NIS-2-Betroffenheit

Die NIS-2-Betroffenheit beschreibt, ob ein Unternehmen unter die europäische Richtlinie zur Netzwerk- und Informationssicherheit fällt, die erhöhte Anforderungen an die Cybersicherheit bestimmter Sektoren und Einrichtungsgrößen stellt. Die Richtlinie richtet sich vor allem an mittlere und größere Unternehmen bestimmter Branchen sowie an Betreiber wichtiger Infrastruktur, nicht pauschal an alle Betriebe. Ob ein konkretes Unternehmen betroffen ist, hängt von Branche, Größe und der nationalen Umsetzung der Richtlinie ab und sollte im Zweifel individuell geprüft werden, da sich die genaue Ausgestaltung national noch entwickelt und Details je nach Sektor und Betriebsgröße unterschiedlich ausfallen können.

Die meisten kleinen Handwerksbetriebe fallen nicht unmittelbar unter die direkten Pflichten der Richtlinie. Relevant wird das Thema für sie häufig indirekt, über die Lieferkettensicherheit: Wer als Nachunternehmer oder Zulieferer für ein Unternehmen arbeitet, das selbst unter die Richtlinie fällt, bekommt möglicherweise Sicherheitsanforderungen vertraglich weitergereicht, ohne selbst formal zum betroffenen Kreis zu gehören. Solche vertraglichen Anforderungen tauchen zunehmend auch in Ausschreibungsunterlagen öffentlicher Auftraggeber auf, selbst wenn der Betrieb selbst deutlich kleiner ist als die eigentlich adressierten Unternehmen.

Bezug zur Digitalisierung

Auch ohne direkte Betroffenheit lohnt sich für Betriebe ein Blick auf die dahinterstehenden Ziele: robuste IT-Systeme, klare Zuständigkeiten bei Sicherheitsvorfällen und die Fähigkeit, einen Vorfall zeitnah zu erkennen und zu melden. Diese Grundsätze verbessern die eigene IT-Sicherheit im Handwerksbetrieb unabhängig davon, ob eine formale Pflicht besteht, und zahlen sich meist auch wirtschaftlich aus, weil sie Ausfallzeiten und Folgekosten nach einem Vorfall spürbar reduzieren.

Von der Meldepflicht bei Datenpanne unterscheidet sich die NIS-2-Betroffenheit dadurch, dass sie nicht nur personenbezogene Daten schützt, sondern die Cybersicherheit von Systemen und Diensten insgesamt in den Blick nimmt. Betriebe, die als Nachunternehmer für größere, potenziell betroffene Auftraggeber arbeiten, werden zunehmend nach ihrem Umgang mit solchen Vorfällen gefragt, etwa im Rahmen von Vertragsverhandlungen oder vor der Zulassung als Nachunternehmer für ein größeres Bauprojekt.

Wer unsicher ist, ob und in welchem Umfang der eigene Betrieb betroffen sein könnte, findet erste Orientierung bei Kammern und Branchenverbänden oder in einer individuellen rechtlichen Beratung. Unabhängig vom Ergebnis lohnt sich in jedem Fall ein vorbereiteter Notfallplan IT für den Ernstfall, der auch ohne formale Verpflichtung sinnvolle Orientierung bietet und im Ernstfall echten Zeitgewinn bringt, unabhängig davon, wie die eigene Betroffenheit am Ende ausfällt.