Die meisten Unternehmen im Mittelstand prüfen NIS2 einmal, stellen fest „unter 50 Mitarbeiter, betrifft uns nicht" – und legen das Thema weg. Bei der direkten Betroffenheit ist das oft richtig. Bei der praktischen Betroffenheit fast immer falsch.
Denn regulierte Unternehmen müssen ihre Lieferkette absichern. Das heißt: Sie geben die Anforderungen an ihre Dienstleister und Zulieferer weiter – per Fragebogen, per Vertragsklausel, per Nachweispflicht. Wer als Zulieferer nicht antworten kann, verliert im Zweifel den Auftrag, ohne selbst je unter das Gesetz gefallen zu sein.
Dieser Artikel klärt beides: ob Sie direkt betroffen sind, und was auf Sie zukommt, wenn Sie es nicht sind.
Inhaltsverzeichnis
- Was NIS2 ist – und seit wann es gilt
- Sind Sie betroffen? Die Schwellenwerte
- Der Fall, den die meisten übersehen
- Was betroffene Unternehmen tun müssen
- Die Meldefristen: 24, 72, 30
- Bußgelder und Geschäftsführerhaftung
- Was zu tun ist, wenn Sie nicht betroffen sind
- Checkliste: Der erste Schritt
- Fazit
- Quellen
- Häufige Fragen
Was NIS2 ist – und seit wann es gilt
NIS2 ist eine EU-Richtlinie zur Cybersicherheit. Richtlinien gelten nicht direkt, sie müssen national umgesetzt werden. In Deutschland geschieht das durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist – ohne Übergangsfrist.
Der Kern des Gesetzes ist unspektakulär und genau deshalb wirksam: Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, technische und organisatorische Mindestmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle melden – und die Geschäftsführung wird dafür persönlich verantwortlich gemacht.
Nach Angaben des BSI fallen in Deutschland rund 29.500 Einrichtungen unter die Regelung. Das ist ein deutlicher Sprung gegenüber der Vorgängerregelung, die nur wenige hundert Betreiber kritischer Infrastruktur erfasste.
Sind Sie betroffen? Die Schwellenwerte
Betroffenheit entsteht aus zwei Bedingungen, die gemeinsam erfüllt sein müssen: Ihr Unternehmen ist in einem regulierten Sektor tätig und überschreitet die Größenschwelle. Ein Handwerksbetrieb mit 300 Mitarbeitenden ist nicht automatisch betroffen – ein Abfallwirtschaftsbetrieb mit 60 Mitarbeitenden schon.
| Kategorie | Schwellenwert | Sektoren (Beispiele) |
|---|---|---|
| Besonders wichtige Einrichtungen | ab 250 Mitarbeitende oder über 50 Mio. € Umsatz | Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung |
| Wichtige Einrichtungen | ab 50 Mitarbeitende oder über 10 Mio. € Umsatz | Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Maschinenbau, Forschung, digitale Dienste |
Zwei Fallstricke, die in der Praxis regelmäßig zu Fehleinschätzungen führen:
- „Oder" ist kein „und". Ein Unternehmen mit 40 Mitarbeitenden und 15 Mio. € Umsatz in einem wichtigen Sektor ist betroffen – die Mitarbeiterzahl allein entscheidet nicht.
- Verbundene Unternehmen zählen mit. Wer als kleine GmbH zu einer größeren Gruppe gehört, muss prüfen, ob die Werte auf Gruppenebene zu betrachten sind. Das kippt die Einschätzung häufiger, als man denkt.
Die Sektorlisten sind detailliert und mit Unterkategorien versehen. Für die verbindliche Einordnung führt das BSI eine eigene Betroffenheitsprüfung – die Selbsteinschätzung anhand einer Tabelle wie dieser ist ein erster Filter, kein Ergebnis.
Der Fall, den die meisten übersehen
NIS2 verpflichtet betroffene Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette zu berücksichtigen. Für einen regulierten Konzern heißt das: Er muss wissen, wie es bei seinen Dienstleistern um IT-Sicherheit steht – beim Logistiker, beim Lohnbüro, beim IT-Haus, beim Zulieferer.
Der Weg, auf dem NIS2 im Mittelstand ankommt, ist deshalb selten das Gesetz selbst. Es ist ein Fragebogen vom größten Kunden. Typische Anforderungen darin: Nachweis eines Backup-Konzepts, Mehrfaktor-Authentifizierung, Meldewege bei Vorfällen, benannte Sicherheitsverantwortliche, Nachweis von Mitarbeiterschulungen.
Wer darauf keine belastbare Antwort hat, hat kein juristisches Problem – aber ein vertriebliches. Und weil diese Fragebögen zunehmend Standard werden, verschiebt sich die eigentliche Frage von „müssen wir?" zu „können wir es nachweisen, wenn gefragt wird?".
Was betroffene Unternehmen tun müssen
Die Pflichten lassen sich in vier Blöcke fassen:
- Registrierung beim BSI. Das BSI formuliert die Frist relativ: Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut NIS-2-betroffen sind, registrieren. Wer die Schwelle also erst durch Wachstum überschreitet, hat ab diesem Zeitpunkt drei Monate. Die Registrierung läuft über das BSI-Portal.
- Technische und organisatorische Maßnahmen. Risikomanagement, Vorfallsbehandlung, Backup- und Krisenmanagement, Lieferkettensicherheit, Zugriffskontrolle, Kryptografie, Mehrfaktor-Authentifizierung, Schulung der Mitarbeitenden.
- Meldepflichten. Erhebliche Sicherheitsvorfälle sind an das BSI zu melden – in gestaffelten Fristen (siehe unten).
- Nachweis- und Schulungspflichten der Leitung. Geschäftsführungen müssen die Maßnahmen billigen, überwachen und sich selbst fortbilden. Das ist keine delegierbare Aufgabe.
Hinweis zum Stand: Für die erste Registrierungswelle nach Inkrafttreten wurde in der Fachpresse und von Beratungsseite eine vom BSI eingeräumte Nachfrist bis zum 31. Juli 2026 berichtet. Diese Angabe stammt aus Sekundärquellen; die verbindliche Aussage des BSI ist die oben genannte Drei-Monats-Regel. Wer betroffen sein könnte, sollte den aktuellen Stand direkt über das BSI-Portal prüfen und sich nicht auf Fristangaben Dritter verlassen – auch nicht auf diese.
Die Meldefristen: 24, 72, 30
Diese drei Zahlen sind der Teil von NIS2, der im Ernstfall den größten Druck erzeugt. Sie stehen so beim BSI:
| Frist | Was fällig ist | Ab wann sie läuft |
|---|---|---|
| 24 Stunden | Frühe Erstmeldung | Ab Kenntnis des erheblichen Sicherheitsvorfalls |
| 72 Stunden | Ausführlichere Meldung mit Bewertung | Ab Kenntnis des Vorfalls |
| 30 Tage | Abschluss- bzw. Folgemeldung | Nach der Meldung |
Der praktische Kern: 24 Stunden sind kein Zeitraum, in dem man erst einen Prozess erfindet. Wenn am Freitagabend Systeme verschlüsselt werden, muss vorher festgelegt sein, wer meldet, wer entscheidet und wo die Zugangsdaten für das BSI-Portal liegen. Genau dafür existiert der IT-Notfallplan – ohne ihn ist die 24-Stunden-Frist praktisch nicht haltbar.
Bußgelder und Geschäftsführerhaftung
Der Bußgeldrahmen ist gestaffelt. Für besonders wichtige Einrichtungen sind bis zu 10 Mio. € oder 2 Prozent des weltweiten Jahresumsatzes möglich – je nachdem, welcher Betrag höher ist. Für Verstöße gegen die Registrierungspflicht allein werden bis zu 500.000 € genannt.
Die schärfere Regelung ist aber nicht das Bußgeld, sondern die Zuordnung der Verantwortung: NIS2 knüpft die Pflichten ausdrücklich an die Leitungsebene. Geschäftsführungen und Vorstände können persönlich in die Verantwortung genommen werden, wenn Cyber-Risikomanagement nachweislich vernachlässigt wurde. „Die IT hat das gemacht" ist damit keine Entlastung mehr.
Warum der Gesetzgeber diesen Weg gewählt hat, zeigt die Schadenslage. Die Bitkom-Studie „Wirtschaftsschutz 2025" bezifferte den Gesamtschaden für die deutsche Wirtschaft auf 289,2 Mrd. € – davon 202,4 Mrd. € durch Cyberangriffe. 87 Prozent der befragten Unternehmen waren in den zwölf Monaten davor von Datendiebstahl, Spionage oder Sabotage betroffen, 34 Prozent von Ransomware.
Was zu tun ist, wenn Sie nicht betroffen sind
Für die meisten KMU unter 50 Mitarbeitenden lautet die ehrliche Antwort: NIS2 gilt für Sie nicht direkt. Daraus folgt aber nicht „nichts tun", sondern eine andere Reihenfolge.
Sinnvoll ist, den Stand der eigenen IT-Sicherheit einmal strukturiert zu erfassen – nicht nach NIS2, sondern nach einem Maßstab, der für kleine Unternehmen gemacht ist. Genau dafür gibt es den CyberRisikoCheck nach DIN SPEC 27076: ein BSI-Standard für Unternehmen mit weniger als 50 Mitarbeitenden, der 27 Anforderungen prüft und eine nach Dringlichkeit sortierte Maßnahmenliste liefert.
Der Nebeneffekt ist der eigentliche Grund, es zu tun: Der Bericht daraus ist genau das Dokument, mit dem sich Lieferketten-Fragebögen beantworten lassen.
Checkliste: Der erste Schritt
Betroffenheit und Grundlagen klären
Einordnung
Wenn betroffen
Für alle – auch nicht betroffene
Fazit
NIS2 gilt seit dem 6. Dezember 2025 und trifft in Deutschland rund 29.500 Einrichtungen direkt. Für kleinere Unternehmen ist die relevantere Frage nicht die eigene Betroffenheit, sondern die Anforderungen, die über die Lieferkette ankommen. Beides führt zur gleichen ersten Aufgabe: den eigenen Sicherheitsstand belegbar kennen.
Höll unterstützt Unternehmen in Karlsruhe, Baden-Baden, Rastatt und Offenburg bei der NIS2-Umsetzung – von der Betroffenheitsprüfung über die technischen Maßnahmen bis zum Meldeprozess.
Quellen
- BSI – NIS-2-Pflichten (Registrierungsfrist, Meldefristen 24/72/30): bsi.bund.de
- BSI – NIS-2-regulierte Unternehmen (Einordnung, Sektoren, Portal): bsi.bund.de
- BSI – CyberRisikoCheck nach DIN SPEC 27076: bsi.bund.de
- Bitkom – Studienbericht „Wirtschaftsschutz 2025" (Schadenszahlen): bitkom.org
Stand: Juli 2026. Dieser Artikel ist eine allgemeine Orientierung und keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens sind das BSI und rechtliche Beratung zuständig.
Häufige Fragen
Seit wann gilt NIS2 in Deutschland?
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist.
Ab wie vielen Mitarbeitenden gilt NIS2?
Besonders wichtige Einrichtungen: ab 250 Mitarbeitende oder über 50 Mio. € Umsatz. Wichtige Einrichtungen: ab 50 Mitarbeitende oder über 10 Mio. € Umsatz. Zusätzlich muss das Unternehmen in einem regulierten Sektor tätig sein.
Betrifft NIS2 auch kleine Unternehmen?
Direkt in der Regel nicht. Indirekt sehr wohl: Betroffene Unternehmen müssen ihre Lieferkette absichern und geben die Anforderungen per Fragebogen oder Vertragsklausel an Zulieferer und Dienstleister weiter.
Wie hoch sind die Bußgelder bei NIS2?
Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für Verstöße gegen die Registrierungspflicht werden bis zu 500.000 € genannt.
Wie lange habe ich Zeit für die Registrierung beim BSI?
Das BSI nennt eine relative Frist: Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut NIS-2-betroffen sind, registrieren. Den aktuellen Stand sollten Sie direkt über das BSI-Portal prüfen.
Haftet die Geschäftsführung persönlich?
NIS2 knüpft die Pflichten ausdrücklich an die Leitungsebene. Geschäftsführungen müssen die Maßnahmen billigen, überwachen und sich fortbilden; bei nachweislicher Vernachlässigung ist eine persönliche Verantwortung möglich.