Seit Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz – ohne Übergangsfrist. Tausende mittelständische Betriebe haben damit erstmals gesetzliche Pflichten zur IT-Sicherheit. Wir zeigen, wie Sie prüfen, ob Sie betroffen sind, was das Gesetz verlangt und wo Sie sinnvoll anfangen.
Lange galt Cybersicherheitsrecht als Thema für Stromversorger, Krankenhäuser und Konzerne. Mit NIS2 hat sich das grundlegend geändert: Die EU-Richtlinie wurde über das NIS2-Umsetzungsgesetz ins BSI-Gesetz übernommen und erweitert den Kreis der verpflichteten Unternehmen um ein Vielfaches. Betroffen sind jetzt auch der Maschinenbauer mit 60 Mitarbeitenden, der Lebensmittelhersteller oder der Logistiker aus dem Ruhrgebiet.
Das Problem: Viele Geschäftsführungen wissen bis heute nicht sicher, ob ihr Unternehmen dazugehört. Weniger als die Hälfte der betroffenen Einrichtungen hatte sich zum gesetzlichen Stichtag beim BSI registriert.
Ob NIS2 für Sie gilt, entscheiden zwei Fragen: In welcher Branche sind Sie tätig, und wie groß ist Ihr Unternehmen? Das Gesetz nennt 18 Sektoren, darunter:
Liegt Ihre Haupttätigkeit in einem dieser Bereiche, entscheidet die Größe über die Einstufung:
Für einige Bereiche, etwa bestimmte Anbieter digitaler Infrastruktur, gilt die Pflicht unabhängig von der Unternehmensgröße. Das BSI stellt eine kostenlose Online-Betroffenheitsprüfung bereit, mit der Sie eine erste Einschätzung erhalten.
NIS2 verlangt von betroffenen Unternehmen, die Sicherheit ihrer Lieferkette zu steuern. In der Praxis fragen große Kunden deshalb bei Zulieferern und Dienstleistern nach – mit Fragebögen, Vertragsklauseln und Nachweispflichten. Wer als kleiner Betrieb keine dokumentierten Sicherheitsmaßnahmen vorweisen kann, riskiert Aufträge.
§ 30 BSIG legt fest, welche Risikomanagementmaßnahmen betroffene Unternehmen umsetzen müssen. Neu ist daran weniger die Technik als die Pflicht, alles nachvollziehbar zu dokumentieren:
Die gute Nachricht: Wer seine IT bereits professionell betreuen lässt, erfüllt viele dieser Punkte in Teilen schon. Meist fehlt vor allem der schriftliche Nachweis.
Erhebliche Sicherheitsvorfälle müssen gestuft an das BSI gemeldet werden. Die Uhr läuft ab dem Moment, in dem Sie vom Vorfall Kenntnis erlangen – auch am Wochenende.
Erste Meldung: Was ist passiert, gibt es Hinweise auf einen Angriff?
Erste Bewertung von Schwere und Auswirkungen.
Ausführliche Beschreibung, Ursache und ergriffene Gegenmaßnahmen.
24 Stunden sind knapp, wenn erst geklärt werden muss, wer überhaupt zuständig ist. Ein Meldeprozess mit festen Verantwortlichen und Vertretungen gehört deshalb zu den ersten Dingen, die Sie festlegen sollten.
NIS2 lässt sich nicht an die IT delegieren. Nach § 38 BSIG muss die Geschäftsleitung die Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen kann sie persönlich haften. Hinzu kommen Bußgelder:
bis 7 Mio. € oder 1,4 %
des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
bis 10 Mio. € oder 2 %
des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
„Die Registrierungsfrist ist vorbei, jetzt ist es ohnehin zu spät.“ Das Gegenteil stimmt. Wer betroffen ist und sich noch nicht registriert hat, verstößt bereits gegen geltendes Recht – jeder weitere Monat verschlechtert die Lage. Eine nachträgliche Registrierung ist möglich und sollte umgehend erfolgen.
Sektor und Größe prüfen, das Ergebnis schriftlich festhalten. Auch ein „nicht betroffen“ sollte begründet dokumentiert sein.
Betroffene Unternehmen melden sich über das Portal des BSI an. Wenn das noch fehlt, hat es oberste Priorität.
Welche Systeme, Konten, Cloud-Dienste und Dienstleister gibt es? Ohne diese Übersicht ist keine Risikoanalyse möglich.
Die zehn Mindestmaßnahmen nach Risiko priorisieren: Backup, MFA und Updates zuerst, Konzepte und Richtlinien parallel.
Maßnahmen, Schulungen und Meldeprozess festhalten und regelmäßig überprüfen. NIS2 ist kein Projekt, sondern ein Dauerzustand.
Als IT-Systemhaus aus Marl begleiten wir mittelständische Unternehmen im Ruhrgebiet durch die technische Seite von NIS2. Wir nehmen Ihre IT strukturiert auf, bewerten sie entlang der zehn Mindestmaßnahmen und liefern Ihnen eine verständliche Prioritätenliste. Anschließend setzen wir die Punkte um – von Backup und Firewall über Mehr-Faktor-Authentifizierung bis zur laufenden Überwachung im Rahmen unserer Managed Services. So entsteht nebenbei genau die Dokumentation, die Sie gegenüber BSI, Kunden und Versicherern brauchen.
Dieser Beitrag gibt einen allgemeinen Überblick nach Stand September 2026 und ersetzt keine Rechtsberatung. Die verbindliche Einstufung Ihres Unternehmens sollten Sie im Zweifel juristisch prüfen lassen.
Wir prüfen Ihre IT entlang der gesetzlichen Mindestmaßnahmen und zeigen Ihnen, was zuerst zu tun ist. Kostenfreies Erstgespräch, unverbindlich.
Sie sehen gerade einen Platzhalterinhalt von Elfsight. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen