FALLBEISPIEL NIS2-BETROFFENHEITSPRÜFUNG
Der Ausgangspunkt
Ein Kunde hatte seinen Gesellschafter gefragt, ob das Unternehmen von NIS2 betroffen ist. Die Antwort: Nein. Auf den ersten Blick nachvollziehbar – die Gesellschaft verfolgt einen gemeinnützigen Zweck und fällt damit in keine der klassisch zuerst genannten NIS2-Sektoren wie Energie, Transport oder digitale Infrastruktur.
Übersehen wurde dabei ein entscheidender Punkt: Der Hauptkunde und größte Auftraggeber der Gesellschaft ist selbst ein NIS2-betroffenes Unternehmen. Genau darüber entsteht eine indirekte Betroffenheit über das Lieferantenverhältnis – ein Aspekt, der bei der ersten, schnellen Einschätzung schlicht nicht mitgedacht wurde.
Warum die eigene Einstufung allein nicht ausreicht
NIS2 verpflichtet betroffene „wichtige“ und „besonders wichtige“ Einrichtungen nicht nur zu eigenen Sicherheitsmaßnahmen, sondern auch dazu, Risiken in ihrer Lieferkette zu adressieren. Für Unternehmen, die selbst nicht in einem klassischen NIS2-Sektor tätig sind, aber wesentliche Leistungen für ein NIS2-betroffenes Unternehmen erbringen, bedeutet das in der Praxis: Der Hauptkunde wird zunehmend eigene Sicherheitsanforderungen an seine Lieferanten weiterreichen – vertraglich, über Sicherheitsfragebögen oder als Voraussetzung für die weitere Zusammenarbeit.
Die Frage „Fallen wir direkt unter NIS2?“ ist damit nur die halbe Prüfung. Die zweite, oft übersehene Hälfte lautet: „Ist unser wichtigster Kunde direkt betroffen – und was bedeutet das für uns als Teil seiner Lieferkette?“
Der aktuelle Zeitdruck ist real
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Die ursprüngliche gesetzliche Registrierungsfrist beim BSI endete bereits am 6. März 2026. Da zu diesem Zeitpunkt nur ein Teil der geschätzt rund 29.500 betroffenen Einrichtungen in Deutschland registriert war, hat das BSI eine Nachfrist bis zum 31. Juli 2026 eingeräumt. Bis Ende Mai 2026 hatten sich nach BSI-Angaben rund 18.500 Einrichtungen registriert – ein erheblicher Teil der Betroffenen war zu diesem Zeitpunkt also weiterhin im Verzug.
Wer die eigene Betroffenheit – direkt oder indirekt über die Lieferkette – bislang nicht geprüft hat, hat damit nur noch wenige Tage, um das nachzuholen, bevor auch die Nachfrist verstreicht.
Warum NIS2 meist über den Hauptkunden real wird
In der Praxis wird NIS2 für viele Unternehmen nicht durch eine abstrakte Gesetzeslektüre konkret, sondern durch eine ganz praktische Anfrage: Der größte Kunde, an dem ein erheblicher Teil des eigenen Geschäfts hängt, verlangt plötzlich Nachweise zur Informationssicherheit, weil er selbst seine Lieferkette dokumentieren muss. Wer an dieser Stelle nicht liefern kann, riskiert nicht nur ein Bußgeld – sondern im schlimmsten Fall den Fortbestand der Geschäftsbeziehung zum eigenen Hauptkunden.
Genau das war im vorliegenden Fall der eigentliche Auslöser für die erneute, gründlichere Prüfung: nicht die eigene Sektor-Zugehörigkeit, sondern die Erkenntnis, dass der Hauptkunde selbst NIS2-betroffen ist.
Was eine saubere Betroffenheitsprüfung leistet
Eine erste, informelle Einschätzung durch einen Gesellschafter oder eine schnelle interne Diskussion ersetzt keine strukturierte Prüfung. Eine belastbare Betroffenheitsprüfung berücksichtigt:
- die eigene Sektor-Zugehörigkeit und die geltenden Schwellenwerte (Mitarbeiterzahl, Umsatz, Bilanzsumme)
- die Frage, ob wesentliche Kunden selbst NIS2-betroffen sind und daraus eine indirekte Betroffenheit über die Lieferkette entsteht
- den aktuellen Stand der Registrierungspflicht und laufender Fristen
- eine dokumentierte, nachvollziehbare Begründung des Ergebnisses – nicht nur eine mündliche Einschätzung
Unser Angebot: Betroffenheitsprüfung zum Festpreis
Genau für diese Ausgangslage bieten wir eine strukturierte NIS2-Betroffenheitsprüfung zum Festpreis von 800 € netto an. Das Ergebnis ist eine dokumentierte, belastbare Einordnung – inklusive der oft übersehenen indirekten Betroffenheit über Kunden- und Lieferantenbeziehungen.
Sollte sich dabei zeigen, dass die Grenzwerte knapp verfehlt oder nur knapp unterschritten werden, empfehlen wir zusätzlich ein engmaschiges Monitoring der eigenen Kennzahlen (Mitarbeiterzahl, Umsatz, Bilanzsumme) sowie eine frühzeitige, freiwillige Umsetzung der wichtigsten Maßnahmen. Grenzwerte werden im normalen Geschäftsverlauf überschritten, ohne dass dies sofort bemerkt wird – wer dann erst reagiert, hat den zeitlichen Vorsprung bereits verspielt.
Häufige Fragen (FAQ)
Reicht die Einschätzung eines Gesellschafters oder Geschäftsführers aus? Eine informelle Einschätzung ist ein guter erster Schritt, ersetzt aber keine dokumentierte Prüfung. Gerade die indirekte Betroffenheit über Kunden- und Lieferantenbeziehungen wird bei einer schnellen, mündlichen Einschätzung häufig übersehen.
Was passiert, wenn ich die Registrierungsfrist verpasse? Es drohen Bußgelder, in der aktuellen gesetzlichen Regelung bis zu 500.000 Euro. Eine verspätete Registrierung ist in der Praxis besser als keine – das ursprüngliche Fristversäumnis bleibt zwar ein Compliance-Thema, eine nachgeholte Registrierung reduziert aber das Risiko weiterer Konsequenzen.
Wir sind gemeinnützig – heißt das automatisch, dass NIS2 nicht gilt? Nein. Die Einstufung richtet sich nach Sektor, Größe und – wie im vorliegenden Fall – möglicher indirekter Betroffenheit über wesentliche Kunden- oder Lieferantenbeziehungen, nicht nach der Rechtsform oder dem gemeinnützigen Zweck einer Organisation.
Was, wenn wir aktuell knapp unter den Schwellenwerten liegen? Dann empfiehlt sich ein regelmäßiges Monitoring der relevanten Kennzahlen sowie eine frühzeitige Annäherung an die wichtigsten NIS2-Maßnahmen – so vermeiden Sie, bei einer Grenzüberschreitung unvorbereitet und unter Zeitdruck reagieren zu müssen.
Fazit
„Wir fallen nicht unter NIS2“ ist häufig eine vorschnelle Antwort auf eine zu eng gestellte Frage. Die indirekte Betroffenheit über den eigenen Hauptkunden wird in der Praxis regelmäßig übersehen – gerade bei Organisationen, die sich aufgrund ihres Sektors oder ihrer Rechtsform selbst nicht auf dem Radar der Richtlinie sehen. Mit der BSI-Nachfrist bis zum 31. Juli 2026 bleibt aktuell nur noch wenig Zeit, das nachzuholen.
UBESAFE prüft die NIS2-Betroffenheit – direkt und über die Lieferkette – zum Festpreis von 800 € netto und begleitet die weitere Umsetzung, falls erforderlich. Mehr zu unserem NIS2-Management oder vereinbaren Sie direkt ein kostenloses Erstgespräch, bevor die aktuelle Frist verstreicht.