Seit die NIS2-Richtlinie Schritt für Schritt in nationales Recht übergeht, taucht sie bei vielen jungen Unternehmen an Stellen auf, an denen sie niemand erwartet hätte: in Sicherheitsfragebögen von Kunden, in Vertragsentwürfen, in Rückfragen aus dem Einkauf größerer Firmen. Häufig sind diese Startups selbst gar nicht von der Richtlinie erfasst, wohl aber ihre Kunden. Wer sich mit NIS2 für Startups beschäftigt, sollte deshalb nicht mit einem Maßnahmenkatalog beginnen, sondern mit einer einfachen Frage: Bin ich überhaupt betroffen? Von der Antwort hängt alles Weitere ab.
Die Betroffenheit hängt an drei Merkmalen
Die NIS2-Richtlinie knüpft nicht an ein vages Kriterium wie „Digitalisierung“ an. Ob ein Unternehmen unter sie fällt, ergibt sich aus dem Zusammenspiel von drei Merkmalen: dem Sektor, in dem es tätig ist, seiner Größe und dem Land, in dem es seinen Sitz hat.
Am Anfang steht der Sektor. Die Richtlinie unterscheidet zwischen Sektoren mit hoher Kritikalität und weiteren kritischen Sektoren; dazu zählen unter anderem Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, Post, Abfall, Chemie, Lebensmittel sowie Anbieter digitaler Dienste. Ein SaaS-Produkt fällt deshalb nicht automatisch darunter, denn entscheidend ist nicht, dass Ihr Geschäftsmodell digital ist, sondern welche Leistung Sie konkret erbringen. Liegt diese in einem der genannten Sektoren, kommt als zweites Merkmal die Größe ins Spiel. Die Schwellenwerte orientieren sich an mittleren und großen Unternehmen; kleinere Unternehmen sind in der Regel nicht erfasst, es sei denn, sie sind für die Versorgung besonders wichtig.
Erst wenn Sektor und Größe zutreffen, lohnt sich der Blick auf die konkreten Pflichten, und hier wird das dritte Merkmal relevant, der Sitz. Weil NIS2 eine Richtlinie ist, setzt jeder Mitgliedstaat sie in eigenes Recht um, und die Details können von Land zu Land abweichen. Maßgeblich ist das Gesetz des Staates, in dem Sie niedergelassen sind.
Betroffen über die Lieferkette
Bei jungen Unternehmen ist der indirekte Fall deutlich häufiger: Sie sind nicht selbst verpflichtet, aber Ihr Kunde ist es. Die Richtlinie verlangt von ihm, auch die Sicherheit seiner Lieferkette zu berücksichtigen, und diese Pflicht reicht er über seine Verträge an Sie weiter. So landen plötzlich Zusagen zu technischen und organisatorischen Maßnahmen, Meldewege bei Sicherheitsvorfällen, Auskunftsrechte und manchmal sogar der Nachweis einer Zertifizierung auf Ihrem Tisch. Bindend sind diese Anforderungen, weil sie im Vertrag stehen, nicht weil das Gesetz Sie direkt adressiert.
Diese Unterscheidung ist für die eigene Planung wichtiger, als sie zunächst wirkt. Was ein Kunde vertraglich verlangt, lässt sich verhandeln und auf Ihre Situation zuschneiden; was das Gesetz verlangt, nicht.
Was die Richtlinie inhaltlich fordert
Wer sich schon einmal mit der ISO 27001 beschäftigt hat, wird in den Risikomanagementmaßnahmen der NIS2 vieles wiedererkennen. Die Richtlinie nennt unter anderem Konzepte für Risikoanalyse und Informationssicherheit, die Bewältigung von Sicherheitsvorfällen sowie die Aufrechterhaltung des Betriebs einschließlich Backup und Wiederherstellung. Dazu kommen die Sicherheit der Lieferkette, die Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen und die regelmäßige Bewertung, ob die getroffenen Maßnahmen tatsächlich wirken. Auch Grundlagen wie Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit, Zugriffskontrolle und die Verwaltung von Anlagen gehören dazu, ebenso wie Authentifizierung und gesicherte Kommunikation.
Darüber hinaus sieht NIS2 Meldepflichten mit kurzen Fristen vor. Neu gegenüber früheren Regelungen ist außerdem, dass die Leitungsebene ausdrücklich in der Verantwortung steht und diese nicht delegieren kann. Den vollständigen Text veröffentlicht die Europäische Union als NIS2-Richtlinie im EU-Amtsblatt.
Wo ein ISMS bereits trägt
Die Überschneidung mit der ISO 27001 ist so groß, dass sich beides gut gemeinsam aufbauen lässt. Risikoanalyse, Zugriffskontrolle, Lieferantensteuerung, Vorfallsbehandlung, Betriebsfortführung und Kryptografie deckt ein Informationssicherheits-Managementsystem ohnehin ab. Eine Zertifizierung ersetzt die gesetzliche Pflicht allerdings nicht. Verlangt wird, dass die Maßnahmen dem Risiko angemessen sind, und dafür bleibt die Leitung verantwortlich. Ein Zertifikat ist ein starkes Indiz für diese Angemessenheit und gegenüber Kunden ein praktischer Nachweis, aber eben kein Freibrief.
Der eigentliche Nutzen liegt also in der Arbeitsersparnis. Wer bereits ein ISMS betreibt, muss für NIS2 vor allem zwei Dinge ergänzen: Meldewege, die die gesetzlichen Fristen einhalten, und eine nachweisbare Einbindung der Geschäftsleitung.
Was Sie jetzt tun können, ohne auf Details zu warten
Unabhängig davon, wie Ihre Betroffenheitsprüfung ausgeht, gibt es drei Dinge, die sich schon heute lohnen, weil Kunden ohnehin danach fragen werden. Legen Sie zuerst fest, wer bei einem Sicherheitsvorfall was tut: wer den Vorfall bewertet, wer entscheidet, wer meldet und wer die Kunden informiert. Kurze Meldefristen lassen sich nur einhalten, wenn diese Fragen vorher geklärt sind, und zwar auch für die Nacht und das Wochenende.
Klären Sie anschließend, welche Dienstleister Zugriff auf Ihre Systeme oder Kundendaten haben und was mit ihnen vertraglich vereinbart ist. Genau diese Lieferkettenfrage werden Ihnen Ihre eigenen Kunden stellen. Und halten Sie schließlich fest, dass die Geschäftsführung über die Risiken entschieden hat; ein datiertes Protokoll erfüllt diesen Zweck bereits.
Häufige Fragen zu NIS2
Gilt NIS2 für jedes Software-Startup?
Nein. Maßgeblich sind Sektor und Größe nach dem jeweiligen nationalen Umsetzungsgesetz. Viele junge Unternehmen sind nicht direkt verpflichtet, geraten aber über die Verträge ihrer Kunden in denselben Anforderungsrahmen.
Reicht eine ISO-27001-Zertifizierung für NIS2?
Sie deckt einen großen Teil der geforderten Maßnahmen ab und ist ein belastbarer Nachweis, ersetzt die gesetzliche Pflicht aber nicht. Die Meldewege und die Verantwortung der Leitung müssen gesondert geregelt werden.
Was passiert bei einem meldepflichtigen Vorfall?
Die Richtlinie sieht ein mehrstufiges Verfahren vor, das mit einer frühen Erstmeldung beginnt und durch spätere Berichte ergänzt wird. Welche Fristen genau gelten und welche Behörde zuständig ist, ergibt sich aus dem nationalen Recht.
Fazit
NIS2 ist für Startups zuerst eine Prüfungs- und erst danach eine Umsetzungsfrage. Ob eine direkte Pflicht besteht, entscheiden Sektor und Größe; weit häufiger kommen die Anforderungen jedoch über den Vertrag mit einem betroffenen Kunden. Der konkrete nächste Schritt ist deshalb überschaubar: Halten Sie in zwei Sätzen fest, in welchem Sektor Sie Ihre Leistung erbringen und wie viele Beschäftigte Sie haben. Mit diesen beiden Angaben lässt sich die Betroffenheit anhand des nationalen Umsetzungsgesetzes klären, und alles Weitere richtet sich danach.
