Die EU‑Richtlinie NIS‑2 sorgt dafür, dass Cybersicherheit für viele Unternehmen kein „Nice to have“ mehr ist, sondern eine klare rechtliche Pflicht. Deutschland steht unter erheblichem Zeitdruck, die Vorgaben bis zum 31. Juli 2026 in nationales Recht zu überführen. Parallel dazu klären zahlreiche Organisationen gerade, ob sie direkt unter NIS‑2 fallen-oder indirekt betroffen sind, weil sie kritische Kunden oder Lieferketten unterstützen.

NIS‑2 zielt darauf ab, die Widerstandsfähigkeit sogenannter „wesentlicher“ und „wichtiger“ Einrichtungen gegen Cyberangriffe zu erhöhen. Betroffen sind längst nicht mehr nur klassische Betreiber Kritischer Infrastrukturen (KRITIS), sondern auch Unternehmen aus Energie- und Verkehrssektor, Gesundheitswesen, digitaler Infrastruktur, öffentlichen Verwaltungen sowie bestimmte mittelständische Dienstleister, die eine zentrale Rolle in versorgungsrelevanten Wertschöpfungsketten spielen. Die Einstufung entscheidet darüber, welche Pflichten gelten-für viele Organisationen ist daher eine solide Betroffenheitsanalyse der erste Schritt.

Die Richtlinie verlangt ein angemessenes Risikomanagement, Meldeprozesse für Sicherheitsvorfälle und klar geregelte Verantwortlichkeiten. Cybersicherheit wird ausdrücklich als Thema der Geschäftsleitung verortet: Die Unternehmensführung muss sich nachweisbar mit Risiken und Maßnahmen befassen und kann bei Versäumnissen in der Verantwortung stehen. Hinzu kommen Mindestanforderungen an technische und organisatorische Maßnahmen-etwa in den Bereichen Zugriffsschutz, Vorfallsmanagement, Backup-Strategien und Lieferkettenrisiken-sowie gegebenenfalls Zertifizierungen nach harmonisierten europäischen Standards.

Parallel arbeitet die EU an einer Überarbeitung des Cybersecurity Act. Ziel ist, Zertifizierungen künftig effizienter und EU‑weit einheitlich nutzbar zu machen, sodass Unternehmen nicht für jeden Markt getrennte Nachweise führen müssen. Für die Praxis bedeutet das: Wer heute schon mit etablierten Standards wie ISO 27001 arbeitet, kann viele Elemente mit NIS‑2-Anforderungen verzahnen, statt „bei Null“ zu beginnen. ENISA und nationale Stellen wie das BSI veröffentlichen dazu regelmäßig Leitfäden und Praxisbeispiele, die sich gut als Referenzrahmen eignen.

Handlungshinweis

Ein pragmatischer Einstieg in das Thema NIS‑2 kann in drei Schritten erfolgen:

1. Betroffenheit klären: Prüfen Sie systematisch, ob Ihr Unternehmen direkt als „wesentliche“ oder „wichtige“ Einrichtung einzustufen ist-oder indirekt betroffen ist, weil Sie kritische Kunden oder Lieferketten unterstützen.
2. Verantwortung verankern: Stellen Sie sicher, dass Cybersicherheit ausdrücklich als Vorstands‑ bzw. Geschäftsleitungsthema verankert ist. Zuständigkeiten, Berichtslinien und das Risikomanagement sollten klar dokumentiert und gelebter Bestandteil der Unternehmenssteuerung sein.
3. Maßnahmen ausrichten: Orientieren Sie sich bei technischen und organisatorischen Maßnahmen an etablierten Leitlinien, etwa denen des BSI und von ENISA, sowie an bestehenden Normen wie ISO 27001. Viele Anforderungen lassen sich sinnvoll kombinieren, statt neue Parallelwelten zu schaffen.

NIS‑2 ist kein reines „Compliance-Projekt“, das man bis zur Frist abhakt und dann wieder vergisst. Die Richtlinie spiegelt eine Realität, in der Cyberangriffe Geschäftsmodelle, Lieferketten und ganze Standorte bedrohen können. Wer die Umsetzung jetzt nutzt, um Verantwortung, Prozesse und technische Maßnahmen zu schärfen, erhöht nicht nur seine Rechtssicherheit, sondern auch die Belastbarkeit des eigenen Unternehmens. Die entscheidende Frage ist daher weniger „Müssen wir?“, sondern „Wie nutzen wir NIS‑2, um unsere Cybersicherheit dauerhaft auf ein tragfähiges Niveau zu bringen?“.

Foto von Glenn Carstens-Peters auf Unsplash