Die NIS2-Richtlinie weitet die Pflichten zur Cybersicherheit deutlich aus – auf mehr Sektoren und auf deutlich mehr Organisationen als ihre Vorgängerin. Viele Unternehmen wissen schlicht nicht, ob sie betroffen sind. Diese sieben Fragen helfen bei einer ersten, ehrlichen Selbsteinschätzung. Sie ersetzen keine rechtliche Prüfung, ordnen aber den eigenen Standort grob ein.
Sieben Fragen zur Betroffenheit
- In welchem Sektor sind Sie tätig? NIS2 unterscheidet „wesentliche“ und „wichtige“ Einrichtungen – von Energie, Verkehr und Gesundheit bis zu digitalen Diensten, Post, Abfallwirtschaft und Lebensmitteln.
- Wie groß ist Ihre Organisation? Als grobe Schwelle gelten 50 Mitarbeitende oder 10 Mio. Euro Jahresumsatz. Darunter greift NIS2 meist nicht – mit Ausnahmen.
- Gibt es eine Sonderstellung? Manche Einrichtungen fallen unabhängig von ihrer Größe unter NIS2, etwa kritische Infrastruktur oder Alleinanbieter einer Dienstleistung.
- Sind Sie Teil einer Lieferkette? Auch wer selbst nicht direkt reguliert ist, bekommt die Anforderungen oft über Kunden vertraglich weitergereicht.
- In welchen EU-Ländern sind Sie aktiv? NIS2 wird national umgesetzt; Schwellen und Fristen können sich im Detail unterscheiden.
- Haben Sie Melde- und Reaktionsprozesse? NIS2 verlangt eine Erstmeldung erheblicher Vorfälle binnen 24 Stunden – das setzt vorbereitete Abläufe voraus.
- Ist die Leitung eingebunden? Die Richtlinie nimmt die Geschäftsleitung ausdrücklich in die Verantwortung, inklusive Schulungspflicht.
Was die Antworten bedeuten
Mehrfaches „Ja“ bei den ersten drei Fragen ist ein deutliches Signal, die Betroffenheit ernsthaft zu prüfen. Aber selbst ein „Nein“ entlässt niemanden ganz aus dem Thema: Über die Lieferkette (Frage 4) werden NIS2-Anforderungen faktisch weitergegeben – als Vertragsklausel, als Audit-Frage, als Voraussetzung für die Zusammenarbeit.
Von der Einschätzung zur Readiness
Eine Selbsteinschätzung ist der Anfang, nicht das Ziel. Der nächste Schritt ist, die NIS2-Maßnahmen aus Artikel 21 – Risikomanagement, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit, Verschlüsselung, Zugriffskontrolle – gegen den eigenen Ist-Zustand zu legen und Lücken sichtbar zu machen.
Genau hier setzt das NIS2-Modul von GARION an: Es strukturiert die Selbsteinschätzung, dokumentiert die Begründung jeder Einordnung und macht den Readiness-Stand pro Maßnahmenbereich sichtbar. So entsteht ein nachvollziehbarer Vorbereitungsstand, auf dem eine fundierte Entscheidung – idealerweise mit fachlicher Begleitung – aufsetzen kann.
Hinweis: GARION unterstützt die Vorbereitung auf die EU-KI-Verordnung und verwandte Regelwerke. GARION ersetzt keine Rechtsberatung, keine Konformitätsbewertung und keine Zertifizierung.