Seit Dezember 2025 ist die NIS2-Richtlinie in Deutschland geltendes Recht – ohne Übergangsfrist. Rund 29.500 Unternehmen sind direkt betroffen, doch laut einer aktuellen Erhebung unterschätzen etwa 48 Prozent der Befragten ihre eigene regulatorische Betroffenheit. Viele Unternehmen wissen also möglicherweise gar nicht, dass sie gemeint sind. Dieser Beitrag hilft Ihnen bei der ersten Einschätzung.
Was ist NIS2 überhaupt?
NIS2 steht für „Network and Information Security Directive 2“ – eine EU-Richtlinie, die einheitliche Mindeststandards für Cybersicherheit schaffen soll. Anders als die Vorgängerregelung betrifft sie nicht mehr nur Betreiber kritischer Infrastrukturen wie Energieversorger oder Krankenhäuser, sondern deutlich mehr Unternehmen aus 18 definierten Sektoren.
Sind Sie betroffen? Die drei Kernfragen
Für eine erste Einschätzung sollten Sie drei Punkte prüfen:
- Unternehmensgröße: Haben Sie mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz?
- Sektor: Fällt Ihr Unternehmen in einen der 18 definierten Bereiche? Dazu zählen unter anderem verarbeitendes Gewerbe, Gesundheitswesen, digitale Infrastruktur, Energie und Verkehr.
- Lieferkette: Sind Sie Zulieferer oder Dienstleister für ein Unternehmen, das selbst NIS2-pflichtig ist?
Der dritte Punkt wird oft übersehen und ist gerade für Betriebe in Südwestfalen relevant: Auch wer selbst unter den Schwellenwerten liegt, gerät zunehmend über die Anforderungen größerer Kunden in die Pflicht. Immer häufiger fragen Auftraggeber bei ihren Zulieferern Sicherheitsnachweise ab.
Welche Pflichten bestehen konkret?
Für direkt betroffene Unternehmen schreibt das Gesetz zehn Mindestmaßnahmen im Risikomanagement vor. Dazu kommen zwei organisatorische Pflichten, die in der Praxis besonders relevant sind:
- Registrierung beim BSI – die Frist hierfür ist bereits am 6. März 2026 abgelaufen
- Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden
Bemerkenswert ist die Haftungsfrage: Die Geschäftsleitung haftet nach § 38 BSIG persönlich und muss selbst an Schulungen zur Cybersicherheit teilnehmen. Die Verantwortung lässt sich also nicht vollständig an die IT delegieren.
Was Sie jetzt tun sollten
Falls Sie unsicher sind, ob Ihr Unternehmen betroffen ist, empfehlen wir drei Schritte:
- Betroffenheit klären – anhand von Größe, Sektor und Kundenbeziehungen
- Ist-Stand erfassen – welche Sicherheitsmaßnahmen bestehen bereits, was fehlt?
- Dokumentation aufbauen – im Ernstfall zählt, was nachweisbar ist
Auch wenn Ihr Unternehmen nicht direkt betroffen ist: Die zugrundeliegenden Maßnahmen – Backups, Zugriffskontrollen, Notfallpläne, Mitarbeiterschulungen – sind ohnehin sinnvoll und schützen vor realen Schäden.
Fazit
NIS2 ist kein reines Großkonzern-Thema mehr. Gerade mittelständische Zulieferer in Südwestfalen sollten prüfen, ob sie direkt oder indirekt betroffen sind. Wer jetzt strukturiert vorgeht, vermeidet Hektik – und verbessert nebenbei die eigene Widerstandsfähigkeit gegen Cyberangriffe.
Unsicher, wo Ihr Unternehmen steht?
Wir helfen Ihnen, den Ist-Stand Ihrer IT-Sicherheit einzuordnen und die notwendigen Maßnahmen praxistauglich umzusetzen. Vereinbaren Sie ein kostenloses Erstgespräch.