NIS-2 Beratung 2026: physische Sicherheit richtig umsetzen
NIS-2 Beratung 2026: Wer ist betroffen, welche physischen Sicherheitsmaßnahmen verlangt Art. 21, und wie Betreiber die Pflicht revisionssicher nachweisen.
NIS-2 Beratung: die drei Fragen, die zuerst beantwortet werden müssen
Die meisten NIS-2-Beratungsangebote am Markt kommen aus der Cyber- und IT-Welt. Das greift zu kurz. Artikel 21 der NIS-2-Richtlinie (EU 2022/2555) verlangt ausdrücklich technische und physische Risikomanagementmaßnahmen — und genau die physische Absicherung von Standorten, Perimetern und kritischen Anlagen fällt in praktisch jeder Erstberatung durch das Raster.
Drei Fragen entscheiden über den Handlungsbedarf:
- Bin ich überhaupt betroffen?
- Welche physischen Maßnahmen verlangt das Gesetz konkret?
- Wer haftet, wenn nichts passiert?
Dieser Beitrag beantwortet alle drei — auf Grundlage des Rechtsrahmens, wie ihn KRITIS – Die verborgene Macht Europas (Nagel/Köhnlein, 2026, Kapitel 4) darstellt.
Wer ist von NIS-2 betroffen?
NIS-2 unterscheidet wesentliche und wichtige Einrichtungen. Vereinfacht gilt die Schwelle: mindestens 50 Beschäftigte oder 10 Mio. Euro Jahresumsatz, tätig in einem der regulierten Sektoren. In Deutschland setzt das NIS2-Umsetzungsgesetz (NIS2UmsuCG) die Richtlinie um und erweitert den Kreis erheblich — Schätzungen gehen von rund 29.000 betroffenen Unternehmen aus, weit mehr als die klassischen KRITIS-Betreiber.
Zur Einordnung: Das BSI wies zum Stichtag 31.12.2025 folgende Zahl registrierter KRITIS-Betreiber aus — NIS-2 vergrößert diesen Kreis um ein Vielfaches:
| Sektor | Registrierte KRITIS-Betreiber (DE) |
|---|---|
| Energie | 309 |
| Siedlungsabfallentsorgung | 233 |
| Gesundheit | 222 |
| Finanz- und Versicherungswesen | 133 |
| Transport und Verkehr | 97 |
| Wasser | 81 |
| IT und Telekommunikation | 73 |
| Ernährung | 63 |
| Summe | 1.211 |
Wer über den KRITIS-Schwellen liegt, ist automatisch auch NIS-2-betroffen. Wer darunter liegt, aber die 50/10-Schwelle erreicht, ist es ebenfalls — nur ohne die volle KRITIS-Registrierungspflicht.
Welche physischen Maßnahmen verlangt NIS-2?
Artikel 21 Abs. 2 listet Mindestmaßnahmen. Für die physische Sicherheit relevant sind vor allem:
| Anforderung (Art. 21 / § 7 KRITIS-DG) | Physische Umsetzung |
|---|---|
| Risikoanalyse & Sicherheitskonzept | dokumentierte Perimeter- und Zutrittsbewertung |
| Bewältigung von Sicherheitsvorfällen | Detektion, Alarmeskalation, lückenlose Vorfalldokumentation |
| Aufrechterhaltung des Betriebs | Dauerüberwachung auch bei Personalengpass |
| Sicherheit des Anlagenbetriebs | Perimeterkontrolle, Sabotage- und Zutrittsschutz |
| „Stand der Technik" (§ 7 KRITIS-DG) | nachweislich bewährte, marktverfügbare Technik am oberen Rand des Üblichen |
Der Begriff „Stand der Technik" ist der Hebel. Er verlangt nicht das Minimum und nicht den Höchststand, sondern das nachweislich Bewährte am oberen Rand des aktuell Üblichen — und es muss dokumentiert sein, wie dieser Stand erreicht wird. Autonome Perimeterüberwachung mit auditfähiger Dokumentation erfüllt genau diese Doppelanforderung: aktuelle Technik plus revisionssicherer Nachweis.
Der klarere Rechtsgrund: KRITIS-Dachgesetz und CER
Wichtig zur ehrlichen Einordnung: NIS-2 bezieht physische Maßnahmen vor allem auf den Schutz der IT-/OT-Anlagen (Serverräume, Zutritt zu Technikbereichen). Der explizitere Auftrag für die physische Objektsicherung steht im KRITIS-Dachgesetz und der zugrunde liegenden CER-Richtlinie (Critical Entities Resilience, EU 2022/2557, in Kraft ab 2026). Diese verlangen ausdrücklich Maßnahmen zu Objektschutz, Überwachung und Zutrittskontrolle — also genau die Aufgaben, die eine autonome Patrouilleneinheit übernimmt.
Wer die physische Resilienz seiner Standorte nachweisen muss, argumentiert daher sauberer über das KRITIS-Dachgesetz (§ 7 „Stand der Technik", Objektschutzpflicht) und nutzt NIS-2 als ergänzenden Baustein für die kontinuierliche Überwachung nach § 30 BSIG. Beide Rahmen zusammen ergeben eine lückenlose Begründung.
Details zu den sechs Pflichtbereichen finden sich auf der Seite KRITIS-Anforderungen; die vollständige NIS-2-Übersicht unter NIS-2.
Wer haftet? Die Geschäftsleitung — persönlich
Der zentrale Satz aus Kapitel 4 des KRITIS-Werks: Die Pflicht, angemessene technische und organisatorische Maßnahmen nachzuweisen, richtet sich ausdrücklich an die Unternehmensleitung und kann nicht auf die IT-Abteilung „delegiert" werden.
NIS-2 macht das explizit: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Bei Verstößen drohen Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes — und persönliche Haftung der Leitungsorgane. Physische Sicherheit ist damit keine Frage des Facility Managements mehr, sondern Vorstandsverantwortung.
Vom Beratungsgespräch zur Umsetzung
Gute NIS-2-Beratung endet nicht bei der Gap-Analyse. Sie liefert eine umsetzbare Maßnahme. Für die physische Perimeter- und Anlagensicherung ist das im Regelfall eine Kombination aus reduzierter menschlicher Präsenz und robotergestützter Dauerüberwachung — bereitgestellt als Robotics-as-a-Service, damit die Maßnahme sofort wirksam und bilanziell als laufender Aufwand abbildbar ist.
Der Einstieg ist bewusst niedrigschwellig gehalten: ein 14-tägiger Pilot ohne Risiko, Lieferung binnen 48 Stunden. So lässt sich der „Stand der Technik"-Nachweis im Realbetrieb erproben, bevor eine Verpflichtung entsteht.
Häufige Fragen zur NIS-2-Beratung
Ist NIS-2 nur ein Cyber-Thema? Nein. Art. 21 verlangt ausdrücklich technische und physische Sicherheitsmaßnahmen. Perimeterschutz, Zutrittssicherung und Sabotageschutz sind Teil der Pflicht — nicht nur IT-Sicherheit.
Wer ist von NIS-2 betroffen? Wesentliche und wichtige Einrichtungen ab 50 Beschäftigten oder 10 Mio. Euro Umsatz in einem regulierten Sektor. In Deutschland rund 29.000 Unternehmen.
Welche Strafen drohen bei Verstößen? Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, dazu persönliche Haftung der Geschäftsleitung.
Kann die physische Sicherheit an die IT-Abteilung delegiert werden? Nein. Die Nachweispflicht richtet sich an die Unternehmensleitung und ist nicht delegierbar (Kap. 4, KRITIS-Werk).
Grundlage: Dr. Raphael Nagel (LL.M.) / Marcus Köhnlein, „KRITIS – Die verborgene Macht Europas" (2026), Kapitel 4 „Rechtsrahmen für KRITIS". Konkrete Betroffenheits- und Maßnahmenbewertung über Kontakt.
Übersetzungen
Mehr aus diesem Cluster