Die Mail kommt an einem Dienstagvormittag. Absender ist der größte Kunde des Hauses, Betreff Lieferkettensicherheit: „Bitte bestätigen Sie uns bis Monatsende, dass Sie die Anforderungen aus NIS2 erfüllen, anbei ein Fragebogen mit 52 Fragen.“ Der Geschäftsführer leitet sie an seine IT-Leiterin weiter, mit einem Satz: „Wir sind doch gar nicht betroffen, oder?“
Ich mag diesen Moment nicht, aber ich kenne ihn gut. Er zeigt, wie ein Gesetz tatsächlich ankommt. Nicht über das Bundesgesetzblatt und nicht über das Bundesamt für Sicherheit in der Informationstechnik (BSI), sondern über einen Kunden, eine Frist und einen Fragebogen. Seit Dezember 2025 gilt das neue BSI-Gesetz, und es hat den Kreis der regulierten Unternehmen auf rund 30.000 erweitert. Viele davon haben es nicht bemerkt. Noch mehr sind betroffen, ohne selbst reguliert zu sein.
In einem Sketch von Monty Python stürmt die spanische Inquisition in ein Wohnzimmer, und der erste Satz lautet, niemand rechnet mit der spanischen Inquisition. Mit NIS2 ist es ähnlich. Niemand rechnet damit, bis sie in der Tür steht. Dann ist die Frist kurz und die Antwort unklar.
Wie so eine Geschichte weitergehen kann, erzählt die Best Practice dieser Ausgabe unter dem Titel „40 Prozent Umsatz hängen an einem Fragebogen“. Sie ist erfunden, aber jede Wendung darin kennt man aus der Praxis: ein Vertriebsleiter, der überall „Ja“ ankreuzen will. Eine IT-Leiterin mit zweitem Hut, die als Einzige die unbequeme Frage stellt. Und am Ende die Erkenntnis, dass das Haus nicht nur Lieferant eines regulierten Kunden ist, sondern selbst reguliert.
Die unbequeme Wahrheit dieser Ausgabe lautet, dass Betroffenheit keine Frage der Größe ist, sondern eine Prüfung mit drei Schritten. Wer sie sauber durchführt, hat danach ein Dokument, das bei jeder Nachfrage trägt. Wer sie auslässt, rät. Und Raten ist in einem Gesetz, das die Geschäftsleitung persönlich in die Pflicht nimmt, eine teure Strategie.
Die zweite Wahrheit ist technischer Natur: Wer betroffen ist, muss einen erheblichen Vorfall innerhalb von 24 Stunden melden. Ob das gelingt, entscheidet sich lange vor dem Vorfall, nämlich an der Frage, ob Ihre Protokolle weiter zurückreichen als bis zum letzten Wochenende.
Weil die Frist beim nächsten Fragebogen wieder kurz sein wird, finden Sie die Antworten dieser Ausgabe gleich hier unten im Schnellüberblick.
Bleiben Sie gelassen, aber vorbereitet.
Ihr Andreas Hessel
Warum NIS2 Sie betreffen kann, obwohl Ihr Haus auf keiner Liste steht
Die Betroffenheit hängt an Sektor, richtig gerechneter Größe und Sonderfällen, in dieser Reihenfolge. Gezählt werden Jahresarbeitseinheiten einschließlich verbundener Unternehmen, und wer nicht reguliert ist, kann über seine Kunden trotzdem betroffen sein.
Vierundzwanzig Stunden für die Frühwarnung, was Ihre Systeme dann liefern müssen
Eine Frühwarnung gelingt nur mit synchronen Uhren, Protokollen, die weit genug zurückreichen, und einem Sammelserver außerhalb der Reichweite des Angreifers. Dazu kommen ein vorbereiteter Meldeentwurf und zwei Personen mit Zugang zum BSI-Portal.
Vierzig Prozent Umsatz hängen an einem Fragebogen
Ein Mittelständler will den NIS-2-Fragebogen seines größten Kunden einfach mit Ja beantworten und entdeckt dabei, dass er selbst reguliert ist. Das fiktive Fallbeispiel zeigt, warum der ehrliche Umsetzungsplan mehr überzeugt als das schnelle Häkchen.
Wer entscheidet, ob wir unter NIS2 fallen?
Die Einrichtung ordnet sich selbst ein, die Geschäftsleitung trägt die Verantwortung und kann bei Pflichtverletzung haften. Eine verpasste Registrierung holen Sie sofort nach, und Kundennachweise beantworten Sie nur mit dem, was Sie belegen können.
NIS-2-Betroffenheitscheck (Excel) prüft in zehn Fragen Sektor, Größe und Sonderfälle und erzeugt eine Seite für die Geschäftsführung mit Ergebnis, Begründung und nächsten Schritten.