Seit dem Inkrafttreten der NIS-2-Umsetzung müssen Unternehmen und Einrichtungen der Bundesverwaltung in Deutschland erhebliche Sicherheitsvorfälle melden. Das Bundesamt für Sicherheit in der Informationstechnik hat dafür ein eigenes Registrierungsportal in Betrieb genommen.
Für viele mittelständische Unternehmen ist das der Punkt, an dem aus einer abstrakten EU-Richtlinie eine konkrete Pflicht wird. Und für einen Teil von ihnen kommt die Erkenntnis überraschend, dass sie überhaupt betroffen sind.
Warum das auch physische Sicherheit betrifft
NIS-2 wird meist als IT-Thema verhandelt. Das ist verkürzt.
Die Richtlinie verlangt ein Risikomanagement für die Sicherheit von Netz- und Informationssystemen. Dazu gehören ausdrücklich auch Maßnahmen zur physischen Sicherheit und zur Umgebungssicherheit dieser Systeme. Ein Serverraum, zu dem jeder Zutritt hat, ist ein Befund — unabhängig davon, wie gut die Firewall konfiguriert ist.
Konkret geraten damit Themen in den Prüfumfang, die klassisch nicht in der IT-Abteilung liegen:
- Zutrittskontrolle zu Technikräumen, Verteilern und Serverschränken
- Nachvollziehbarkeit, wer wann Zutritt hatte — und ob das protokolliert ist
- Umgang mit Fremdfirmen, die Zutritt zu sensiblen Bereichen erhalten
- Reaktionsketten bei einem Vorfall außerhalb der Geschäftszeiten
- Absicherung der Stromversorgung und der Klimatisierung
Das sind Fragen der Gebäude- und Objektsicherheit, nicht der Netzwerktechnik. In vielen Unternehmen fehlt für sie eine dokumentierte Antwort, weil sie bisher niemand verlangt hat.
Wer betroffen ist
Die Einordnung erfolgt über zwei Achsen: Sektor und Unternehmensgröße.
Betroffen sind Einrichtungen in als besonders wichtig oder wichtig eingestuften Sektoren — darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste.
Die Größenschwelle liegt grundsätzlich bei 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz, mit sektorspezifischen Ausnahmen nach unten.
Der Punkt, der regelmäßig übersehen wird: Auch wer selbst nicht unmittelbar betroffen ist, kann über die Lieferkette in den Anwendungsbereich geraten. NIS-2 verlangt von betroffenen Einrichtungen, die Sicherheit ihrer Lieferanten und Dienstleister zu bewerten. Wer einen betroffenen Kunden beliefert, wird die Fragen beantworten müssen — auch ohne eigene Meldepflicht.
Die Selbsteinschätzung ist Pflicht. Es gibt keine Behörde, die betroffene Unternehmen anschreibt. Die Einordnung und Registrierung liegt bei den Unternehmen selbst.
Das KRITIS-Dachgesetz daneben
Parallel zur NIS-2-Umsetzung, die auf Cybersicherheit zielt, adressiert das KRITIS-Dachgesetz die physische Resilienz kritischer Anlagen. Es setzt die europäische CER-Richtlinie zur Resilienz kritischer Einrichtungen um.
Die Stoßrichtung ist eine andere: Wo NIS-2 nach der Absicherung von Informationssystemen fragt, fragt das KRITIS-Dachgesetz nach der Widerstandsfähigkeit gegen physische Störungen — Naturereignisse, Sabotage, Anschläge, Ausfall von Versorgungsinfrastruktur.
Für Betreiber bedeutet das unter anderem: Risikoanalysen, Resilienzmaßnahmen, Meldepflichten bei Störungen und Nachweise gegenüber der zuständigen Behörde.
Die Branche rechnet damit, dass beide Regelwerke die Nachfrage nach Sicherheitsdienstleistungen spürbar erhöhen werden.
Was die Branchenzahlen zeigen
Die Lünendonk-Studie „Sicherheitsdienstleistungen in Deutschland“ liefert dazu einen Indikator. Die 25 führenden Sicherheitsdienstleister in Deutschland haben ihren Umsatz im Geschäftsjahr 2025 um durchschnittlich 4,6 Prozent gesteigert — weniger als im Vorjahr. Die schwache Konjunktur ist auch in diesem Markt angekommen.
Für die Jahre 2026 bis 2030 erwarten dieselben Unternehmen jedoch ein jährliches Wachstum zwischen 6,7 und 7,6 Prozent. Als einer der Treiber wird ausdrücklich die steigende Nachfrage im Zuge der KRITIS-Regulatorik genannt.
Zur Einordnung: Die Top 25 erwirtschafteten 2025 einen sicherheitsrelevanten Umsatz von rund 5,63 Milliarden Euro und repräsentieren damit etwa 40 Prozent des Marktvolumens. Der Markt ist also weniger konzentriert, als die Zahl der großen Namen vermuten lässt — die Mehrheit des Volumens entfällt auf kleinere und mittlere Anbieter.
Was Unternehmen jetzt sinnvoll tun
Ohne Anspruch auf Vollständigkeit, und ausdrücklich keine Rechtsberatung:
- Betroffenheit prüfen — schriftlich. Sektor und Größenschwelle abgleichen, das Ergebnis dokumentieren. Auch ein begründetes „nicht betroffen“ ist ein Prüfergebnis, das man später vorzeigen kann.
- Die Lieferkette mitdenken. Wer zu den Kunden gehört und ob darunter betroffene Einrichtungen sind. Die Fragebögen kommen erfahrungsgemäß früher als die eigene Meldepflicht.
- Zutritt inventarisieren. Wer hat physischen Zutritt zu Technikräumen? Wie viele Schlüssel und Transponder sind im Umlauf? Existiert eine aktuelle Liste? Diese Frage lässt sich in einem Nachmittag beantworten und wird in Audits fast immer gestellt.
- Die Reaktionskette aufschreiben. Was passiert bei einem Vorfall um 23 Uhr an einem Sonntag? Wer wird in welcher Reihenfolge informiert, wer entscheidet, wer dokumentiert? Eine Reaktionskette, die nur im Kopf einer Person existiert, ist keine.
- Vorfälle protokollieren, bevor die Pflicht greift. Wer ein Meldewesen erst aufbaut, wenn der erste meldepflichtige Vorfall eingetreten ist, baut es unter Zeitdruck.
Einordnung
NIS-2 und das KRITIS-Dachgesetz verlangen von Unternehmen etwas, das viele bisher informell gelöst haben: Nachweisbarkeit. Nicht, dass Sicherheit vorhanden ist, sondern dass sie beschrieben, geprüft und dokumentiert ist.
Für die meisten mittelständischen Betriebe ist das weniger ein technisches als ein organisatorisches Projekt. Die Zutrittskontrolle existiert oft bereits. Was fehlt, ist die Liste, wer einen Schlüssel hat.
Dieser Beitrag fasst den öffentlich zugänglichen Stand zusammen und ersetzt keine rechtliche Prüfung des Einzelfalls. Für die verbindliche Einordnung der eigenen Betroffenheit ist fachkundiger Rat einzuholen.