NIS2-Richtlinie: Eishersteller und Kaugummigroßhändler als kritische Infrastruktur
Veröffentlicht am: 19.08.2026 um 19:24 Uhr | Redaktion boerse-global.de
Aktuelle Medienberichte rücken die weitreichenden Auswirkungen der europäischen NIS2-Richtlinie in den Fokus der Öffentlichkeit. Demnach könnten künftig auch Unternehmen der Konsumgüterbranche, die bislang kaum mit dem Begriff der kritischen Infrastruktur assoziert wurden, unter die strengen Cybersicherheitsvorgaben der Europäischen Union fallen.
Betroffen sind nach Berichten vom 18. und 19. August 2026 unter anderem große Eishersteller, Kaugummigroßhändler sowie Produzenten von Weihnachtsbaumbeleuchtung.
Erweiterter Sektorenbereich und ungewöhnliche Einstufungen
Die NIS2-Richtlinie (EU) 2022/2555 zielt darauf ab, ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union zu gewährleisten. Dabei erfasst das Regelwerk explizit die Sektoren Lebensmittelproduktion, -verarbeitung und -verteilung. Dies führt dazu, dass große Eishersteller und Kaugummigroßhändler ab einer bestimmten Unternehmensgröße als kritische Akteure eingestuft werden können.
Die Herstellung von Weihnachtsbaumbeleuchtung fällt aufgrund ihrer spezifischen Wirtschaftsklassifikation ebenfalls unter die neuen Regeln. Weitere Beispiele für die breite Anwendung der Richtlinie sind große Schulen, die durch den Betrieb von Solaranlagen formal als Stromproduzenten gelten, sowie deutsche Vermieter, die ihren Mietern eine Internetweiterleitung anbieten und damit als Telekommunikationsanbieter gewertet werden könnten.
Kritik an dieser breiten Auslegung kam unter anderem von der tschechischen EU-Abgeordneten Markéta Gregorová. Sie gab zu bedenken, dass man viele dieser Unternehmen in einer tatsächlichen Krise wahrscheinlich nicht unmittelbar benötigen würde.
Schwellenwerte und Pflichten für betroffene Unternehmen
Die NIS2-Vorgaben richten sich nach der Unternehmensgröße. Grundsätzlich sind mittelgroße Firmen ab 50 Mitarbeitern und einem Jahresumsatz von 10 Mio. Euro betroffen. Für große Unternehmen gelten die Regeln ab 250 Mitarbeitern und einem Umsatz von 50 Mio. Euro. Die EU-Kommission verwies in diesem Zusammenhang auf Ausnahmen für kleine Betriebe und betonte, dass für weniger kritische Organisationen erleichterte Pflichten gälten.
Unternehmen, die unter die Richtlinie fallen, müssen umfassende Maßnahmen ergreifen. Dazu gehören:
* Risikomanagement im Bereich der Informationssicherheit
* Incident Management zur Bewältigung von Sicherheitsvorfällen
* Aufrechterhaltung des Betriebs (Business Continuity)
* Gewährleistung der Sicherheit in der Lieferkette
In Deutschland ist die nationale Umsetzung durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) bereits am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten.
Wer die neuen gesetzlichen Anforderungen an die IT-Sicherheit erfüllen möchte, findet in diesem E-Book wertvolle Informationen zu aktuellen Bedrohungen und Schutzmaßnahmen. IT-Sicherheit stärken und gesetzliche Anforderungen erfüllen
Gemäß Paragraph 30 des BSI-Gesetzes (BSIG) wird darin für wichtige und besonders wichtige Einrichtungen unter anderem der Einsatz einer Multi-Faktor-Authentisierung (MFA) verlangt. Bei Verstößen drohen empfindliche Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Stand der Umsetzung in Europa
Obwohl die NIS2-Richtlinie bereits im Januar 2023 in Kraft trat und die offizielle Umsetzungsfrist für die Mitgliedstaaten am 17. Oktober 2024 endete, zeigt sich ein uneinheitliches Bild in der EU. Frankreich, Spanien, Irland und die Niederlande hatten die Frist zunächst verpasst, woraufhin die EU-Kommission Vertragsverletzungsverfahren einleitete.
Inzwischen sind weitere Fortschritte zu verzeichnen. In den Niederlanden ist das entsprechende Cyberbeveiligingswet seit dem 18. August 2026 in Kraft. In Polen erfolgt die Einführung der Richtlinie stufenweise seit dem 3. April 2026. In Deutschland wird jedoch berichtet, dass der Registrierungsprozess der betroffenen Unternehmen derzeit nur langsam voranschreitet.
Angesichts der steigenden Zahl von Cyberangriffen und strengerer Regulierung ist ein proaktiver Schutz für mittelständische Betriebe wichtiger denn je. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Zudem gibt es regionale Verzögerungen: So hat Sachsen-Anhalt die EU-Vorgaben für das Cybersicherheitsgesetz bisher nicht umgesetzt, weshalb das Bundesinnenministerium vor möglichen Strafzahlungen in Millionenhöhe warnt.
Parallel zur NIS2-Richtlinie plant die EU-Kommission bereits weitere Schritte zur Stärkung der digitalen Sicherheit, darunter den sogenannten Digital Omnibus und eine Überarbeitung des Cybersecurity Act.
