NIS2 und KRITIS: Wer jetzt wirklich unter die neuen Regeln fällt

Die europäische NIS2-Richtlinie und die deutschen KRITIS-Regeln ziehen den Kreis der verpflichteten Organisationen deutlich weiter, als viele Verantwortliche annehmen. Betroffen sind längst nicht mehr nur Energieversorger und große Rechenzentren: Auch Kliniken, Rettungsdienste und viele mittelständische Zulieferer müssen ihre IT-Sicherheit auf das geforderte Niveau bringen.

Wer unter die Regeln fällt, muss unter anderem Risikomanagement betreiben, Vorfälle innerhalb enger Fristen melden und die Sicherheit der eigenen Lieferkette im Blick behalten. Die Geschäftsführung haftet dabei persönlich mit — ein Punkt, der in vielen Häusern für Bewegung sorgt.

Für kleinere Betriebe lohnt sich die Prüfung, ob sie als Dienstleister eines regulierten Unternehmens indirekt betroffen sind. Denn die Pflichten wandern über Verträge häufig die Lieferkette hinunter.