Die NIS2 ist eine europäische Richtlinie aus dem Jahr 2024, die im Jahr 2025 ins deutsche Recht übersetzt wurde. Sie stellt eine deutliche Verschärfung der bisherigen Gesetzgebung zur IT- und Netzwerksicherheit dar, insofern sie analog zur DS-GVO bußgeldbewehrte Vorschriften beinhaltet, Meldepflichten für Vorfälle etabliert und vor allem den Kreis der pflichtigen Unternehmen deutlich erweitert. Diese sind nicht nur von NIS2 betroffen, sondern müssen sich auch beim BSI registrieren.

Betroffenheit kommt später – mit einer Ausnahme!

Von der NIS2 betroffen sind eigentlich mittlere Unternehmen: Man muss also 2 der folgenden 3 KMU-Kriterien überschreiten:

• Umsatz von über 10 Millionen Euro
• Bilanzsumme liegt über 10 Millionen Euro
• Mehr als 50 Angestellte

Damit sind die meisten Startups erst einmal nicht betroffen – mit Ausnahme folgender Tätigkeiten: Wenn das Startup

• Internet-Domains für Dritte reserviert oder
• einen eigenen vollen DNS-Server (Resolver) betreibt oder sogar
• eine eigene Registry betreibt (also eine Top-Level-Domain wie „.EU“ betreut),

ist man in jeder Größenordnung von der NIS2 betroffen – also zum Beispiel auch als kleine Web-Agentur, die Domains als Registrar bei den Registries für ihre Endkunden reserviert.

Warum sollte man sich ohne Betroffenheit dennoch kümmern?

Es gibt zwei Gründe, warum sich um die Regelungen der NIS2 kümmern sollte, lange bevor man davon betroffen ist.:

1. Man will in den meisten Fällen wachsen und es ist immer besser, notwendige Prozesse so früh wie möglich im Unternehmen zu etablieren. Gerade bei schnellem Wachstum ist der Schmerz durch Security und Compliance groß, wenn notwendige Prozesse erst im Nachhinein etabliert werden müssen.
   
2. Ziel der NIS2 ist Business Continuity, also die Kompetenz, schnell und richtig auf Krisen reagieren zu können und durch diese weder das Unternehmen noch sein Umfeld zu gefährden. Dies sollte immer ein Unternehmensziel sein und wird durch Investoren, Kunden und Partner je nach Business Model früher oder später eingefordert. Also denkt man dies lieber gleich von Beginn an mit.

Ein paar Vortrags-Slides zur NIS2 können hier herunter geladen werden: https://loxen.de/nis2.pdf.

Übrigens: Alles was ich hier in Sachen Recht aufschreibe, stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar. Die Inhalte sind aber nach bestem Wissen erstellt.