Prüfungstrend NIS-2: Was du als Technischer Betriebswirt jetzt wissen musst
NIS-2 klingt nach Paragrafen, Behörden und IT-Abteilung. Und genau deshalb unterschätzen es viele. Dabei war NIS-2 schon im Frühjahr und im Herbst 2025 Thema in der Prüfung. Das Thema verbindet IT-Sicherheit, Recht, Führung und Lieferkette, also genau die Brücken, die in der Prüfung zum Technischen Betriebswirt gefragt sind.
Was ist NIS-2 überhaupt?
NIS-2 ist eine EU-Richtlinie für mehr Cybersicherheit. In Deutschland gilt sie seit dem 6. Dezember 2025 über das neu gefasste BSI-Gesetz, ohne Übergangsfrist. Statt bisher rund 4.500 Betreibern kritischer Infrastrukturen sind jetzt rund 29.500 Unternehmen betroffen.
Kleine Brücke zum Recht: Eine Richtlinie gilt nicht sofort, sie muss erst in nationales Recht umgesetzt werden. Eine Verordnung wie die DSGVO gilt dagegen direkt in allen EU-Staaten. Diese Unterscheidung wird gern gefragt.
Bin ich betroffen? Sektor plus Größe
Die häufigste Falle zuerst: NIS-2 gilt nicht für jedes Unternehmen ab 50 Mitarbeitern. Es müssen alle drei Bedingungen zusammenkommen:
- Sektor: Das Unternehmen ist in einem Bereich tätig, der im BSI-Gesetz genannt ist, zum Beispiel Energie, Gesundheit, digitale Infrastruktur oder verarbeitendes Gewerbe wie Maschinenbau, Fahrzeugbau und Elektrotechnik. Bauwirtschaft, Handwerk und Gastronomie sind nicht dabei.
- Größe: ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und zugleich mehr als 10 Mio. € Bilanzsumme.
- Keine Nebentätigkeit: Ein Bauunternehmen mit einer kleinen Photovoltaikanlage wird dadurch nicht zum Energieunternehmen.
Mach den Test: Ein Maschinenbauer mit 45 Mitarbeitern, 12 Mio. € Umsatz und 8 Mio. € Bilanzsumme? Nicht betroffen, solange er nicht zu einem Konzern gehört, denn die Bilanzsumme liegt nicht über 10 Mio. €. Derselbe Maschinenbauer mit 120 Mitarbeitern? Betroffen.
Was muss ein betroffenes Unternehmen tun?
- Registrieren beim BSI.
- Risikomanagement mit Mindestmaßnahmen, unter anderem Risikoanalyse, Notfallplan, Backups, Zugriffskontrolle, Verschlüsselung, Schulungen und Sicherheit in der Lieferkette.
- Melden erheblicher Sicherheitsvorfälle an das BSI.
- Geschäftsleitung in die Pflicht nehmen: Sie muss die Maßnahmen billigen und überwachen, sich schulen lassen und haftet persönlich.
Eselsbrücke für die Meldefristen: Ein Tag für die Warnung, drei Tage für die Meldung, ein Monat für den Bericht. Also 24 Stunden, 72 Stunden, ein Monat. Die 72 Stunden kennst du schon aus der DSGVO.
Die Brücke, die viele übersehen: die Lieferkette
Ein Zulieferer mit 30 Mitarbeitern fällt nicht unter NIS-2. Trotzdem muss er die Anforderungen oft erfüllen, denn seine betroffenen Kunden verlangen Nachweise im Vertrag, etwa zu Backups oder Mehr-Faktor-Anmeldung. Wer den Auftrag behalten will, zieht mit. So wirkt NIS-2 weit über die 29.500 Unternehmen hinaus.
Alltagsbild: Denk an die Hygienevorschriften in der Gastronomie. Sauber arbeiten musste jeder Wirt schon immer. Mit den Vorschriften kommen feste Regeln, Kontrollen und Bußgelder dazu. Und wer ein Restaurant beliefert, muss die Regeln ebenfalls einhalten.
Typische Prüfungsfallen
- NIS-2 für jedes Unternehmen ab 50 Mitarbeitern halten.
- Bei den Finanzschwellen nur den Umsatz prüfen. Umsatz und Bilanzsumme müssen über 10 Mio. € liegen.
- NIS-2 für eine Norm halten. Es ist ein Gesetz. ISO 27001 oder IT-Grundschutz sind Wege, die Pflichten nachweisbar zu erfüllen.
- Den Informationssicherheitsbeauftragten mit dem Datenschutzbeauftragten gleichsetzen.
Prüfungstipp: Gern wird verlangt, die Umsetzung in chronologischen Schritten darzustellen. Fang immer mit „Betroffenheit prüfen und registrieren“ an und hör mit „Wirksamkeit prüfen und jährlich überarbeiten“ auf. Dazwischen kommen Leitlinie und Budget durch die Geschäftsleitung, Risikoanalyse, Maßnahmen, Meldeprozess und Schulungen.
Mein Fazit
NIS-2 ändert nicht, wer für IT-Sicherheit verantwortlich ist. Das war die Geschäftsführung schon immer. Es macht aus allgemeiner Sorgfalt konkrete, überprüfbare Pflichten. Der wichtigste Satz für die Prüfung lautet deshalb: „Das macht die IT“ reicht als Antwort nicht mehr.
Genau so baue ich meine Skripte auf: aktuelle Themen, Brücken zwischen den Fächern und Eselsbrücken, die hängen bleiben. Wenn du Bescheid bekommen willst, sobald es losgeht: Trag dich auf die Warteliste ein.
Häppi lörning!
Dein Swen von Synapsenwerk
Stand: November 2026. Gesetze ändern sich, deshalb prüfe ich die Zahlen regelmäßig nach.