Auf den Punkt: Netzbetreiber sind nach NIS2 kritische Lieferanten und müssen in die Lieferkettenbewertung einbezogen werden, weil sie direkt die Verfügbarkeit des Betriebs beeinflussen.
Seit Dezember 2025 gilt NIS2 ohne Übergangsfrist — doch viele Organisationen übersehen die Netzanbindung als kritischen Punkt der Lieferkette. Der Maßnahmenkatalog adressiert dies, aber die Praxis konzentriert sich auf Endpunkte und Server, nicht auf die physischen Leitungen zur Außenwelt.
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 unmittelbar in Kraft getreten. Es verpflichtet rund 29.500 Einrichtungen in 18 Sektoren zur Erfüllung eines verbindlichen Katalogs an Risikomanagementmaßnahmen gemäß § 30 BSIG. Das BSI führt die Aufsicht; die Registrierungsfrist für betroffene Organisationen war März 2026.
Der Maßnahmenkatalog in § 30 BSIG deckt typische Cybersicherheitsdomänen ab: Risikoanalyse, Zugriffskontrolle, Kryptografie, Vorfallbewältigung. Zwei Punkte richten den Fokus jedoch nach außen — auf die Aufrechterhaltung des Betriebs mit Backup und Krisenmanagement sowie auf die Lieferkettensicherheit. Hier entsteht die praktische Lücke: Cybersicherheitsprogramme konzentrieren sich auf Endpunkte, Server, Identitäten und Anwendungen, während die physische Netzanbindung als gegeben angesehen wird. Diese Selbstverständlichkeit ist der blinde Fleck.
Nach dem Wortlaut des § 30 Abs. 2 Nr. 4 BSIG sind Netzbetreiber als Anbieter einzustufen, die Einfluss auf die Verfügbarkeit haben. Sie erfüllen das zentrale Kriterium: Fällt die Leitung aus, steht der Betrieb. Nicht die formale Kategorie als Zulieferer, sondern die funktionale Rolle ist entscheidend. Der Gesetzgeber hat dies unterstrichen, indem er den früheren Schwellenwert von 100.000 Kunden strich — das BSI kann nun auch kleinere, regionale Anbieter beaufsichtigen. Zu einer belastbaren Bewertung gehört die geografische und rechtliche Exposition: In welcher Jurisdiktion sitzt der Betreiber, über welche Trassen und Länder läuft der physische Verkehr, und bestehen Abhängigkeiten von einzelnen Übergabepunkten ohne Kompensationsmöglichkeiten?
Konkrete Szenarien verdeutlichen das Risiko: Die Beschädigung der Ostsee-Datenkabel im November 2024 unterbrach zwei Trassen nahezu zeitgleich. Die Ursache blieb ungeklärt; die Vermutung fiel auf ein schleppendes Schiffsanker. In den folgenden zwölf Monaten kam es zu einer Serie weiterer Kabelschäden in der Ostsee, woraufhin die NATO Anfang 2025 eine Überwachungsmission startete. Solche physischen Ausfallszenarien müssen in der NIS2-Risikobetrachtung explizit aufgegriffen werden — sie gehören zur Lieferkettensicherheit und damit zum verpflichtenden Maßnahmenkatalog.
Quelle: www.it-daily.net · Erschienen 18. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.