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. €.
- Wichtig: weniger als 50 Beschäftigte und Jahresumsatz sowie Jahresbilanzsumme jeweils 10 Mio. € oder darunter.
Übrige Sektoren laut Anlagen zum Gesetz (z. B. Energie, Gesundheit, viele digitale Infrastruktur-Tätigkeiten — exakte Liste im Gesetz)
- Besonders wichtig: mindestens 250 Beschäftigte oder Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. €.
- Wichtig: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. €.
Die Zahlen beziehen sich auf das Unternehmen nach den Regeln zur KMU-Ermittlung; verbundene Unternehmen können einzubeziehen sein — Details siehe § 28 Abs. 4 BSIG und die BSI-FAQ zu Konzernen und „Size-Cap“.
Wer diese Grobeinteilung nutzt, sollte das Ergebnis immer mit der Betroffenheitsprüfung oder rechtlicher Beratung gegenprüfen — Randfälle (z. B. mehrere Tätigkeiten, Teilkonzerne) sind im Alltag häufig.
Nur für Einzelfälle: Was das BSI nicht leistet
Das BSI erteilt keine verbindliche Einzelfallberatung zur Betroffenheit. Bei Unklarheiten verweist es auf externe juristische Unterstützung.
Zertifikate wie ISO 27001 oder Bausteine aus dem IT-Grundschutz können helfen, Nachweise zu strukturieren — ersetzen aber keinen Abgleich mit dem konkret geforderten Maßnahmenkatalog.
Was bedeutet das im Arbeitsalltag?
Unabhängig von Paragraphen zahlen für viele betroffene Organisationen dieselben Themen:
- Registrierung und Daten im BSI-Portal (praktisch oft über „Mein Unternehmenskonto“ / ELSTER-Organisationszertifikat, siehe BSI-Hinweise zur Registrierung).
- Risikoanalyse und dokumentierte Maßnahmen: nicht nur „IT-Feuerwehr“, sondern nachvollziehbare Entscheidungen und Verantwortlichkeiten.
- Meldewesen bei schweren Sicherheitsvorfällen: interne Wege, wer wann informiert; das BSI betont in den FAQ ein Prinzip der Schnelligkeit, auch wenn Details erst nachkommen.
- Geschäftsleitung: Schulung und Überwachungspflichten sind explizit Thema — ohne laufende Einbindung der Führung lassen sich viele Anforderungen nicht dauerhaft erfüllen.
- Lieferanten und ausgelagerte IT: Verträge allein reichen nicht; die Einrichtung bleibt in der Pflicht, Anforderungen steuerbar zu machen.
Ausführungen zu Meldewege und Rollen finden sich in der BSI-FAQ; zur Einordnung der Richtlinie ergänzen ENISA-Materialien den EU-Kontext.
Finanzsektor und DORA
Finanzunternehmen, für die die DORA-VO vorgeschrieben ist, sind von weiten Teilen der NIS2-Pflichten im BSIG ausgenommen — Registrierung kann dennoch anfallen. Doppelmeldungen gleicher Vorfälle sind ausgeschlossen, wenn bereits DORA-mäßig gemeldet wird. Details: BSI-FAQ zu DORA und NIS2.
Optional: Managed-Service-Anbieter (MSP)
Wer IT für andere betreibt und dafür tiefen technischen Zugriff hat, kann unter bestimmten Voraussetzungen als Managed Service Provider eingeordnet sein — reine „Markenverantwortung“ ohne Betrieb reicht nicht. Konzerninterne IT kann betroffen sein, wenn sie Systeme anderer Konzerngesellschaften aktiv verwaltet. Für die Einordnung lohnt der BSI-FAQ-Abschnitt zu MSP.
Konkrete nächste Schritte (Checkliste)
Zum Abhaken im Projekt
- Betroffenheitsprüfung des BSI nutzen oder intern klären: Branche, Größe, ggf. Konzern.
- Verantwortliche benennen: Informationssicherheit, IT, Fachbereich, Ansprechpartner für Meldungen.
- Bestandsaufnahme: Welche Systeme und Dienstleister sind kritisch? Wo fehlen Dokumentation oder Notfallpfade?
- Registrierung vorbereiten: Organisationszugang / BSI-Portal (Zeitplanung einplanen).
- Schulung der Geschäftsleitung und Awareness im Unternehmen vorbereiten — nicht als Formalakt, sondern als Steuerungsinstrument.
- Bei grenzüberschreitendem Auftritt prüfen, ob in anderen EU-Staaten zusätzliche Meldepflichten bestehen (Meldung an das BSI ersetzt diese nicht).
Wer parallel Personal für Programme oder dauerhafte Rollen sucht, sollte das Profil klar von „reiner Security“ oder „reinem Compliance“ abgrenzen — die Übersetzung zwischen Vorgabe, Technik und Betrieb ist meist der Engpass. Genau solche NIS2-/BSIG-Profile für Informationssicherheit sind derzeit häufig knapp.
Warum Personal und NIS2 zusammengehören
Umsetzung bedeutet selten nur ein Tool oder eine Richtlinie: Es braucht Personen, die Risiken priorisieren, Nachweise zusammenführen und mit Prüfern sowie dem BSI kommunizieren können. Genau dort entsteht Nachfrage nach erfahrenen Spezialisten — die folgenden FAQ-Antworten beschreiben, wie Perfomynd hier unterstützt.
Fazit
NIS2 betrifft nur Organisationen in den definierten Tätigkeitsfeldern — kombiniert mit klaren Größenmerkmalen oder Sonderfällen. Wer die Schwellen ungefähr erkennt, sollte dennoch die Betroffenheitsprüfung des BSI oder Fachberatung nutzen. Im Alltag geht es um Registrierung, nachvollziehbares Risikomanagement, Meldewesen und Führungsverantwortung — und um tragfähige Zusammenarbeit zwischen IT, Sicherheit und Fachbereichen.
Für vertiefende Fragen bleiben die BSI-FAQ und ergänzend ENISA-Materialien zur Richtlinie die sachlichen Anker.
Wenn du die Umsetzung personell absichern willst, ist hier der direkte nächste Schritt: Cybersecurity Recruiting.
Häufige Fragen
- Gemeinsam mit dem Mandanten werden Rollenprofil, Verantwortlichkeiten und Schnittstellen geklärt (IT, Informationssicherheit, Fachbereich, ggf. externe Prüfer). Anschließend erfolgen aktive Marktrecherche und Direktansprache, auch gegenüber Kandidaten ohne Reaktion auf Stellenanzeigen; die Qualifizierung orientiert sich an fachlicher Tiefe und an der Passung zum regulierten Umfeld des Mandanten. Shortlists werden an die konkrete Umsetzungsrealität angepasst, nicht an Keyword-Matches.
- Regulatorische Anforderungen, Nachweislogik und Erwartungen an ISMS-Prozesse steigen parallel; verfügbar sind vergleichsweise wenige Spezialisten mit nachweisbarer Praxis bei BSIG/NIS2 inklusive Dokumentation, Meldewesen und Lieferketten. Viele Organisationen konkurrieren um dieselben Profile; Generalisten ohne Referenzprojekte reichen für anspruchsvolle Mandate häufig nicht aus.
- Typisch sind nachweisbare Erfahrung mit Risikomanagement und Sicherheitsmaßnahmen im Sinne des BSIG, Kenntnis relevanter Normen (z. B. ISO/IEC 27001, je nach Rolle IT-Grundschutz), Verständnis von Melde- und Registrierungsprozessen beim BSI sowie die Steuerbarkeit technischer und organisatorischer Maßnahmen, ergänzt um Branchen- bzw. Prozesswissen im jeweiligen Unternehmen. Die Profilemischung hängt davon ab, ob Governance, operative Umsetzung oder Audit-Vorbereitung im Vordergrund stehen.