Wer ist von NIS2 betroffen?
Die Frage „Wer ist von NIS2 betroffen“ stellt sich in vielen Organisationen nicht mehr nur auf Ebene der Compliance, sondern ganz konkret im Tagesgeschäft. Spätestens wenn IT, Gebäudesicherheit, Betriebsabläufe und Lieferketten miteinander verzahnt sind, wird deutlich: NIS2 betrifft nicht nur klassische IT-Unternehmen, sondern zahlreiche Einrichtungen mit kritischen oder besonders wichtigen Funktionen.
Für Geschäftsführungen, Sicherheitsverantwortliche und technische Leiter ist dabei weniger die abstrakte Richtlinie entscheidend als die operative Folgefrage: Gehört unsere Organisation in den Anwendungsbereich - und wenn ja, in welchem Umfang? Genau hier entstehen in der Praxis die meisten Unsicherheiten.
Wer ist von NIS2 betroffen - der Grundsatz
NIS2 erweitert den Kreis der betroffenen Einrichtungen deutlich gegenüber der bisherigen Regulierung. Erfasst werden nicht mehr nur wenige, klar abgegrenzte KRITIS-Betreiber, sondern deutlich mehr Unternehmen und öffentliche beziehungsweise öffentlichkeitsnahe Einrichtungen, sofern sie in bestimmten Sektoren tätig sind und eine relevante Größe erreichen.
Im Kern unterscheidet NIS2 zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Diese Einordnung ist nicht nur formal. Sie wirkt sich darauf aus, mit welcher Aufsicht, welchen Nachweispflichten und welcher regulatorischen Erwartungshaltung zu rechnen ist.
Entscheidend sind dabei vor allem drei Fragen: In welchem Sektor ist die Organisation tätig? Welche Größe hat sie? Und gibt es Sonderregelungen, durch die eine Einrichtung auch unabhängig von klassischen Schwellenwerten erfasst wird?
Welche Branchen unter NIS2 fallen
Besonders häufig betroffen sind Organisationen aus Bereichen, in denen Ausfälle erhebliche Auswirkungen auf Versorgung, öffentliche Sicherheit, Gesundheit oder wirtschaftliche Stabilität hätten. Dazu zählen unter anderem Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Teile der Raumfahrt.
Hinzu kommen weitere Sektoren, die unter NIS2 stärker in den Fokus rücken. Dazu gehören beispielsweise Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -verarbeitung, bestimmte industrielle Fertigungen sowie Anbieter digitaler Dienste. Gerade in diesen Bereichen wird oft unterschätzt, dass nicht nur die Kern-IT relevant ist, sondern die gesamte Betriebsfähigkeit der Organisation.
Für die Praxis heißt das: Wer Produktionsanlagen, Leitstellen, Klinikbereiche, Zugangssysteme, Videoüberwachung, Perimeterschutz oder andere sicherheitskritische Infrastruktur betreibt, sollte NIS2 nicht isoliert als IT-Thema behandeln. Die Richtlinie zielt auf die Sicherheit wesentlicher Dienste und damit auch auf die Systeme, die den Betrieb physisch und organisatorisch absichern.
Unternehmensgröße als zweiter Prüfstein
Neben dem Sektor spielt die Größe der Einrichtung eine zentrale Rolle. Häufig orientiert sich die Betroffenheit an der Definition mittlerer und großer Unternehmen. Maßgeblich sind dabei in der Regel Mitarbeiterzahl sowie Umsatz oder Bilanzsumme.
In vielen Fällen gilt: Wer mindestens 50 Beschäftigte hat und entweder einen Jahresumsatz von mehr als 10 Millionen Euro oder eine Jahresbilanzsumme von mehr als 10 Millionen Euro erreicht, sollte sehr genau prüfen, ob NIS2 anwendbar ist. Große Unternehmen sind erst recht im Fokus.
Das heißt aber nicht, dass kleinere Organisationen automatisch außen vor sind. Es gibt Ausnahmen, bei denen auch Einrichtungen unterhalb dieser Schwellen erfasst werden können - etwa wenn ihre Tätigkeit eine besondere Bedeutung für Versorgung, Sicherheit oder Gesellschaft hat. Gerade im Gesundheitswesen, bei kommunalen Strukturen oder in spezialisierten Infrastrukturbereichen ist deshalb eine reine Größenbetrachtung oft zu kurz gegriffen.
Wer ist von NIS2 betroffen, auch wenn das Unternehmen nicht klassisch KRITIS ist?
Genau an diesem Punkt liegt ein verbreitetes Missverständnis. Viele Unternehmen prüfen nur, ob sie nach bisherigem Verständnis als KRITIS-Betreiber gelten. Wenn das nicht der Fall ist, wird NIS2 vorschnell als nicht relevant eingeordnet. Das ist riskant.
NIS2 ist bewusst breiter angelegt. Die Richtlinie erfasst auch Unternehmen, die keine klassische kritische Infrastruktur im engeren Sinn betreiben, deren Ausfall oder Kompromittierung aber dennoch erhebliche Folgen haben kann. Ein mittelständischer Hersteller in einer relevanten Lieferkette, ein Klinikverbund, ein Betreiber digitaler Dienste oder ein Unternehmen mit zentralen Infrastrukturleistungen kann daher durchaus betroffen sein, ohne bislang unter die bekannten KRITIS-Schwellen gefallen zu sein.
Für viele B2B-Organisationen ist zudem die indirekte Betroffenheit relevant. Selbst wenn ein Unternehmen formal nicht unmittelbar in den Anwendungsbereich fällt, können Kunden, Betreiber, Träger oder Auftraggeber NIS2-bezogene Sicherheitsnachweise verlangen. Das betrifft häufig Dienstleister, technische Partner und Betreiber sicherheitsrelevanter Systeme.
Besonders relevant für Gesundheitswesen, Verwaltung und Infrastruktur
Im Gesundheitswesen ist die Lage meist klarer, als viele Häuser zunächst annehmen. Krankenhäuser, größere Versorgungseinrichtungen, medizinische Verbünde und Betreiber sensibler Infrastrukturen bewegen sich regelmäßig in einem Umfeld, das unter NIS2 besonders genau betrachtet wird. Dabei geht es nicht nur um Patientenverwaltung oder Netzwerksicherheit, sondern auch um die Absicherung betriebsnotwendiger Systeme, physischer Zugänge und sensibler Bereiche.
Ähnlich sieht es in der öffentlichen Verwaltung und in kommunal geprägten Strukturen aus. Wo zentrale Dienstleistungen für Bürger, Versorgung, Ordnung oder Daseinsvorsorge erbracht werden, steigt die regulatorische Relevanz. In solchen Umgebungen lässt sich Cybersecurity nicht von der physischen Sicherheitsinfrastruktur trennen.
Auch Betreiber technischer Infrastrukturen sollten den Anwendungsbereich breit auslegen. Wer Liegenschaften, Standorte, Produktions- oder Versorgungsumgebungen absichert, muss berücksichtigen, dass ein Sicherheitsvorfall nicht nur aus einem Angriff auf Server entstehen kann. Manipulationen vor Ort, Ausfälle von Überwachungssystemen oder unzureichend geschützte Übergänge zwischen IT und OT können dieselbe operative Wirkung entfalten.
Warum NIS2 mehr ist als ein IT-Compliance-Thema
NIS2 verlangt Risikomanagement, Meldeprozesse, technische und organisatorische Maßnahmen sowie klare Verantwortlichkeiten auf Leitungsebene. Damit verschiebt sich die Perspektive: Weg von punktuellen IT-Maßnahmen, hin zu einer belastbaren Sicherheitsarchitektur.
Für die betroffenen Einrichtungen bedeutet das, bestehende Silos aufzubrechen. Informationssicherheit, physische Sicherheit, Zutrittskontrolle, Videoüberwachung, Netzwerksegmente und Notfallprozesse müssen zusammen gedacht werden. Das ist in der Umsetzung anspruchsvoll, aber sachlich notwendig. Ein Unternehmen kann formal gute IT-Richtlinien haben und dennoch operativ verwundbar sein, wenn kritische Räume, Außenbereiche oder infrastrukturelle Übergänge nicht angemessen abgesichert sind.
Gerade in sicherheitskritischen Umgebungen sind deshalb Systeme relevant, die frühzeitig erkennen, dokumentieren und eingrenzen können, was im physischen Raum passiert. Moderne Videoüberwachung, thermische Erkennung, Perimeterschutz oder spezialisierte Detektionslösungen sind kein Ersatz für IT-Sicherheitsmaßnahmen. Sie werden aber dort wichtig, wo Verfügbarkeit, Schutz vor Sabotage und nachvollziehbare Ereignisaufklärung eine Rolle spielen.
So prüfen Unternehmen ihre Betroffenheit sinnvoll
Eine belastbare Prüfung beginnt nicht mit der Frage, welche Vorschrift am besten passt, sondern mit dem eigenen Betriebsmodell. Welche Leistungen erbringt die Organisation? Welche Standorte, Netze, Anlagen und Dienste sind dafür unverzichtbar? Welche Ausfälle wären melde- oder geschäftskritisch?
Darauf folgt die sektorale Einordnung. Danach sollte geprüft werden, ob die relevanten Größenschwellen erreicht werden oder ob Sondertatbestände greifen. Erst in diesem Zusammenspiel lässt sich seriös beurteilen, ob eine Einrichtung voraussichtlich als wichtig oder besonders wichtig einzuordnen ist.
Ebenso wichtig ist die Bestandsaufnahme der vorhandenen Sicherheitsmaßnahmen. Viele Organisationen stellen dabei fest, dass einzelne Bausteine vorhanden sind, aber kein durchgängiges Konzept. Typisch sind getrennte Zuständigkeiten zwischen IT, Facility, Werkschutz und externen Dienstleistern. Genau hier entstehen später Lücken - nicht weil Technik fehlt, sondern weil Sicherheitsverantwortung nicht integriert gedacht wurde.
Wo in der Praxis genauer hingesehen werden muss
Grenzfälle sind unter NIS2 keine Ausnahme, sondern eher die Regel. Das gilt etwa für Holdingstrukturen, dezentral organisierte Unternehmensgruppen, Betreiber mit mehreren Standorten oder Einrichtungen mit gemischten Aufgabenprofilen. Auch bei ausgelagerten Services stellt sich die Frage, welche Verantwortung beim Betreiber bleibt und welche Anforderungen vertraglich weitergegeben werden müssen.
Hinzu kommt, dass nationale Umsetzung, behördliche Auslegung und sektorale Spezialregelungen die Einordnung beeinflussen können. Wer eine erste Betroffenheit vermutet, sollte deshalb nicht bei einer groben Selbsteinschätzung stehenbleiben. Es braucht eine fachlich saubere Prüfung mit Blick auf Betrieb, Technik und Aufsichtskontext.
Gerade für Organisationen mit erhöhtem Schutzbedarf lohnt sich dabei ein Ansatz, der regulatorische Anforderungen und reale Sicherheitslage gemeinsam betrachtet. Denn NIS2 verlangt nicht nur Dokumente, sondern belastbare Maßnahmen. Wer frühzeitig strukturiert prüft, kann Investitionen gezielter planen und unnötige Nachrüstungen vermeiden.
Was betroffene Einrichtungen jetzt tun sollten
Sobald sich abzeichnet, dass NIS2 relevant sein könnte, sollte die Organisation das Thema auf Leitungsebene verankern. Danach folgt eine priorisierte Analyse der kritischen Dienste, Abhängigkeiten und Schutzmaßnahmen. Erst auf dieser Grundlage lassen sich sinnvolle Entscheidungen zu Governance, Technik, Meldewegen und Sicherheitsarchitektur treffen.
Für viele Einrichtungen ist es dabei hilfreich, physische und digitale Sicherheitsmaßnahmen nicht getrennt auszuschreiben oder zu bewerten. Wer beispielsweise Standorte, Außenhaut, sensible Innenbereiche und betriebsrelevante Zugänge in das Risikomanagement einbezieht, erreicht meist ein deutlich tragfähigeres Sicherheitsniveau. Gerade an der Schnittstelle von Videoüberwachung, Detektion und regulatorischen Anforderungen zeigt sich, wie praxisnah Sicherheitskonzepte tatsächlich sind.
Die Frage „Wer ist von NIS2 betroffen?“ lässt sich also selten mit einem schnellen Ja oder Nein beantworten. Aber genau darin liegt der praktische Nutzen einer frühen Prüfung: Sie schafft Klarheit, bevor aus regulatorischer Unsicherheit ein operatives Risiko wird.