Nachdem wir im ersten Teil der Serie die Grundlagen der NIS-2-Richtlinie kennengelernt haben, stellt sich für viele Unternehmen und öffentliche Einrichtungen die entscheidende Frage:
"Sind wir überhaupt von NIS-2 betroffen?"
Die Antwort ist nicht immer einfach. Anders als die erste NIS-Richtlinie betrifft NIS-2 nicht mehr nur klassische Betreiber Kritischer Infrastrukturen (KRITIS), sondern einen deutlich größeren Kreis von Organisationen. Neben großen Unternehmen können auch viele mittelständische Betriebe, kommunale Einrichtungen und öffentliche Verwaltungen unter die neuen Anforderungen fallen.
In diesem Beitrag erfahren Sie, wie die EU zwischen wesentlichen und wichtigen Einrichtungen unterscheidet, welche Branchen betroffen sind und wie Sie mit einer einfachen Checkliste eine erste Einschätzung vornehmen können.
Warum wurde der Kreis der Betroffenen erweitert?
Die erste NIS-Richtlinie konzentrierte sich hauptsächlich auf Betreiber Kritischer Infrastrukturen.
Die Praxis zeigte jedoch schnell:
Cyberangriffe treffen längst nicht mehr ausschließlich Energieversorger oder Krankenhäuser.
Heute geraten regelmäßig ins Visier:
- mittelständische Unternehmen
- Softwarehersteller
- Cloud-Anbieter
- Rechenzentren
- Kommunen
- Logistikunternehmen
- Lebensmittelhersteller
- Maschinenbauer
- Forschungsinstitute
Oft dienen diese Organisationen sogar als Einstiegspunkt für Angriffe auf andere Unternehmen oder Behörden. Ein kompromittierter IT-Dienstleister kann beispielsweise Hunderte Kunden gleichzeitig gefährden.
Aus diesem Grund erweitert NIS-2 den Kreis der verpflichteten Organisationen erheblich.
Die beiden Kategorien der NIS-2
Die Richtlinie unterscheidet grundsätzlich zwischen zwei Gruppen:
- Wesentliche Einrichtungen
- Wichtige Einrichtungen
Beide müssen umfangreiche Sicherheitsmaßnahmen umsetzen.
Der wesentliche Unterschied liegt hauptsächlich in der Intensität der behördlichen Aufsicht.
Wesentliche Einrichtungen
Als wesentliche Einrichtungen gelten Organisationen, deren Ausfall erhebliche Auswirkungen auf Wirtschaft, Staat oder Gesellschaft hätte.
Hierzu zählen beispielsweise:
- Energieversorger
- Stromnetzbetreiber
- Gasversorger
- Fernwärme
- Trinkwasserversorgung
- Abwasserentsorgung
- Krankenhäuser
- Digitale Infrastrukturen
- Internet Exchange Points
- DNS-Dienstleister
- Top-Level-Domain-Registries
- Große öffentliche Verwaltungen
- Betreiber zentraler staatlicher Dienste
Diese Einrichtungen unterliegen besonders strengen Aufsichtsmaßnahmen.
Die zuständigen Behörden können unter anderem:
- Vor-Ort-Kontrollen durchführen
- Sicherheitsnachweise verlangen
- Audits anordnen
- Verbesserungsmaßnahmen verlangen
- Sanktionen verhängen
Wichtige Einrichtungen
Daneben gibt es die Kategorie der wichtigen Einrichtungen.
Hierzu gehören zahlreiche weitere Unternehmen und Organisationen, deren Ausfall zwar ebenfalls erhebliche Folgen hätte, jedoch meist nicht unmittelbar kritische Auswirkungen auf die öffentliche Versorgung verursacht.
Beispiele sind:
- Lebensmittelhersteller
- Logistikunternehmen
- Post- und Kurierdienste
- Maschinenbau
- Chemische Industrie
- Hersteller medizinischer Produkte
- Forschungseinrichtungen
- Digitale Dienste
- Managed Service Provider
- IT-Dienstleister
Auch für diese Organisationen gelten umfangreiche Sicherheitsanforderungen.
Welche Rolle spielt die Unternehmensgröße?
Nicht jedes Unternehmen einer betroffenen Branche fällt automatisch unter NIS-2.
Die Richtlinie berücksichtigt zusätzlich die Unternehmensgröße.
In vielen Fällen gelten Unternehmen als betroffen, wenn sie mindestens:
- 50 Beschäftigte
oder
- einen Jahresumsatz beziehungsweise eine Jahresbilanzsumme von mindestens 10 Millionen Euro
erreichen.
Dabei gelten diese Werte als Orientierung für mittlere und größere Unternehmen. Je nach Branche oder besonderer Bedeutung können jedoch auch kleinere Organisationen unter die Richtlinie fallen.
Deshalb sollte die Betroffenheit niemals ausschließlich anhand der Mitarbeiterzahl beurteilt werden.
Kritische Branchen
Die Richtlinie umfasst deutlich mehr Wirtschaftsbereiche als früher.
Zu den wichtigsten gehören:
Energie
- Strom
- Gas
- Fernwärme
- Öl
- Wasserstoff
Verkehr
- Luftverkehr
- Bahn
- Schifffahrt
- Straßenverkehr
- Häfen
- Flughäfen
Gesundheitswesen
- Krankenhäuser
- Labore
- Gesundheitsdienstleister
- Hersteller wichtiger Medizinprodukte
Trinkwasser und Abwasser
- Wasserwerke
- Wasserverbände
- Kläranlagen
Digitale Infrastruktur
- Rechenzentren
- Cloud-Anbieter
- DNS-Dienste
- Internet Exchange Points
- Hosting-Anbieter
Öffentliche Verwaltung
- Bundesbehörden
- Landesbehörden
- Kommunen
- Kreisverwaltungen
- Weitere öffentliche Einrichtungen
Finanzwesen
- Banken
- Börsen
- Zahlungsdienstleister
Lebensmittel
- Produktion
- Verarbeitung
- Großhandel
Industrie
- Chemie
- Maschinenbau
- Elektronik
- Fahrzeugindustrie
- Hersteller kritischer Produkte
Sind mittelständische Unternehmen betroffen?
Eine der größten Änderungen gegenüber der ersten NIS-Richtlinie betrifft den Mittelstand.
Viele Unternehmen gingen bislang davon aus, dass Cybersicherheitsvorgaben dieser Art nur für Großunternehmen gelten.
Das ist heute nicht mehr der Fall.
Gerade mittelständische Unternehmen übernehmen häufig eine zentrale Rolle innerhalb von Lieferketten.
Beispiele:
- Softwareentwickler
- Maschinenbauer
- Zulieferer
- IT-Dienstleister
- Cloud-Anbieter
- Managed Service Provider
- Rechenzentrumsbetreiber
Ein erfolgreicher Angriff auf ein mittelständisches Unternehmen kann sich auf zahlreiche Kunden auswirken.
Deshalb rückt der Mittelstand stärker in den Fokus der NIS-2.
Was bedeutet NIS-2 für Kommunen und Behörden?
Auch der öffentliche Sektor spielt eine wichtige Rolle.
Viele Kommunen betreiben heute digitale Dienstleistungen, beispielsweise:
- Bürgerportale
- Einwohnermeldewesen
- Kfz-Zulassung
- Jugendämter
- Sozialämter
- Bauämter
- Gesundheitsämter
- Schulverwaltung
- Bibliotheken
- Geoinformationssysteme
Ein erfolgreicher Cyberangriff kann hier unmittelbare Auswirkungen auf Bürgerinnen und Bürger haben.
Kommunen müssen deshalb ihre Informationssicherheit deutlich stärker organisatorisch verankern und technische Schutzmaßnahmen konsequent umsetzen.
Gerade größere Städte und Kreise werden sich intensiv mit den Anforderungen auseinandersetzen müssen.
Gibt es Ausnahmen?
Ja.
Nicht jede Organisation einer betroffenen Branche fällt automatisch unter NIS-2.
Mögliche Ausnahmen ergeben sich beispielsweise durch:
- sehr kleine Unternehmensgröße
- fehlende Relevanz für kritische Dienstleistungen
- besondere gesetzliche Regelungen
- branchenspezifische Sondervorschriften
Gleichzeitig können Unternehmen auch dann unter NIS-2 fallen, wenn sie eigentlich kleiner sind, aber eine besondere Bedeutung für die öffentliche Sicherheit oder kritische Lieferketten besitzen.
Die endgültige Einstufung richtet sich nach den jeweils geltenden nationalen Umsetzungsregelungen.
Warum lohnt sich eine frühzeitige Vorbereitung?
Selbst wenn sich später herausstellt, dass eine Organisation formal nicht unter NIS-2 fällt, lohnt sich die Umsetzung vieler Maßnahmen.
Dazu gehören unter anderem:
- Inventarisierung der IT-Systeme
- Patchmanagement
- Mehr-Faktor-Authentifizierung
- Backup-Strategien
- Notfallplanung
- Mitarbeiterschulungen
- Schwachstellenmanagement
- Protokollierung
- Monitoring
Diese Maßnahmen erhöhen die allgemeine Informationssicherheit und reduzieren das Risiko erfolgreicher Cyberangriffe erheblich.
Checkliste zur ersten Selbsteinschätzung
Die folgende Checkliste hilft bei einer ersten Einschätzung, ob Ihre Organisation möglicherweise unter NIS-2 fällt.
Branche prüfen
☐ Gehört unsere Organisation zu einer der von NIS-2 erfassten Branchen?
Unternehmensgröße bewerten
☐ Beschäftigen wir mindestens 50 Mitarbeitende?
☐ Liegt unser Jahresumsatz oder unsere Jahresbilanzsumme bei mindestens 10 Millionen Euro?
Kritische Dienstleistungen
☐ Erbringen wir Dienstleistungen, deren Ausfall erhebliche Auswirkungen hätte?
Digitale Infrastruktur
☐ Betreiben wir Cloud-, Hosting- oder Rechenzentrumsdienste?
IT-Dienstleistungen
☐ Unterstützen wir andere Unternehmen oder Behörden mit kritischen IT-Diensten?
Lieferkette
☐ Sind wir ein wichtiger Zulieferer für kritische Unternehmen oder öffentliche Einrichtungen?
Öffentliche Verwaltung
☐ Gehören wir zu einer Kommune, Behörde oder sonstigen öffentlichen Einrichtung?
Informationssicherheit
☐ Existiert bereits ein dokumentiertes Informationssicherheitsmanagement?
☐ Sind Verantwortlichkeiten eindeutig geregelt?
☐ Werden Sicherheitsvorfälle dokumentiert und ausgewertet?
Je häufiger Sie diese Fragen mit Ja beantworten, desto wahrscheinlicher ist es, dass sich Ihre Organisation intensiv mit den Anforderungen der NIS-2 beschäftigen sollte.
Ausblick auf den nächsten Teil
Nachdem Sie nun einschätzen können, ob Ihre Organisation möglicherweise betroffen ist, stellt sich die nächste Frage:
Welche konkreten Anforderungen stellt NIS-2 eigentlich?
Im nächsten Teil der Serie betrachten wir die technischen und organisatorischen Pflichten im Detail. Sie erfahren, welche Sicherheitsmaßnahmen Unternehmen und Behörden umsetzen müssen und welche Rolle Risikomanagement, Dokumentation, Incident Response und Lieferkettensicherheit dabei spielen.
NIS-2 erweitert den Kreis der betroffenen Organisationen erheblich. Neben klassischen Betreibern Kritischer Infrastrukturen stehen heute auch zahlreiche mittelständische Unternehmen, IT-Dienstleister, Cloud-Anbieter sowie viele Behörden und Kommunen im Fokus der Richtlinie. Entscheidend sind dabei nicht nur die Branche, sondern auch die Unternehmensgröße und die Bedeutung der angebotenen Dienstleistungen.
Für viele Organisationen ist jetzt der richtige Zeitpunkt, die eigene Betroffenheit zu prüfen und sich frühzeitig auf die kommenden Anforderungen vorzubereiten. Denn unabhängig von gesetzlichen Verpflichtungen verbessern die geforderten Maßnahmen die Cyberresilienz nachhaltig und schaffen eine solide Grundlage für den sicheren Betrieb moderner IT-Systeme.
