NIS2: Wer ist betroffen?
NIS2 ist eine EU-Richtlinie, die in Deutschland über das NIS2-Umsetzungsgesetz (NIS2UmsuCG) und Anpassungen am BSIG konkret wird. Ob du betroffen bist, hängt vor allem von Sektor, Größe (Size-Cap-Regel) und Rolle als Betreiber bzw. Dienstleister ab.
- Starte mit einer NIS2-Betroffenheitsprüfung: Sektor, Größe, Rolle, Verbund/Gesellschaften.
- Unterscheide sauber zwischen Besonders wichtiger Einrichtung (bwE) und Wichtiger Einrichtung (wE).
- Plane Pflichten (Sicherheitsmaßnahmen, Meldepflichten, Registrierung beim BSI) als Roadmap mit Meilensteinen.
Je früher die Einstufung steht, desto einfacher wird die Umsetzung: weniger Reibung, weniger Doppelarbeit und messbar weniger Vorfallsrisiko durch klare Verantwortlichkeiten und bessere Detection.
Du sorgst dafür, dass M365 läuft. Wir sorgen dafür, dass niemand unbemerkt eindringt, heimlich mitliest und Schaden anrichtet.
Definition
NIS2 ist eine EU-Richtlinie zur Stärkung der Cybersicherheit in fest definierten Sektoren und bei bestimmten Einrichtungen in der EU. Sie ist keine allgemeine Pflicht für alle Unternehmen und keine reine Compliance-Übung, sondern verbindet konkrete Sicherheitsanforderungen mit Registrierung und Meldepflichten.
Einleitung
Die Frage „nis2 wer ist betroffen“ entscheidet, ob du handeln musst und wie viel Druck zeitlich entsteht. Wenn die Betroffenheit falsch eingeschätzt wird, landen Teams oft in Aktionismus: Controls werden gebaut, aber Nachweis, Meldewege und Verantwortungen passen nicht zusammen. Mit einer klaren Betroffenheitsprüfung bekommst du eine belastbare Einstufung und kannst die Umsetzung als Plan aufsetzen.
NIS2: Wer ist betroffen (bwE vs. wE)?
In Deutschland wird typischerweise zwischen Besonders wichtigen Einrichtungen (bwE) und Wichtigen Einrichtungen (wE) unterschieden; zusätzlich gibt es KRITIS bzw. Betreiber kritischer Anlagen mit eigenen Schwellen und Pflichten. Die Einordnung folgt im Kern drei Kriterien: relevanter Sektor, Unternehmensgröße (Size-Cap-Regel, häufig anhand Mitarbeitenden und Jahresumsatz in Millionen) und die Rolle im Betrieb kritischer oder digitaler Dienste.
Wichtig für die Praxis: wE und bwE sind keine „Labels“, sondern steuern Umfang der Anforderungen, Prüfdruck und Erwartung an Governance. Außerdem können verbundene Gesellschaften, Tochterunternehmen oder Betreiber-Modelle (Outsourcing) die Einstufung beeinflussen.
Betroffene Sektoren: Schnellüberblick mit Beispielen
Die NIS-Sektoren sind in Deutschland über Anlagenlisten im BSIG konkretisiert (oft als Anlage 1 / Anlage 2 referenziert). Typische Beispiele, die in Projekten regelmäßig auftauchen:
- Transport und Verkehr: z. B. Betreiber in der Logistikkette, Verkehrsdienstleistungen, relevante digitale Leit- und Betriebsprozesse.
- Gesundheitswesen: z. B. Kliniken, größere Versorger, kritische Dienste rund um Versorgung und IT.
- Digitale Infrastruktur und digitale Dienste / IKT-Dienstleistungen: z. B. zentrale Plattformen, Hosting-nahe Leistungen, sicherheitsrelevante Betreiberrollen.
Auch Energie, Bankwesen und Finanzmarktinfrastrukturen, Lebensmittelindustrie, verarbeitendes Gewerbe, Forschung sowie Post- und Kurierdienste können betroffen sein. Entscheidend ist nicht das Schlagwort, sondern ob deine Einrichtung im jeweiligen Sektor nach Kriterien und Schwellenwerten fällt.
Checkliste: So läuft die NIS2-Betroffenheitsprüfung
Mit dieser kompakten Betroffenheitsprüfung kannst du intern innerhalb weniger Stunden eine erste Einstufung vorbereiten:
- Sektor und Leistung: In welchem Sektor erbringst du welche kritischen oder digitalen Dienste, und bist du Betreiber oder Dienstleister?
- Größe und Struktur: Mitarbeitenden-Zahl, Jahresumsatz (in Millionen), Standorte, verbundene Gesellschaften und Tochterunternehmen.
- Regulatorik-Impact: Berührung zu KRITIS / Betreiber kritischer Anlagen, Abhängigkeiten in der Lieferkette und externe Betreiber-Modelle.
Für die formale Seite spielen das BSI, das BSIG (u. a. §28 BSIG im Kontext der Einordnung) und das NIS2UmsuCG eine Rolle. Häufig folgt nach der Einstufung die Registrierung über ein BSI-Portal bzw. NIS-2-Registrierungsportal (teils in Verbindung mit „Mein Unternehmenskonto (MUK)“). Für den Start reichen ein interner Entscheidungsbaum und ein sauber dokumentiertes Ergebnis.
Pflichten: Was sich nach der Einstufung ändert
Wenn NIS2 gilt, geht es um mehr als „Security verbessern“. Typisch sind drei Pflichtblöcke, die zusammen funktionieren müssen:
- Sicherheitsmaßnahmen: z. B. Multi-Faktor-Authentifizierung (MFA), sauberes Identity- und Rollenmodell, Härtung und kontinuierliches Monitoring.
- Meldepflichten: Prozesse für Incident-Bewertung und -Meldung mit Fristen 24h / 72h / 1 Monat, inklusive Dokumentation.
- Governance und Verantwortung: Klarer Owner in der Geschäftsleitung, Nachweisfähigkeit, Lieferkettensicherheit und interne Kontrollen.
Der Nutzen ist messbar: weniger erfolgreiche Kontoübernahmen, schnellere Erkennung von Angriffen und weniger ungeplante Betriebsunterbrechungen. Vor allem durch bessere Sichtbarkeit (Logging) und strukturierte Reaktionswege sinkt das Risiko, dass ein Vorfall „unbemerkt“ teuer wird.
Roadmap zur Umsetzung: 6 Schritte mit Meilensteinen
Eine pragmatische Umsetzung vermeidet Einzellösungen und baut aufeinander auf:
- Phase 1: Einstufung (wE/bwE/KRITIS) und Scope-Festlegung inkl. Gesellschaften, Betreiberrollen, digitale Dienste.
- Phase 2: Gap-Analyse gegen Anforderungen, dann Quick Wins (MFA, Conditional Access, Rollen/PIM, Baseline-Härtung).
- Phase 3: Detection & Response plus Nachweis: Meldeprozess, Playbooks, Reporting, Audit-taugliche Dokumentation.
Als Hilfsmittel sind ein NIS2-Betroffenheits-Checker und eine NIS-2-Checkliste sinnvoll. Praktisch funktioniert das am besten als interaktiver Checker (für wiederholbare Einstufungen) und als PDF-Leitfaden (für Management und Prüfnachweis).
Mini-Story: Ein Unternehmen im verarbeitenden Gewerbe hielt sich lange für „nicht betroffen“. In der Betroffenheitsprüfung wurde klar, dass ein digitaler Dienst und eine relevante Lieferkettenrolle den Scope verändern. Ergebnis: klare Registrierung, verbindlicher Meldeprozess, und durch verbessertes Monitoring wurden Security-Alerts nicht mehr nur gesammelt, sondern tatsächlich bearbeitet.
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung wird sinnvoll, wenn mindestens einer dieser Punkte zutrifft: unklare Sektorzuordnung, komplexe Gesellschaftsstruktur, mehrere Dienstleister/Betreiber in der digitalen Infrastruktur oder fehlende Kapazität für Monitoring und Incident-Prozesse. Dann geht es weniger um „mehr Wissen“, sondern um Tempo, saubere Dokumentation und einen Betrieb, der Pflichten im Alltag wirklich erfüllt.
Gerade bei Meldepflichten zählt Umsetzbarkeit: klare Triage, reproduzierbare Entscheidungen und belastbare Nachweise. Ohne das bleibt NIS2 häufig Theorie und bindet Ressourcen, ohne das Risiko spürbar zu senken.
Fazit
NIS2 betrifft in Deutschland nicht „alle“, aber deutlich mehr Einrichtungen als viele erwarten. Wenn du Sektor, Größe und Betreiberrolle sauber prüfst, bekommst du schnell Klarheit über bwE vs. wE, Registrierung und Pflichten.
Die beste Reihenfolge ist: Betroffenheitsprüfung, Scope, Roadmap, Nachweis. So entsteht nicht nur Compliance, sondern spürbar weniger Vorfallsrisiko und weniger ungeplante Kosten durch bessere Erkennung und klare Melde- und Reaktionswege.
Häufige Fragen
Gilt NIS2 nur für KRITIS?
Nein. Neben KRITIS bzw. Betreibern kritischer Anlagen können auch Besonders wichtige Einrichtungen (bwE) und Wichtige Einrichtungen (wE) in definierten Sektoren betroffen sein. Die Einstufung hängt von Sektor, Größe und Rolle ab.
Wie finde ich schnell heraus, ob NIS2 gilt?
Starte mit einer NIS2-Betroffenheitsprüfung: Sektor prüfen, Size-Cap-Regel (Mitarbeitende und Jahresumsatz) einordnen, Betreiber- oder Dienstleisterrolle klären und verbundene Gesellschaften berücksichtigen. Danach kannst du gezielt klären, ob Registrierung beim BSI nötig ist.
Welche Meldepflichten gelten unter NIS2?
Typisch sind Meldepflichten mit gestuften Fristen (24 Stunden / 72 Stunden / 1 Monat) sowie interne Dokumentation. Ob und wie genau das greift, richtet sich nach Einstufung und nationaler Umsetzung (NIS2UmsuCG/BSIG).
Lohnt sich der Aufwand, auch wenn noch kein Vorfall passiert ist?
Ja, weil NIS2-Umsetzung nicht nur Pflichterfüllung ist: MFA, klare Rollen, Logging und Incident-Prozesse senken das Risiko erfolgreicher Angriffe und reduzieren Betriebsunterbrechungen. Der Nutzen wird im Alltag sichtbar, wenn Alarme nicht liegen bleiben und Entscheidungen schneller dokumentiert werden können.
