Die Lage ist klar
NIS2 gilt. Wer in einem der betroffenen Sektoren tätig ist – und das sind deutlich mehr Unternehmen als ursprünglich angenommen – steht jetzt unter regulatorischem Druck. Die Pflichten sind real: Risikomanagement, Incident Reporting, Supply Chain Security, Managementhaftung.
Das ist keine Ankündigung mehr. Das ist Gegenwart.
Warum der Mittelstand besonders exponiert ist
Grosse Konzerne haben Compliance-Apparate. Kleinen Unternehmen fehlt NIS2-Relevanz. Der Mittelstand trifft es am härtesten: zu gross um ignoriert zu werden, zu klein um eine dedizierte Security-Organisation zu unterhalten.
Gleichzeitig sind viele KMU tief in Lieferketten eingebettet – als Zulieferer von kritischen Infrastrukturen oder regulierten Industrien. Was bedeutet: Auch wer selbst nicht direkt in Scope ist, bekommt NIS2 über Vertragsklauseln seiner Kunden zu spüren.
Was jetzt zu tun ist
Drei Schritte, die sofort Klarheit schaffen:
1. Scope klären. Bin ich direkt betroffen? Welche Sektoren, welche Schwellenwerte? Das ist keine rechtliche, sondern zunächst eine operative Frage.
2. Gap-Analyse durchführen. Was ist bereits vorhanden – Policies, technische Massnahmen, Incident-Prozesse? Was fehlt konkret? Ohne Bestandsaufnahme ist jede Massnahme Blindflug.
3. Verantwortung auf Führungsebene klären. NIS2 macht das Management persönlich haftbar. Das ist kein Detail. Das verändert, wie das Thema intern geführt wird.
Fazit
NIS2 ist eine Chance für Unternehmen, Cyber Security endlich als strategisches Thema zu verankern – statt als Kostenfaktor zu verwalten. Wer jetzt handelt, verschafft sich Vorsprung. Wer wartet, riskiert mehr als eine Busse.