Cybersicherheit wird Pflicht - Ist Ihr Unternehmen vorbereitet?

Anfang 2026 gelten die neuen Mindestanforderungen an Cyber- und Informationssicherheit der neuen EU-Richtlinie NIS-2 – prüfen Sie jetzt Ihre Betroffenheit.
NIS steht für Network and Information Security – zu Deutsch „Netz- und Informationssicherheit“. Die NIS-2-Richtlinie der EU verfolgt das Ziel, in allen Mitgliedsstaaten einen einheitlichen Mindeststandard für Cyber­sicherheit zu schaffen, um Wirtschaft, kritische Infra­strukturen und Gesellschaft vor digitalen Angriffen zu schützen. Sie ist die Nachfolgerin der NIS-1-Richtlinie und seit Januar 2023 in Kraft. EU-Richtlinien müssen national umgesetzt werden. In Deutschland erfolgt dies über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (­NIS2UmsuCG), dass das BSI-Gesetz ergänzt. Der Bundestag hat das Gesetz am 13. November 2025 beschlossen. Nach dem Bundesrats­beschluss und der Verkündung im Bundesgesetzblatt tritt es voraussichtlich Anfang 2026 in Kraft.

Wer ist betroffen?

Betroffen sind nicht nur klassische KRITIS-­Betreiber: Dank der Size-Cap-­Regel fallen nun auch viele mittelständische Unternehmen aus Industrie, Produktion, Logistik, Gesundheitswirtschaft oder digitalen Diensten unter NIS-2.
Die Betroffenheitsprüfung erfolgt zweistufig:
  • Qualitative Kriterien: Branche oder Sektor nach NIS-2-Anhang I (hohe Kritikalität, z. B. Energie, Gesundheit, Verkehr) oder Anhang II (weitere kritische Sektoren).
  • Quantitative Kriterien:
    – Wichtige Einrichtungen: Ab 50 Mitarbeitenden oder Umsatz >10 Mio. Euro
    oder Jahresbilanz >10 Mio. Euro
    – Besonders wichtige Einrichtungen: Ab 250 Mitarbeitenden,
    Jahresumsatz >50 Mio. Euro oder Jahresbilanz >43 Mio. Euro
Insgesamt betrifft das in Deutschland rund 25 000 wichtige und 5000–10 000 besonders wichtige Einrichtungen.

Pflichten und frühzeitiges Handeln

Generell gilt: Firmen sollten das Thema IT-Sicherheit frühzeitig mitdenken und zur Chefsache machen. Bedeutet: Zuständigkeiten klären, Sicherheitslücken schließen, Prozesse für Meldungen und Warnungen aufbauen und die Sicherheitsstrategie regelmäßig evaluieren.
Ein zentrales Element und Pflicht des Betriebs nach NIS-2 ist die Betroffenheitsprüfung. Jedes Unternehmen muss selbst prüfen, ob es aufgrund seiner Branche oder Größe unter die Richtlinie fällt. Auf Basis dieser Prüfung sollte anschließend die Ausgangslage eingeordnet werden: Welche Sicherheitsmaßnahmen bestehen bereits, wo gibt es Lücken? Darauf aufbauend lassen sich gezielt Maßnahmen planen und umsetzen.
Für alle, die unter NIS-2 fallen, gelten darüber hinaus konkrete Pflichten: Aufbau eines Risikomanagements und eines Informationssicherheits-Managementsystems (ISMS), zeitnahe Meldung von Sicherheitsvorfällen an das BSI und die Übernahme der Verantwortung durch die Geschäftsleitung inklusive persönlicher Haftung. Verstöße können mit empfindlichen Bußgeldern bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen geahndet werden.
Für eine erste Orientierung rund um das Thema Cybersicherheit unterstützen Sie unsere Ansprechpartner der IHK Braunschweig aus dem Bereich Innovation. Zur Prüfung der eigenen Betroffenheit und zur Ableitung erster Schritte im Rahmen von NIS-2 empfiehlt die IHK ergänzend das Online-Tool „FITNIS2“ sowie die BSI-­Rubrik „#nis2know“.mb
Weitere Informationen zum Online-Tool „FITNIS2“ erhalten Sie hier.
Die BSI-Rubrik „#nis2know“ finden Sie hier.
9/2025