FALLBEISPIEL NIS2-BETROFFENHEITSPRÜFUNG
Der Ausgangspunkt
Ein Kunde hatte seinen Gesellschafter gefragt, ob das Unternehmen von
NIS2 betroffen ist. Die Antwort: Nein. Auf den ersten Blick
nachvollziehbar – die Gesellschaft verfolgt einen gemeinnützigen Zweck
und fällt damit in keine der klassisch zuerst genannten NIS2-Sektoren
wie Energie, Transport oder digitale Infrastruktur.
Übersehen wurde dabei ein entscheidender Punkt: Der Hauptkunde und
größte Auftraggeber der Gesellschaft ist selbst ein NIS2-betroffenes
Unternehmen. Genau darüber entsteht eine indirekte Betroffenheit
über das Lieferantenverhältnis – ein Aspekt, der bei der
ersten, schnellen Einschätzung schlicht nicht mitgedacht wurde.
Warum die
eigene Einstufung allein nicht ausreicht
NIS2 verpflichtet betroffene “wichtige” und “besonders wichtige”
Einrichtungen nicht nur zu eigenen Sicherheitsmaßnahmen, sondern auch
dazu, Risiken in ihrer Lieferkette zu adressieren. Für Unternehmen, die
selbst nicht in einem klassischen NIS2-Sektor tätig sind, aber
wesentliche Leistungen für ein NIS2-betroffenes Unternehmen erbringen,
bedeutet das in der Praxis: Der Hauptkunde wird zunehmend eigene
Sicherheitsanforderungen an seine Lieferanten weiterreichen –
vertraglich, über Sicherheitsfragebögen oder als Voraussetzung für die
weitere Zusammenarbeit.
Die Frage “Fallen wir direkt unter NIS2?” ist damit nur die halbe
Prüfung. Die zweite, oft übersehene Hälfte lautet: “Ist unser
wichtigster Kunde direkt betroffen – und was bedeutet das für uns als
Teil seiner Lieferkette?”
Der aktuelle Zeitdruck ist
real
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025
in Kraft. Die ursprüngliche gesetzliche Registrierungsfrist beim BSI
endete bereits am 6. März 2026. Da zu diesem Zeitpunkt nur ein Teil der
geschätzt rund 29.500 betroffenen Einrichtungen in Deutschland
registriert war, hat das BSI eine Nachfrist bis zum 31. Juli
2026 eingeräumt. Bis Ende Mai 2026 hatten sich nach BSI-Angaben
rund 18.500 Einrichtungen registriert – ein erheblicher Teil der
Betroffenen war zu diesem Zeitpunkt also weiterhin im Verzug.
Wer die eigene Betroffenheit – direkt oder indirekt über die
Lieferkette – bislang nicht geprüft hat, hat damit nur noch wenige Tage,
um das nachzuholen, bevor auch die Nachfrist verstreicht.
Warum NIS2
meist über den Hauptkunden real wird
In der Praxis wird NIS2 für viele Unternehmen nicht durch eine
abstrakte Gesetzeslektüre konkret, sondern durch eine ganz praktische
Anfrage: Der größte Kunde, an dem ein erheblicher Teil des eigenen
Geschäfts hängt, verlangt plötzlich Nachweise zur
Informationssicherheit, weil er selbst seine Lieferkette dokumentieren
muss. Wer an dieser Stelle nicht liefern kann, riskiert nicht nur ein
Bußgeld – sondern im schlimmsten Fall den Fortbestand der
Geschäftsbeziehung zum eigenen Hauptkunden.
Genau das war im vorliegenden Fall der eigentliche Auslöser für die
erneute, gründlichere Prüfung: nicht die eigene Sektor-Zugehörigkeit,
sondern die Erkenntnis, dass der Hauptkunde selbst NIS2-betroffen
ist.
Was eine saubere
Betroffenheitsprüfung leistet
Eine erste, informelle Einschätzung durch einen Gesellschafter oder
eine schnelle interne Diskussion ersetzt keine strukturierte Prüfung.
Eine belastbare Betroffenheitsprüfung berücksichtigt:
- die eigene Sektor-Zugehörigkeit und die geltenden Schwellenwerte
(Mitarbeiterzahl, Umsatz, Bilanzsumme) - die Frage, ob wesentliche Kunden selbst NIS2-betroffen sind und
daraus eine indirekte Betroffenheit über die Lieferkette entsteht - den aktuellen Stand der Registrierungspflicht und laufender
Fristen - eine dokumentierte, nachvollziehbare Begründung des Ergebnisses –
nicht nur eine mündliche Einschätzung
Unser
Angebot: Betroffenheitsprüfung zum Festpreis
Genau für diese Ausgangslage bieten wir eine strukturierte
NIS2-Betroffenheitsprüfung zum Festpreis von 800 €
netto an. Das Ergebnis ist eine dokumentierte, belastbare
Einordnung – inklusive der oft übersehenen indirekten Betroffenheit über
Kunden- und Lieferantenbeziehungen.
Sollte sich dabei zeigen, dass die Grenzwerte knapp verfehlt oder nur
knapp unterschritten werden, empfehlen wir zusätzlich ein
engmaschiges Monitoring der eigenen Kennzahlen
(Mitarbeiterzahl, Umsatz, Bilanzsumme) sowie eine frühzeitige,
freiwillige Umsetzung der wichtigsten Maßnahmen. Grenzwerte
werden im normalen Geschäftsverlauf überschritten, ohne dass dies sofort
bemerkt wird – wer dann erst reagiert, hat den zeitlichen Vorsprung
bereits verspielt.
Häufige Fragen (FAQ)
Reicht die Einschätzung eines Gesellschafters oder
Geschäftsführers aus? Eine informelle Einschätzung ist ein
guter erster Schritt, ersetzt aber keine dokumentierte Prüfung. Gerade
die indirekte Betroffenheit über Kunden- und Lieferantenbeziehungen wird
bei einer schnellen, mündlichen Einschätzung häufig übersehen.
Was passiert, wenn ich die Registrierungsfrist
verpasse? Es drohen Bußgelder, in der aktuellen gesetzlichen
Regelung bis zu 500.000 Euro. Eine verspätete Registrierung ist in der
Praxis besser als keine – das ursprüngliche Fristversäumnis bleibt zwar
ein Compliance-Thema, eine nachgeholte Registrierung reduziert aber das
Risiko weiterer Konsequenzen.
Wir sind gemeinnützig – heißt das automatisch, dass NIS2
nicht gilt? Nein. Die Einstufung richtet sich nach Sektor,
Größe und – wie im vorliegenden Fall – möglicher indirekter
Betroffenheit über wesentliche Kunden- oder Lieferantenbeziehungen,
nicht nach der Rechtsform oder dem gemeinnützigen Zweck einer
Organisation.
Was, wenn wir aktuell knapp unter den Schwellenwerten
liegen? Dann empfiehlt sich ein regelmäßiges Monitoring der
relevanten Kennzahlen sowie eine frühzeitige Annäherung an die
wichtigsten NIS2-Maßnahmen – so vermeiden Sie, bei einer
Grenzüberschreitung unvorbereitet und unter Zeitdruck reagieren zu
müssen.
Sind gemeinnützige Organisationen von NIS2
betroffen? Das kann durchaus der Fall sein – die
Gemeinnützigkeit selbst schützt nicht davor. Entscheidend sind Sektor,
Größe und mögliche indirekte Betroffenheit über Kunden- oder
Lieferantenbeziehungen, wie im vorliegenden Fall. Gerade gemeinnützige
Organisationen unterschätzen ihre Betroffenheit häufig, weil sie sich
nicht als typisches “reguliertes Unternehmen” sehen. Uns ist es ein
besonderes Anliegen, auch gemeinnützige Organisationen bei dieser
Einordnung zu unterstützen und technisch gut aufzustellen.
Prüft ihr bei NIS2 auch die technische Umsetzung, nicht nur
die Betroffenheit? Ja. Nach der Betroffenheitsprüfung geht es
bei den geforderten Risikomanagement-Maßnahmen um sehr konkrete
technische Fragen – Netzwerksegmentierung, Absicherung von Microsoft
365, Backup- und Wiederherstellungskonzepte. Unsere Techniker stecken
selbst tief in diesen Produkten und können deshalb direkt einordnen, wo
die technische Umsetzung heute steht, statt nur die organisatorische
Dokumentation zu prüfen.
Passende Leistungen von UBESAFE: NIS2-Management · Internes Audit
Fazit
“Wir fallen nicht unter NIS2” ist häufig eine vorschnelle Antwort auf
eine zu eng gestellte Frage. Die indirekte Betroffenheit über den
eigenen Hauptkunden wird in der Praxis regelmäßig übersehen – gerade bei
Organisationen, die sich aufgrund ihres Sektors oder ihrer Rechtsform
selbst nicht auf dem Radar der Richtlinie sehen. Mit der BSI-Nachfrist
bis zum 31. Juli 2026 bleibt aktuell nur noch wenig Zeit, das
nachzuholen.
UBESAFE prüft die NIS2-Betroffenheit – direkt und über die
Lieferkette – zum Festpreis von 800 € netto und begleitet die weitere
Umsetzung, falls erforderlich. Mehr zu unserem NIS2-Management oder vereinbaren Sie
direkt ein kostenloses
Erstgespräch, bevor die aktuelle Frist verstreicht.