NIS2-Richtlinie: Was Chemiebetriebe jetzt wissen müssen

Die Cybersicherheit in der chemischen Industrie hinkt der Realität hinterher. Während professionelle Hackergruppen ihre Angriffe auf Chemieanlagen in den vergangenen Jahren massiv hochgefahren haben, herrscht in vielen Werkshallen und Chefetagen noch gefährliche Sorglosigkeit. Bereits 2020 deckte ein Branchencheck des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV) eklatante Lücken auf: Vor allem im Mittelstand fehlte es allzu oft an klaren Sicherheitsverantwortlichen und erprobten Notfallkonzepten. Mit der NIS2-Richtlinie der Europäischen Union ist die Zeit der Freiwilligkeit nun endgültig vorbei. Da Chemiebetriebe zum Fundament der kritischen Infrastruktur zählen, nimmt der Gesetzgeber die Branche jetzt kompromisslos in die Pflicht.

Das Ende der Schonfrist: Vom EU-Entwurf zum harten Gesetz

Hinter dem Kürzel NIS2 (Network and Information Security) verbirgt sich die Generalüberholung der ersten EU-Cybersecurity-Richtlinie von 2016. Nach dem offiziellen EU-Startschuss Anfang 2023 hatten die Mitgliedstaaten eigentlich bis Oktober 2024 Zeit für die nationale Umsetzung. Deutschland verschlief diese Frist deutlich – legte dann aber einen Sprint hin: Das nationale Umsetzungsgesetz (NIS2UmsuCG) passierte im November 2025 Bundestag und Bundesrat und trat am 6. Dezember 2025 in Kraft. Das Besondere daran: Es gab keine Übergangsfrist. Die Pflichten gelten seit dem ersten Tag.

Die Auswirkungen für die deutsche Wirtschaft sind gewaltig. Der regulatorische Schutzschirm des Bundesamts für Sicherheit in der Informationstechnik (BSI) wächst schlagartig von 4.500 auf rund 29.500 Unternehmen. Wer die gesetzliche Erstregistrierung verpasst hat, bewegt sich auf dünnem Eis: Die reguläre Frist endete am 6. März 2026. Angesichts der aktuellen Nachfrist, die am 31. Juli 2026 auslief, drängt die Zeit für Nachzügler massiv. Ein Ignorieren der Vorgaben ist existenzbedrohend. Bei Verstößen drohen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Besonders brisant: Die Geschäftsleitung haftet im Ernstfall persönlich und unbeschränkbar mit dem Privatvermögen.

Wer muss handeln? Die Size-Cap-Regel entscheidet

Ob ein Chemiebetrieb unter die neuen Regeln fällt, regelt die sogenannte „Size-Cap-Regel“ nach § 28 des BSI-Gesetzes (BSIG). Da die Chemieindustrie als Sektor mit hoher Kritikalität eingestuft ist, gelten hier strenge Schwellenwerte:Für die Berechnung zählen die Vollzeitäquivalente des letzten Jahresabschlusses. Betreiber von Anlagen, die ohnehin als kritische Infrastruktur (KRITIS) gelten, fallen automatisch und größenunabhängig in die höchste Kategorie. Auch kleine Tochtergesellschaften innerhalb von Konzernstrukturen können über die wirtschaftliche Gesamteinheit erfasst werden. Nur echte Kleinstunternehmen bleiben außen vor.

• Besonders wichtige Einrichtungen: Betriebe ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Jahresumsatz bei gleichzeitiger Bilanzsumme von über 43 Millionen Euro.
• Wichtige Einrichtungen: Betriebe ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz bzw. Jahresbilanzsumme.

Risikomanagement und der 24-Stunden-Countdown

Im Kern fordert NIS2 ein lebendiges, zertifiziertes Risikomanagement. Betriebe müssen Cyberrisiken systematisch analysieren und technische Schutzwälle hochziehen – von der Multi-Faktor-Authentifizierung über lückenlose Verschlüsselung bis hin zu resilienten Backup-Strategien.

Zusätzlich verlangt das Gesetz ein extrem straffes, dreistufiges Meldewesen bei Sicherheitsvorfällen:

1. Die Erstmeldung (innerhalb von 24 Stunden): Eine erste Alarmierung des BSI über die Art des Angriffs und erste Notfallmaßnahmen.
2. Der Zwischenbericht (innerhalb von 72 Stunden): Eine präzise Lagebeurteilung inklusive einer ersten Schadenseinschätzung.
3. Der Abschlussbericht (spätestens nach einem Monat): Eine detaillierte Dokumentation des Vorfalls und die finale Schließung der Sicherheitslücke.

Praxistaugliche Werkzeuge für die Chemie-IT

Die Umsetzung der bürokratischen Vorgaben muss nicht auf dem Reißbrett beginnen. Die Chemiebranche kann auf etablierte Industriestandards zurückgreifen. Die internationale Normenreihe IEC 62443 bietet den perfekten Leitfaden für die Absicherung von Prozessleitsystemen (OT) und nimmt Anlagenbetreiber sowie Hersteller gleichermaßen in die Pflicht. Flankiert wird dies durch den Leitfaden KAS-51 der Kommission für Anlagensicherheit, der konkrete Abwehrmedizin gegen Sabotage und digitale Erpressung liefert. Wer diese Branchenstandards mit den rechtlichen NIS2-Vorgaben verzahnt, schützt nicht nur sein Unternehmen vor Strafen, sondern seine Produktion vor dem Stillstand.

Quelle: Fachzeitschrift „PROCESS“

Foto: The KonG