NIS2 – Cybersicherheit für wichtige Einrichtungen

NIS2 (Richtlinie (EU) 2022/2555) ist der EU-Rahmen für Cybersicherheit. Die deutsche Umsetzung NIS2UmsuCG ist seit 06.12.2025 in Kraft und verpflichtet „wichtige“ und „besonders wichtige“ Einrichtungen zu Risikomanagement, Meldewegen und Registrierung beim BSI. Der Kreis der regulierten Stellen wächst von ~4.500 auf ~29.500.

Was das für deinen Betrieb heißt

Anwendungsfall. Betroffen ist nicht, wer sich betroffen fühlt, sondern wer in einem der achtzehn regulierten Sektoren arbeitet und die Größenschwelle erreicht: mindestens 50 Beschäftigte oder mindestens 10 Millionen Euro Jahresumsatz. Der Kreis der regulierten Stellen wächst dadurch von rund 4.500 auf rund 29.500. Ein Teil davon sind Zulieferer, die selbst keinen kritischen Dienst betreiben, aber über die Lieferkette in die Anforderungen ihrer Auftraggeber geraten. Wachstum allein kann ein Unternehmen in die Pflicht bringen, ohne dass sich am Geschäft etwas ändert.

Risiko und Chance. Neu ist weniger die Technik als die Zurechnung. Das Gesetz macht Cybersicherheit zur Pflicht der Geschäftsleitung und knüpft daran deren Haftung; delegieren lässt sich die Aufgabe, die Verantwortung nicht. Die Registrierung beim BSI war bis zum 6. März 2026 fällig. Umgekehrt wird belegbare Cyber-Reife im B2B-Geschäft zum Argument, weil Auftraggeber sie zunehmend abfragen, bevor sie einen Zulieferer aufnehmen.

Handlungsempfehlung. Am Anfang steht keine Maßnahme, sondern eine Feststellung: die Betroffenheitsprüfung anhand von Sektor und Größenschwelle. Erst danach lohnt der Aufbau von Risikomanagement und Meldeprozess, und erst dann lässt sich der Aufwand überhaupt abschätzen. Wer produktiv KI-Werkzeuge, Agenten oder MCP-Server betreibt, sollte beides zusammen denken: Protokollierung, Testumgebung, Rechtevergabe und Eskalationsweg beantworten die NIS2-Anforderungen und die Fragen der eigenen KI-Governance in einem Zug.