NIS2: Die Zeit der Orientierung läuft ab

NIS2 ist für viele Unternehmen kein Zukunftsthema mehr. Die Anforderungen gelten bereits – und noch ausstehende Registrierungen sind überfällig.

Stand Mai 2026 waren noch rund 11.000 Unternehmen nicht registriert.

In einem Schreiben an Wirtschaftsverbände hat das Bundesamt für Sicherheit in der Informationstechnik deutlich gemacht, dass es den erfolgreichen Abschluss noch offener Registrierungen bis zum 31. Juli 2026 erwartet.

Wichtig dabei: Es handelt sich nicht um eine neue gesetzliche Frist. Vielmehr signalisiert das BSI, dass Unternehmen die bestehende Registrierungspflicht nun kurzfristig erfüllen sollen.

Wer seine Betroffenheit bislang nicht geprüft oder die notwendigen Schritte noch nicht vorbereitet hat, sollte deshalb jetzt handeln.

Fatal: Allein für die Verletzung der Registrierungspflicht sollen bis zu 500.000,-€ Bußgeld fällig werden.

NIS2 betrifft mehr Unternehmen, als viele vermuten

Bei NIS2 denken viele Unternehmer zunächst an Energieversorger, Krankenhäuser oder andere Betreiber kritischer Infrastrukturen.

Doch der Anwendungsbereich ist wesentlich breiter.

Abhängig von Unternehmensgröße, Kennzahlen, Tätigkeit und Branche können beispielsweise Unternehmen aus folgenden Bereichen betroffen sein:

• IT- und Telekommunikationsdienstleistungen
• produzierendes Gewerbe
• Lebensmittelwirtschaft
• Chemie
• Transport und Logistik
• Gesundheit
• Energie
• digitale Dienste
• Forschung
• Maschinenbau und weitere Industriebereiche

Je nach Einrichtungsart können bereits Unternehmen ab 50 Mitarbeitenden oder alternativ beim Überschreiten bestimmter Umsatz- und Bilanzsummen in den Anwendungsbereich fallen. Für einige Einrichtungsarten gelten zudem Sonderregelungen, die unabhängig von der klassischen Größenbetrachtung greifen können. Eine pauschale Bewertung allein anhand der Mitarbeiterzahl reicht deshalb nicht aus.

Die entscheidende Frage lautet daher nicht mehr:

„Sind wir ein KRITIS-Unternehmen?“

Sondern:

„Müssen wir unsere NIS2-Betroffenheit prüfen – und können wir unsere Einschätzung im Zweifelsfall nachvollziehbar belegen?“

Auch Zulieferer können unter Handlungsdruck geraten

Selbst wenn ein Unternehmen nicht unmittelbar unter die gesetzlichen NIS2-Regelungen fällt, kann das Thema über Kunden, Auftraggeber und Lieferketten relevant werden.

Regulierte Unternehmen müssen auch Sicherheitsrisiken in ihren Lieferketten berücksichtigen. Dadurch ist zu erwarten, dass größere Kunden künftig verstärkt Nachweise, Sicherheitsauskünfte, vertragliche Zusicherungen oder konkrete Maßnahmen von ihren Dienstleistern und Zulieferern verlangen.

Informationssicherheit wird damit zunehmend zu einer Voraussetzung für:

• neue Aufträge,
• die Verlängerung bestehender Verträge,
• Lieferantenfreigaben,
• Ausschreibungen und
• eine langfristig belastbare Kundenbeziehung.

Eine frühzeitige Beschäftigung mit NIS2 kann daher nicht nur regulatorische Risiken reduzieren, sondern auch die eigene Wettbewerbsfähigkeit stärken.

Drei Schritte, die Unternehmen jetzt einleiten sollten

1. Betroffenheit nachvollziehbar prüfen

Zunächst muss geklärt werden, ob das Unternehmen aufgrund seiner Tätigkeit, Größe, Struktur oder seiner erbrachten Leistungen als wichtige oder besonders wichtige Einrichtung einzustufen ist.

Auch Tochtergesellschaften, Unternehmensgruppen und unterschiedliche Geschäftsbereiche müssen gegebenenfalls separat betrachtet werden.

Das Ergebnis sollte nicht nur mündlich festgehalten, sondern nachvollziehbar dokumentiert werden.

2. Registrierung vorbereiten und abschließen

Betroffene Einrichtungen müssen sich im BSI-Portal registrieren und eine erreichbare NIS2-Kontaktstelle benennen. Für die Anmeldung wird unter anderem ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ benötigt.

Die reguläre Registrierungspflicht besteht grundsätzlich spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut von NIS2 betroffen ist.

3. Umsetzung strukturiert beginnen

Mit der Registrierung allein ist NIS2 nicht erfüllt.

Unternehmen benötigen unter anderem:

• klare Verantwortlichkeiten,
• ein angemessenes Risikomanagement,
• geregelte Melde- und Eskalationswege,
• Maßnahmen zum Umgang mit Sicherheitsvorfällen,
• Notfall- und Wiederanlaufkonzepte,
• Lieferanten- und Dienstleistermanagement,
• Schulungen sowie
• eine nachvollziehbare Dokumentation.

NIS2 verlangt dabei keinen Theorieordner für die Schublade. Ziel ist es, Cyberrisiken wirksam zu steuern, Betriebsunterbrechungen zu vermeiden und im Ernstfall schnell und koordiniert reagieren zu können.

NIS2 ist auch eine Aufgabe der Geschäftsleitung

Informationssicherheit darf unter NIS2 nicht ausschließlich an die IT-Abteilung oder einen externen Dienstleister delegiert werden.

Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen ist verpflichtet, die erforderlichen Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen. Zudem bestehen Schulungspflichten.

Werden diese Pflichten schuldhaft verletzt und entsteht dem Unternehmen dadurch ein Schaden, kann eine Haftung der Geschäftsleitung gegenüber der eigenen Gesellschaft nach den jeweils geltenden gesellschaftsrechtlichen Regeln in Betracht kommen.

Entscheidend ist deshalb nicht, ob die Geschäftsführung jedes technische Detail selbst beherrscht. Sie muss jedoch nachweisen können, dass Cyberrisiken angemessen bewertet, Zuständigkeiten festgelegt, Maßnahmen beschlossen und deren Wirksamkeit kontrolliert werden.

Hohe Bußgelder sind nur ein Teil des Risikos

Bei bestimmten Verstößen können – abhängig von Einstufung und Tatbestand – erhebliche Bußgelder drohen:

• für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes,
• für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.

Maßgeblich können dabei die gesetzlich vorgesehenen Höchstbeträge und umsatzbezogenen Obergrenzen sein.

Für viele Unternehmen sind jedoch andere Folgen mindestens ebenso relevant:

• Betriebsunterbrechungen,
• Datenverluste,
• Vertragsrisiken,
• Verlust wichtiger Kunden,
• Reputationsschäden und
• persönliche Verantwortungsfragen innerhalb der Geschäftsleitung.

Unser Impuls: Nutzen Sie die verbleibende Zeit zur Einordnung

Der 31. Juli sollte nicht als Gelegenheit zum weiteren Abwarten verstanden werden.

Nutzen Sie die Zeit, um Klarheit zu schaffen:

Ist Ihr Unternehmen betroffen? Ist die Einschätzung dokumentiert? Sind Registrierung, Verantwortlichkeiten und erste Maßnahmen vorbereitet?

CB-Solutions unterstützt mittelständische Unternehmen dabei, Informationssicherheit, Datenschutz und Managementsysteme praxisnah und planbar umzusetzen.

Unser Anspruch ist es, regulatorische Anforderungen verständlich zu machen und Lösungen zu entwickeln, die sich mit möglichst geringer Belastung in Ihr Tagesgeschäft integrieren lassen.

Im Zusammenhang mit NIS2 begleiten wir Sie unter anderem bei:

• der Betroffenheitsprüfung,
• der nachvollziehbaren Dokumentation der Einstufung,
• der Vorbereitung der BSI-Registrierung,
• der Durchführung einer Gap-Analyse,
• der Festlegung von Verantwortlichkeiten,
• dem Aufbau von Melde- und Notfallprozessen,
• der Umsetzung geeigneter Sicherheitsmaßnahmen,
• Schulungen für Geschäftsleitung und Mitarbeitende sowie
• dem Aufbau eines Informationssicherheits-Managementsystems nach ISO 27001.

Kostenfreie NIS2-Ersteinschätzung

In einem kurzen und unverbindlichen Erstgespräch klären wir gemeinsam:

• ob NIS2 für Ihr Unternehmen relevant sein könnte,
• wo aktuell die größten Lücken bestehen und
• welche nächsten Schritte für Sie sinnvoll und realisierbar sind.

Verschaffen Sie sich Klarheit, bevor aus Unsicherheit ein Geschäftsrisiko wird.

Vereinbaren Sie jetzt ein kostenfreies Erstgespräch mit Marcus Denner. Alternativ erreichen Sie uns auch per E-Mail unter: sales@cb-sol.de

Hinweis: Die dargestellten Informationen ersetzen keine individuelle rechtliche Prüfung oder Rechtsberatung.

Quellenangaben:
Bild: KI-generiert