Die Umsetzung der neuen NIS2-Richtlinie (Network and Information Security Directive 2) ist ein grosses Thema in der europäischen Cybersecurity-Regulierung. Diese Richtlinie stellt Anforderungen an den Schutz kritischer Infrastrukturen und Dienste. Ein zentraler Bestandteil ist die Registrierung von Betreibern als Teil des Geltungsbereichs.
Die deutsche Bundesregierung hatte bei der Planung damit gerechnet, dass etwa 30'000 Unternehmen sich registrieren müssten. Doch bei der tatsächlichen Anmeldung zeigt sich eine erhebliche Diskrepanz: Es haben sich deutlich weniger Firmen angemeldet als erwartet, rund 10'000 weniger.
Dies könnte mehrere Ursachen haben. Möglich ist, dass einige Unternehmen ihre Klassifikation nicht korrekt einschätzen oder von ihren Verpflichtungen noch nicht ausreichend informiert sind. Es ist auch denkbar, dass Unsicherheiten bei der Interpretation der Anforderungen dazu führen, dass Betriebe zögern oder sich falsch einstufen.
Die Behörden sehen nach eigenem Bekunden keine Registrierungslücke, sondern deuten dies als Korrektur der ursprünglichen Schätzungen. Allerdings könnte eine solche Lücke auch Compliance-Risiken mit sich bringen, falls Unternehmen zu Unrecht nicht registriert sind.
Für KMU ist wichtig zu verstehen, ob sie selbst in den Geltungsbereich der NIS2 fallen. Die Kriterien sind klar definiert, aber die Selbsteinschätzung erfordert oft genaues Nachdenken. Es empfiehlt sich, mit den zuständigen Behörden oder IT-Sicherheitsexperten zu klären, ob eine Registrierung erforderlich ist. Eine Nichtregistrierung trotz Verpflichtung könnte zu erheblichen Bussgeldern führen.