NIS2 für den Mittelstand — Bin ich betroffen?

NIS2 auf einen Blick

Das Wichtigste vorweg: NIS2 ist eine EU-Richtlinie, die Deutschland im „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz" (ja, der Name ist wirklich so lang) umgesetzt hat. Was Sie wissen müssen:

• Seit 06.12.2025 verbindlich in Kraft
• Ca. 30.000 Unternehmen in Deutschland betroffen (vorher nur 1.800)
• 18 betroffene Sektoren: Energie, Verkehr, Gesundheit, IT, Lebensmittel, Chemie, Maschinenbau, Logistik u.a.
• Persönliche Haftung der Geschäftsführung — nicht delegierbar
• Bußgelder bis 10 Mio. Euro

Bin ich betroffen? Der 3-Fragen-Check

Prüfen Sie mit diesen drei Fragen, ob Ihr Unternehmen unter NIS2 fällt:

• Frage 1 — Größe: Haben Sie mindestens 50 Mitarbeiter ODER mindestens 10 Mio. € Jahresumsatz bei mindestens 10 Mio. € Bilanzsumme?
• Frage 2 — Sektor: Sind Sie in einem der 18 betroffenen Sektoren tätig? (Energie, Verkehr, Gesundheit, Bankwesen/Finanzmarktinfrastrukturen, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienstleistungen, öffentliche Verwaltung, Weltraum, Post, Abfall, Chemie, Lebensmittel, Produktion/Maschinenbau, Medizinprodukte/Pharma, digitale Dienste, Forschung)
• Frage 3 — Konzern: Gehören Sie zu einem Konzern? Achtung: Verbundene Unternehmen werden zusammengerechnet. Eine 30-Mitarbeiter-GmbH in einem 500-Mitarbeiter-Konzern ist betroffen.

Besonders wichtig oder wichtig? Die zwei Kategorien

NIS2 unterscheidet zwei Stufen — und die Pflichten sind unterschiedlich streng:

• Besonders wichtige Einrichtungen (ab 250 MA oder 50 Mio. € Umsatz): Strengere Aufsicht, das BSI kann proaktiv prüfen. Meldepflicht bei Vorfällen: Erstmeldung innerhalb von 24 Stunden, vollständiger Bericht innerhalb von 72 Stunden. Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
• Wichtige Einrichtungen (ab 50 MA oder 10 Mio. € Umsatz): Aufsicht nur anlassbezogen (nach einem Vorfall). Gleiche 10 Kernmaßnahmen, aber Bußgelder bis 7 Mio. € oder 1,4 % des Umsatzes.
• Für beide Kategorien gilt: Die Geschäftsführung haftet persönlich und muss sich selbst schulen lassen.

Was muss ich konkret tun?

Unabhängig von der Kategorie verlangt NIS2 diese 10 Kernmaßnahmen nach § 30 BSIG. Sie müssen nachweisbar umgesetzt sein:

• BSI-Registrierung (Frist war 06.03.2026): Die Registrierungsfrist ist verstrichen. Falls Sie sich noch nicht registriert haben: Holen Sie das umgehend nach — das BSI-Portal ist weiterhin geöffnet, aber Sie riskieren ein Bußgeld.
• Risikoanalyse durchführen: Identifizieren Sie Ihre kritischen IT-Systeme und bewerten Sie Bedrohungen.
• Incident-Response-Plan erstellen: Wer macht was bei einem Cyberangriff? Meldepflicht: Erstmeldung 24h, vollständiger Bericht 72h nach Erkennung.
• Lieferkettensicherheit prüfen: Auch Ihre IT-Dienstleister und Zulieferer müssen Sicherheitsstandards einhalten.
• Verschlüsselung implementieren: Datenverschlüsselung bei Speicherung und Übertragung.
• Zugangskontrolle: Multi-Faktor-Authentifizierung für kritische Systeme.
• Business Continuity: Backup-Konzept und Wiederherstellungspläne testen.
• Schulungspflicht: Die Geschäftsführung selbst muss geschult werden — nicht nur die IT-Abteilung.
• Schwachstellenmanagement: Regelmäßige Updates und Patches für alle Systeme.
• Dokumentation: Alle Maßnahmen müssen nachweisbar dokumentiert sein.

Auch wenn NIS2 Sie nicht direkt betrifft

Auch wenn Sie die Schwellenwerte nicht erreichen — NIS2 betrifft Sie trotzdem indirekt. Und zwar so:

• Große Kunden, die NIS2-pflichtig sind, fordern Sicherheitsnachweise von ihren Zulieferern.
• Cyberversicherungen fragen zunehmend NIS2-konforme Maßnahmen ab.
• Die 10 Kernmaßnahmen sind unabhängig von NIS2 Best Practice für jedes Unternehmen.
• Wer heute die Grundlagen schafft, ist für künftige Verschärfungen vorbereitet.

Häufige Fragen