Direkt betroffen sind meist nur größere Unternehmen in kritischen Sektoren. Aber wer für sie zuliefert, bekommt Sicherheitsanforderungen oft über den Vertrag weitergereicht. Was das für Ihre Website und IT bedeutet — ohne Panikmache.
Die NIS2-Richtlinie (EU) 2022/2555 verschärft und erweitert die Cybersicherheitsanforderungen an Unternehmen in Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft oder verarbeitendes Gewerbe. Sie verlangt Risikomanagement, Meldepflichten bei Sicherheitsvorfällen und dokumentierte technische Schutzmaßnahmen.
Anders als eine EU-Verordnung wirkt eine Richtlinie nicht automatisch — sie muss erst in nationales Recht überführt werden. Die deutsche Umsetzung läuft über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), dessen genauer Verfahrensstand sich ändert. Statt sich auf ein bestimmtes Datum zu verlassen, lohnt sich der Blick in die jeweils aktuelle Fassung beim BSI.
Für die meisten Betriebe aus dem Ortenaukreis und Schwarzwald lässt sich die Betroffenheit grob in drei Stufen einordnen.
Handwerk, Beratung, Einzelhandel ohne kritischen Sektor und ohne Lieferbeziehung zu NIS2-Pflichtigen — direkte Anforderungen greifen in der Regel nicht.
Wer für Industrie-, Energie- oder Infrastrukturkunden arbeitet, bekommt Sicherheitsanforderungen häufig vertraglich weitergereicht — auch ohne selbst NIS2-pflichtig zu sein.
Ab etwa 50 Mitarbeitenden bzw. 10 Mio. Euro Jahresumsatz in einem erfassten Sektor — hier lohnt sich eine konkrete rechtliche Prüfung der eigenen Einstufung.
Energie-, Wasser- oder Gesundheitsversorger und vergleichbare Einrichtungen — hier gelten die umfassendsten Pflichten, meist längst mit eigener IT-Sicherheitsabteilung begleitet.
Diese Maßnahmen reduzieren das eigene Ausfallrisiko und erleichtern spätere Sicherheitsnachweise gegenüber größeren Auftraggebern — ganz unabhängig davon, ob NIS2 am Ende direkt greift.
Sie erweitert die Cybersicherheitsanforderungen an Unternehmen in kritischen und wichtigen Sektoren — Risikomanagement, Meldepflichten und technische Schutzmaßnahmen.
Der Verfahrensstand des NIS2UmsuCG verändert sich. Für eine verbindliche aktuelle Einschätzung lohnt sich der Blick in die jeweils aktuelle Fassung beim BSI oder eine rechtliche Beratung.
Direkt meist nur ab einer bestimmten Größe in erfassten Sektoren. Für viele kleine regionale Betriebe ist das direkt selten der Fall.
Ja, über Lieferketten- und Dienstleisterverträge größerer NIS2-pflichtiger Kunden. Wer für Industrie- oder Infrastrukturkunden arbeitet, sollte künftige Nachweispflichten einplanen.
Aktuelle Software, geprüfte Backups, Zwei-Faktor-Authentifizierung und ein dokumentierter Ansprechpartner. Mehr dazu unter WordPress-Wartung & Sicherheit.
Wir schätzen anhand Ihrer Branche und Kundenstruktur ein, ob NIS2 direkt oder indirekt relevant werden könnte.
Wo NIS2 nicht relevant ist, sagen wir das auch so — ohne Angstmacherei.
Von der Einordnung zu konkreten, sofort umsetzbaren Sicherheits-Basics.