NIS2 im Mittelstand: Wer betroffen ist und was zu tun ist
NIS2 im Mittelstand: Seit Dezember 2025 gilt das Gesetz ohne Übergangsfrist. Wer betroffen ist, welche Pflichten gelten und wie Sie NIS2 umsetzen.
NIS2 im Mittelstand betrifft deutlich mehr Unternehmen als die bisherigen Regeln für kritische Infrastrukturen: Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, und schon ab 50 Beschäftigten können Unternehmen aus vielen Branchen darunter fallen. Eine Übergangsfrist gibt es nicht. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren, ihre IT nach festen Mindeststandards absichern und Sicherheitsvorfälle melden.
Das Wichtigste zu NIS2 in Kürze
- In Kraft seit 6. Dezember 2025, ohne Übergangsfrist
- Betroffen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme, wenn das Unternehmen in einem der erfassten Sektoren tätig ist
- Pflicht zur Registrierung beim BSI
- Mindestmaßnahmen für die IT-Sicherheit, die dokumentiert werden müssen
- Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden
- Die Geschäftsleitung ist persönlich verantwortlich und muss sich schulen lassen.
Ist mein Unternehmen von NIS2 betroffen?
Ob ein Unternehmen unter NIS2 fällt, hängt von Branche und Größe ab. Als wichtige Einrichtung gilt in der Regel, wer mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme erreicht und in einem der erfassten Sektoren tätig ist. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme kann ein Unternehmen als besonders wichtige Einrichtung gelten. Erfasst sind unter anderem diese Bereiche:
- Energie, Verkehr, Gesundheit und Wasser
- Digitale Infrastruktur und IT-Dienstleistungen
- Verarbeitendes Gewerbe, etwa Maschinenbau, Elektrotechnik und Fahrzeugbau
- Lebensmittel, Chemie, Abfallwirtschaft sowie Post und Kurierdienste
- Digitale Dienste wie Onlinemarktplätze und Suchmaschinen
Mit der Betroffenheitsprüfung des BSI prüfen Sie in wenigen Minuten, ob Ihr Unternehmen erfasst ist. Das Ergebnis ist eine Orientierung, keine verbindliche Auskunft.
Was gilt, wenn wir nicht direkt betroffen sind?
Auch Unternehmen außerhalb von NIS2 spüren die Regeln, wenn sie Kunden haben, die betroffen sind. NIS2 verlangt ausdrücklich, die Sicherheit der Lieferkette zu berücksichtigen. Betroffene Unternehmen geben deshalb Anforderungen an ihre Zulieferer und Dienstleister weiter, etwa per Fragebogen oder im Vertrag. Wer dann Mehr-Faktor-Anmeldung, Backups und ein geregeltes Update-Management nachweisen kann, hat einen klaren Vorteil.
Welche Pflichten haben betroffene Unternehmen?
Betroffene Unternehmen müssen sich beim BSI registrieren, Sicherheitsmaßnahmen umsetzen und Vorfälle melden. Die gesetzliche Frist für die Registrierung ist für die meisten Unternehmen bereits abgelaufen. Wer betroffen und noch nicht registriert ist, sollte das umgehend nachholen. Zu den Mindestmaßnahmen gehören unter anderem:
- Risikoanalyse und Sicherheitskonzept
- Umgang mit Sicherheitsvorfällen
- Backup, Wiederherstellung und Notfallplanung
- Sicherheit der Lieferkette
- Umgang mit Schwachstellen und regelmäßige Updates
- Verschlüsselung
- Zugriffskontrolle und Mehr-Faktor-Authentisierung
- Schulungen für Beschäftigte
Einen erheblichen Sicherheitsvorfall melden Sie dem BSI innerhalb von 24 Stunden mit einer ersten Meldung, nach 72 Stunden folgt eine genauere Meldung und nach einem Monat ein Abschlussbericht. Eine Übersicht aller Pflichten gibt das BSI auf der Seite NIS-2-Pflichten.
Welche Rolle hat die Geschäftsleitung?
Die Geschäftsleitung muss die Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, kann sie gegenüber dem eigenen Unternehmen haften. Außerdem drohen dem Unternehmen bei Verstößen Bußgelder in Millionenhöhe. IT-Sicherheit ist damit keine Aufgabe, die allein bei der IT-Abteilung liegt.
Wie setzen Sie NIS2 praktisch um?
- Prüfen Sie mit der Betroffenheitsprüfung des BSI, ob Ihr Unternehmen erfasst ist, und registrieren Sie sich gegebenenfalls.
- Erfassen Sie Ihre Systeme, Daten und Dienstleister und bewerten Sie die Risiken.
- Führen Sie Mehr-Faktor-Anmeldung für alle Konten ein, vor allem für E-Mail und Fernzugänge.
- Automatisieren Sie Updates für Betriebssysteme und Anwendungen.
- Richten Sie Backups ein, die vom Netz getrennt sind, und testen Sie die Wiederherstellung.
- Legen Sie fest, wer einen Sicherheitsvorfall erkennt, bewertet und innerhalb von 24 Stunden meldet.
- Dokumentieren Sie alle Maßnahmen und schulen Sie Geschäftsleitung und Beschäftigte.
Welche Lösungen helfen bei der Umsetzung?
Viele Mindestmaßnahmen lassen sich mit vorhandenen Werkzeugen abdecken. Der Microsoft 365 Sicherheitscheck zeigt, wo Ihre Microsoft-Umgebung nachgebessert werden muss. Hornetsecurity schützt E-Mails vor Phishing und Schadsoftware, Acronis Cyber Protect Cloud sichert Ihre Daten, und mit den baramundi Lizenzen automatisieren Sie Updates und den Umgang mit Schwachstellen. Warum veraltete Systeme ein Risiko sind, lesen Sie im Beitrag Windows 10 nach dem Support-Ende.
Dieser Beitrag ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens wenden Sie sich an das BSI oder an eine Fachanwältin oder einen Fachanwalt.
Brauchen Sie Unterstützung bei NIS2?
Wir prüfen Ihre IT gegen die Mindestmaßnahmen, setzen die technischen Schritte um und helfen Ihnen bei der Dokumentation. Buchen Sie einen Termin oder schreiben Sie uns über das Kontaktformular.
