NIS-2: Ist Ihr Unternehmen betroffen?

Kurz gesagt: Betroffen sind Unternehmen in 18 regulierten Sektoren ab 50 Beschäftigten oder 10 Mio. € Umsatz (wichtige Einrichtungen) bzw. ab 250 Beschäftigten oder 50 Mio. € Umsatz (besonders wichtige Einrichtungen) – KRITIS-Betreiber unabhängig von ihrer Größe. Ob Sie darunter fallen, entscheidet die Kombination aus Sektor und Unternehmensgröße.

Was ist NIS-2?

NIS-2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. In Deutschland wird sie über das BSI-Gesetz umgesetzt. Ziel ist ein einheitlich hohes Schutzniveau – mit klaren Pflichten für Risikomanagement, Meldewesen und Verantwortung der Geschäftsleitung.

Welche Pflichten kommen auf Sie zu?

• Risikomanagement: geeignete technische und organisatorische Maßnahmen, abgestimmt auf Ihre Risiken.
• Wirksamkeit nachweisen: Verfahren, mit denen Sie bewerten, ob Ihre Sicherheitsmaßnahmen funktionieren (Art. 21 NIS-2-Richtlinie) – zum Beispiel durch Pen-Tests und Schwachstellenanalysen.
• Verantwortung der Leitung: Die Geschäftsleitung haftet persönlich für die Umsetzung.

Was droht bei Verstößen?

Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen bzw. 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Hinzu kommt der Reputationsschaden nach einem Vorfall.

In drei Schritten zur Klarheit

1. Betroffenheit klären: Sektor und Größe prüfen – im Zweifel gemeinsam mit uns in der kostenfreien Erstberatung.
2. Status quo bewerten: Ein Audit zeigt, wo Ihre Informationssicherheit heute steht.
3. ISMS aufbauen: Mit einem Managementsystem nach ISO/IEC 27001 oder BSI IT-Grundschutz setzen Sie die Anforderungen strukturiert um – auf Wunsch mit einem externen Informationssicherheitsbeauftragten.

Mehr zu unseren Leistungen finden Sie auf der Seite Informationssicherheit & NIS-2. Die Wirksamkeit Ihrer Maßnahmen prüfen wir mit Pen-Tests und Cyber-Security-Analysen.

Stand: September 2026. Dieser Beitrag ersetzt keine Einzelfallprüfung.