NIS2 Betroffenheit: Wer fällt unter die EU-Richtlinie?

Die NIS2 Betroffenheit richtet sich primär an mittlere und große Unternehmen ab 50 Mitarbeitenden oder einem Jahresumsatz von mindestens 10 Millionen Euro, die in kritischen oder wichtigen Sektoren tätig sind. Neben der reinen Unternehmensgröße spielen jedoch auch die Stellung in der Lieferkette und spezielle Sonderregeln eine entscheidende Rolle. Wer unter die Richtlinie fällt, muss strenge Cybersicherheitsmaßnahmen nachweisen und haftet bei Verstößen persönlich.

Grundlegende Kriterien für die NIS2 Betroffenheit

Die Europäische Union verfolgt mit der NIS2-Richtlinie das Ziel, das allgemeine Sicherheitsniveau von Netz- und Informationssystemen drastisch zu erhöhen. Im Vergleich zur Vorgängerregelung wurde der Kreis der betroffenen Organisationen massiv erweitert. Es reicht keineswegs mehr aus, nur klassische Betreiber kritischer Infrastrukturen wie Großkraftwerke oder Netzbetreiber zu betrachten.

Für die Feststellung der NIS2 Betroffenheit gilt eine Kombination aus zwei Hauptkriterien: der Wirtschaftssektor, in dem Ihr Betrieb agiert, und die wirtschaftliche Größe der Organisation. Wer beide Schwellen überschreitet, fällt automatisch unter den Anwendungsbereich der gesetzlichen Vorgaben.

Schwellenwerte bei Mitarbeiterzahl und Umsatz

Als allgemeine Untergrenze definiert die Richtlinie sogenannte mittlere Unternehmen. Ein Betrieb ist in der Regel betroffen, wenn mindestens 50 Mitarbeiter beschäftigt werden oder der Jahresumsatz beziehungsweise die Jahresbilanzsumme den Wert von 10 Millionen Euro überschreitet.

Großunternehmen ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Jahresumsatz fallen ebenfalls ausnahmslos unter die Regelung, sofern sie im relevanten Sektor tätig sind. Wichtig dabei: Verbundene Unternehmen und Konzernstrukturen müssen bei der Ermittlung der Mitarbeiterzahlen und Finanzkennzahlen oft mitangerechnet werden. Reines Unterteilung in eigenständige GmbHs schützt daher nicht automatisch.

Betroffene Sektoren im Detail

Die Richtlinie unterscheidet zwei Gruppen von Branchen: Sektoren mit hoher Kritizität (Anhang 1) und sonstige kritische Sektoren (Anhang 2). Zu den Sektoren mit hoher Kritizität zählen unter anderem Energie, Verkehr, Bankenwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement und Raumfahrt.

Zu den sonstigen kritischen Sektoren gehören Post- und Kurierdienste, Abfallwirtschaft, Produktion und Handel mit chemischen Stoffen, Lebensmittelproduktion und -verarbeitung, verarbeitendes Gewerbe (etwa Fahrzeugbau, Maschinenbau, Medizintechnik) sowie Anbieter digitaler Dienste wie Online-Marktplätze oder Suchmaschinen.

Wesentliche vs. Wichtige Einrichtungen im Vergleich

Innerhalb des Anwendungsbereichs unterscheidet NIS2 zwischen zwei Stufen der Regulierungsintensität: wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities). Der Hauptunterschied liegt vor allem im Grad der behördlichen Überwachung und den Sanktionsmechanismen.

Wesentliche Einrichtungen werden proaktiv durch die Behörden überwacht. Das bedeutet, dass Prüfungen und Audits auch ohne konkreten Verdachtsanlass stattfinden können. Bei wichtigen Einrichtungen erfolgt die Überwachung hingegen reaktiv, also meist erst nach einem Vorfall oder bei konkreten Anhaltspunkten für Sicherheitslücken.

Kategorie Unternehmensgröße Aufsicht durch Behörden Typische Branchen

Wesentliche Einrichtungen Großunternehmen (ab 250 MA / 50M € Umsatz) in Anhang 1 Proaktiv und ex-ante (regelmäßige Audits) Energie, Gesundheit, Telekommunikation

Wichtige Einrichtungen Mittlere Unternehmen (ab 50 MA / 10M € Umsatz) in Anhang 1 & 2 Reaktiv und ex-post (bei Anlass oder Vorfall) Maschinenbau, Lebensmittel, Entsorgung

Ausnahmen von der Regel: Wann kleinere Betriebe betroffen sind

Viele kleine Betriebe wiegen sich in falscher Sicherheit, weil sie unter der Grenze von 50 Mitarbeitenden bleiben. Dies kann ein gefährlicher Trugschluss sein. Der Verordnungstext sieht ausdrückliche Ausnahmeregelungen vor, die auch Kleinstunternehmen in die Pflicht nehmen.

Wenn ein Unternehmen der einzige Anbieter eines Dienstes in einem Mitgliedstaat ist oder ein Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit oder Ordnung hätte, greift die Richtlinie unabhängig von der Betriebsgröße. Dazu zählen beispielsweise spezialisierte Vertrauensdiensteanbieter, Betreiber zentraler DNS-Server oder Top-Level-Domain-Registrierstellen.

Ein weiterer Indikator ist die Einbindung in Wertschöpfungsketten. Große Konzerne und wesentliche Einrichtungen geben die regulatorischen Vorgaben über ihre Einkaufsbedingungen an Vorlieferanten weiter. Wer Verträge mit Großkunden sichern möchte, muss die Vorgaben zur IT-Security & Compliance oft vertraglich garantieren, selbst wenn kein direkter gesetzlicher Zwang besteht.

Drei Praxisbeispiele aus dem deutschen Mittelstand

Um die NIS2 Betroffenheit greifbarer zu machen, lohnt sich der Blick auf typische Konstellationen im deutschen Mittelstand. Nicht immer ist die Einordnung auf den ersten Blick eindeutig.

Ein mittelständischer Maschinenbauer mit 130 Mitarbeitenden und 28 Millionen Euro Umsatz fertigt spezialisierte Komponenten für die Automobilindustrie. Da das verarbeitende Gewerbe zu den wichtigen Sektoren zählt und die Schwellenwerte überschritten sind, gilt das Unternehmen als wichtige Einrichtung. Es muss formale Risikomanagement-Prozesse etablieren und Lieferketten risikobasiert bewerten.

Ein regionaler Logistiker für Frischeprodukte beschäftigt 60 Mitarbeitende. Als Akteur in der Lebensmittelversorgung und Logistik fällt der Betrieb direkt unter die Richtlinie. Neben physischer Kältetechnik stehen nun auch die Ausfallsicherheit der Disposition und die Absicherung der Netzwerke im Fokus der Audits.

Ein Softwarehaus mit 35 Mitarbeitenden entwickelt Spezialsoftware für Krankenhausinformationssysteme. Obwohl die reine Mitarbeiterzahl unter der Schwelle liegt, wird der Betrieb über die Kundenanforderungen und die hohe Kritizität des Gesundheitssektors zur Umsetzung adäquater Schutzmaßnahmen gezwungen. Ohne Nachweis entziehen die Auftraggeber die Freigabe.

Welche Pflichten folgen aus der Betroffenheit?

Die Feststellung der Betroffenheit ist nur der erste Schritt. Wer unter die Richtlinie fällt, muss ein Bündel konkreter technischer und organisatorischer Maßnahmen (TOM) nachweisen. Der Gesetzgeber fordert ein verhältnismäßiges Gefahrenmanagement, das dem aktuellen Stand der Technik entspricht.

Zu den zentralen Handlungsfeldern gehören unter anderem:

Konzepte für die Risikoanalyse und Sicherheit für Informationssysteme

Bewältigung von Sicherheitsvorfällen und Incident-Response-Pläne

Business Continuity Management mit einer verlässlichen Strategie für Backup & Archivierung

Sicherheit der Lieferkette und Risikoüberprüfung bei allen externen IT-Dienstleistern

Einsatz von Multi-Faktor-Authentifizierung (MFA) sowie sichere Sprach- und Datenkommunikation

Ein kritischer Punkt ist die Einhaltung strenger Meldepflichten. Bei erheblichen Sicherheitsvorfällen muss eine erste Warnmeldung innerhalb von 24 Stunden an das Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgen. Nach 72 Stunden ist eine ausführliche Bewertung der Ursachen und Auswirkungen einzureichen.

Haftung der Geschäftsleitung: Was Führungskräfte wissen müssen

Eine entscheidende Neuerungen der Richtlinie betrifft die persönliche Verantwortung der Unternehmensorgane. Die Geschäftsführung kann die Verantwortung für Cyber-Risiken nicht mehr vollständig an die IT-Leitung oder externe Dienstleister abwälzen.

Geschäftsführer und Vorstände sind verpflichtet, die Risikomanagement-Maßnahmen zu billigen und deren Umsetzung persönlich zu überwachen. Zudem schreibt das Gesetz regelmäßige Schulungen für Führungskräfte vor, damit diese Cyber-Risiken qualifiziert bewerten können.

Bei vorsätzlicher oder fahrlässiger Pflichtverletzung haften Geschäftsleiter unter Umständen persönlich mit ihrem Privatvermögen gegenüber der eigenen Gesellschaft. Dies unterstreicht die Notwendigkeit, das Thema direkt auf der obersten Leitungsebene zu verankern.

Der Fahrplan zur Klärung der NIS2 Betroffenheit

Um Rechtsunsicherheiten zu vermeiden, sollten Sie systematisch vorgehen. Beginnen Sie mit einer klaren Bestandsaufnahme der Unternehmensstruktur, aller Tochtergesellschaften und der tatsächlichen Kennzahlen des letzten Geschäftsjahres.

Prüfen Sie anschließend Ihre Zuordnung zu den im Gesetz genannten Sektoren und Teilsektoren. Berücksichtigen Sie dabei auch Ihre Rolle in den Lieferketten wichtiger Kunden und bewerten Sie bestehende Verträge.

Nutzen Sie unseren strukturierten NIS2-Check , um in wenigen Schritten eine erste Einschätzung zu erhalten. Im Anschluss unterstützen wir Sie gerne im Rahmen unserer NIS2 Beratung bei der lückenlosen Umsetzung aller technischen und organisatorischen Vorgaben.

Häufige Fragen

Ab wann gelten die Regelungen zur NIS2 Betroffenheit in Deutschland?

Die EU-Richtlinie muss von den Mitgliedstaaten in nationales Recht umgesetzt werden. In Deutschland erfolgt dies durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Betroffene Unternehmen sollten Schutzmaßnahmen frühzeitig umsetzen, da die Fristen für Audits und Meldepflichten streng vorgegeben sind.

Welche Strafen drohen bei Verstößen gegen die NIS2-Richtlinie?

Der Bußgeldrahmen ist erheblich verschärft worden. Für wesentliche Einrichtungen drohen Geldbußen von bis zu 10 Millionen Euro oder mindestens 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegt die Obergrenze bei bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes.

Sind reine Handwerksbetriebe oder Dienstleister von NIS2 betroffen?

Klassische Handwerksbetriebe und kleine Dienstleister sind in der Regel nicht direkt betroffen, sofern sie unter 50 Mitarbeitende beschäftigen und nicht in einem der regulierten Sektoren tätig sind. Sie können jedoch als Lieferanten indirekt über Verträge zur Einhaltung gewisser Sicherheitsstandards verpflichtet werden.

Wie unterscheidet sich NIS2 von der DSGVO?

Während die DSGVO den Schutz personenbezogener Daten natürlicher Personen fokussiert, stellt NIS2 den Schutz der Verfügbarkeit, Vertraulichkeit und Integrität von IT-Systemen und kritischen Dienstleistungen in den Mittelpunkt. Beide Regelungen ergänzen sich, haben aber unterschiedliche Schwerpunkte.

Möchten Sie klären, ob Ihr Unternehmen von den neuen Vorgaben betroffen ist und welche konkreten Schritte notwendig sind? Fordern Sie eine unverbindliche Erstberatung an. Sie erreichen uns per E-Mail, über unser Kontaktformular , telefonisch unter +49 9161 998 93 00 oder via WhatsApp unter +49 163 1484454.