NIS2-Richtlinie: EU-Cyberregeln weiten sich auf 35 Wirtschaftssektoren aus
Veröffentlicht am: 13.11.2026 um 02:22 Uhr | Redaktion boerse-global.de
Die neuen EU-Cyberregeln zur Netz- und Informationssicherheit erweitern die Definition kritischer Infrastrukturen erheblich und beziehen zunehmend auch Hersteller gewöhnlicher Konsumgüter in den Anwendungsbereich der NIS2-Richtlinie ein.
Wie Medienberichte und Analysen von Fachleuten zeigen, erfassen die breit gefassten Wirtschaftskategorien der Richtlinie zahlreiche Unternehmen, die traditionell nicht mit kritischer Infrastruktur in Verbindung gebracht werden.
Unerwartete Betroffenheit durch breite Branchenkategorien
Durch die Neuregelung wächst die Zahl der erfassten Sektoren von 19 auf 35. Neu hinzugekommen sind unter anderem Postdienste, die Abfallwirtschaft sowie die Produktion und Distribution von Lebensmitteln und Chemikalien. Als allgemeines Kriterium gilt eine feste Größenregel: Alle mittleren und großen Unternehmen in den gelisteten Sektoren fallen unter die Vorgaben, ebenso öffentliche Verwaltungen auf zentraler und regionaler Ebene.
In der Praxis führt dies dazu, dass beispielsweise Eiscremeproduzenten und Kaugummigroßhändler ab einer bestimmten Unternehmensgröße reguliert werden, da sie dem Lebensmittelsektor angehören. Auch Hersteller von Weihnachtsbaumbeleuchtungssets oder große Schulen, die über eigene Solaranlagen verfügen und damit formal als Stromproduzenten gelten, fallen unter die Definitionen.
Zudem ist rechtlich ungeklärt, ob Vermieter in Deutschland, die Kabel- oder Internetanschlüsse über die Nebenkosten an viele Mieter weiterleiten, künftig als Telekommunikationsanbieter eingestuft werden könnten. Ein Sprecher der EU-Kommission verwies darauf, dass kleine Unternehmen grundsätzlich ausgenommen seien und für weniger kritische Organisationen geringere Anforderungen gelten.
Schwellenwerte und deutsche Ausnahmeregelungen
Nach den Leitfäden gelten Einrichtungen ab mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz als besonders wichtig. Einrichtungen mit mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz werden als wichtig eingestuft.
Neben der NIS2-Richtlinie stellen auch neue KI-Gesetze Unternehmen vor wachsende regulatorische Herausforderungen und Cyberrisiken. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen KI-Verordnung-Report jetzt herunterladen
In Deutschland konkretisiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Hinweisen zu Paragraf 28 Absatz 3 des BSI-Gesetzes, wann Geschäftstätigkeiten als vernachlässigbar bewertet werden können.
Bei verbundenen Unternehmen greift dies, wenn Tätigkeiten ausschließlich innerhalb des Konzernverbunds stattfinden, weniger als 50 Mitarbeiter in dem Bereich arbeiten und der Anteil an Jahresumsatz sowie Jahresbilanzsumme jeweils unter 10 Prozent liegt. Bei mehr als 500 Mitarbeitern kann alternativ ein Mitarbeiteranteil von unter 10 Prozent herangezogen werden.
Juristen weisen jedoch darauf hin, dass diese FAQ-Veröffentlichung des BSI lediglich eine Rechtsauffassung darstellt und keine verbindliche Freistellung bietet. Es bestehen europarechtliche Zweifel, da die europäische Richtlinie keine allgemeine Ausnahme für vernachlässigbare Tätigkeiten vorsieht.
Vertragliche Sicherheitsanforderungen von regulierten Kunden können zudem nach Paragraf 30 Absatz 2 Nummer 4 des BSI-Gesetzes fortbestehen, weshalb Unternehmen ihre Einstufung sorgfältig prüfen und dokumentieren müssen.
Da die gesetzlichen Anforderungen an die IT-Sicherheit immer komplexer werden, benötigen Firmen einen klaren Überblick über Fristen und Pflichten. Ein kostenloser Umsetzungsleitfaden zum EU AI Act hilft dabei, Compliance-Risiken frühzeitig zu erkennen und rechtssicher zu handeln. Gratis E-Book zur EU-Verordnung anfordern
Nationale Unterschiede bei der praktischen Umsetzung
Die EU-Mitgliedstaaten hatten nach Inkrafttreten der Richtlinie 21 Monate Zeit für die nationale Umsetzung und sollten entsprechende Gesetze bis Ende 2024 verabschieden. Berichten zufolge haben Staaten wie Frankreich und Spanien die Vorgaben noch nicht umgesetzt, während in Deutschland die behördliche Registrierung nur schleppend anläuft.
Gleichzeitig zeigen sich länderspezifische Auslegungen: Die dänische Behörde Fødevarestyrelsen stellte klar, dass der Einzelhandel nicht von NIS2 erfasst sei, sondern lediglich Lebensmittelproduktion, Großhandel und Logistik. In der dänischen Lebensmittelbranche gebe es zudem keine wesentlichen, sondern ausschließlich wichtige Einheiten, was eine rein reaktive behördliche Aufsicht zur Folge hat.
Laut dem Lagebericht 2026 der EU-Cybersicherheitsagentur ENISA hat sich das Sicherheitsniveau in Europa zwar verbessert, doch klaffen bei der praktischen Umsetzung weiterhin erhebliche Lücken. Divergierende nationale Vorgaben zu NIS2 und dem Cyber Resilience Act erschweren den Betrieb für Unternehmen zusätzlich.
Der Branchenverband eco forderte vor diesem Hintergrund einheitliche, praxistaugliche Regelungen, eine engere Kooperation zwischen Behörden und Wirtschaft sowie eine Entlastung mittelständischer Betriebe.
