Bin ich von NIS-2 betroffen?
Der ehrliche Selbstcheck für Geschäftsführer

„Sind wir überhaupt betroffen?" ist die erste Frage, die ich zu NIS-2 höre. Sie ist verständlich – und sie greift zu kurz. Das neue Cybersicherheitsrecht kennt zwei Wege, auf denen es Sie erreicht: den direkten über das Gesetz und den indirekten über Ihre Kunden. Wer nur den ersten prüft, übersieht regelmäßig den, der ihn zuerst trifft. Vier Schritte, danach wissen Sie, wo Sie stehen.

Schritt 1: Fällt Ihre Branche in den Anwendungsbereich?

Das Gesetz arbeitet mit zwei Sektorlisten. Die erste umfasst die Bereiche mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, die Verwaltung von IT-Diensten, öffentliche Verwaltung und Weltraum. Die zweite Liste ergänzt weitere kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, chemische Stoffe, Lebensmittel, das verarbeitende Gewerbe (unter anderem Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste und Forschung.

Prüfen Sie nüchtern: Lässt sich Ihre Haupttätigkeit einem dieser Bereiche zuordnen? Wenn nein, ist der direkte Weg meist versperrt – springen Sie zu Schritt 4. Wenn ja, weiter mit Schritt 2.

Schritt 2: Wie groß ist Ihr Unternehmen?

Neben der Branche entscheidet die Größe. Die Schwellen sind präzise:

• Klein/Kleinst (unter 50 Beschäftigte und höchstens 10 Mio. Euro Umsatz oder Bilanzsumme): grundsätzlich nicht direkt erfasst – bis auf wenige größenunabhängige Ausnahmen.
• Mittleres Unternehmen: ab 50 Beschäftigten – oder Umsatz über 10 Mio. Euro und zugleich Bilanzsumme über 10 Mio. Euro.
• Großes Unternehmen: ab 250 Beschäftigten – oder Umsatz über 50 Mio. Euro und Bilanzsumme über 43 Mio. Euro.

Praxishinweis: Für die Größe zählen Sie im Regelfall Partner- und verbundene Unternehmen mit. Die eng gefasste Ausnahme für unabhängig betriebene Systeme sollten Sie nicht ungeprüft annehmen.

Schritt 3: Wesentlich, wichtig – oder per Bescheid erfasst?

• Als großes Unternehmen in der ersten Liste: in der Regel wesentliche Einrichtung.
• Als großes oder mittleres Unternehmen in einer der beiden Listen: zumindest wichtige Einrichtung.
• Einige Typen sind unabhängig von der Größe immer erfasst (etwa qualifizierte Vertrauensdienste, DNS-Dienste, Teile der digitalen Infrastruktur).

Sonderfall: Die Cybersicherheitsbehörde kann Sie auch dann per Bescheid einstufen, wenn Sie nach Ihrer Größe herausfielen – etwa als einziger Anbieter eines kritischen Dienstes in Österreich. Größe schützt also nicht mit Sicherheit.

Schritt 4: Der Weg, den fast alle unterschätzen – die Lieferkette

Selbst wenn Sie durch alle drei vorigen Schritte gefallen sind, sind Sie nicht aus dem Thema. Regulierte Unternehmen müssen die Sicherheit ihrer Lieferkette und ihrer unmittelbaren Dienstleister mitdenken. Diese Pflicht geben sie an Sie weiter: über Fragebögen, Vertragsklauseln, Ausschreibungen. Sie erben die Anforderungen nicht über das Gesetz, sondern über den Vertrag – nur dass niemand Ihnen einen Bescheid schickt, sondern Ihr größter Kunde eine Frist setzt.

Ihr Ergebnis in einem Satz

Trifft einer der Schritte 1 bis 3 zu, sind Sie direkt verpflichtet und sollten jetzt beginnen. Trifft keiner zu, aber Sie liefern an regulierte Unternehmen, sind Sie mittelbar betroffen – und der erste Fragebogen kommt erfahrungsgemäß früher als gedacht. In beiden Fällen ist der teuerste Fehler, jetzt nichts zu tun.