NIS-2 für KMU: Betroffen oder nicht — und was jetzt zu tun ist

NIS-2 ist die EU-Richtlinie für Cybersicherheit — und seit Anfang Dezember 2025 über das deutsche Umsetzungsgesetz (verkündet im Bundesgesetzblatt am 5. Dezember 2025, umgesetzt im neuen BSI-Gesetz) geltendes Recht. Erfasst sind „besonders wichtige” und „wichtige Einrichtungen” in 18 Sektoren, in der Regel ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz — nach den Schätzungen aus dem Gesetzgebungsverfahren rund 29.500 Unternehmen in Deutschland, ein großer Teil davon klassischer Mittelstand. Und wer nicht direkt betroffen ist, bekommt die Pflichten häufig trotzdem: über die Lieferkette seiner Kunden. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen — wer betroffen ist und noch nichts getan hat, ist im Verzug, nicht in der Vorbereitungsphase.

Rechtsstand: 17. August 2026. Eine offizielle Betroffenheitsprüfung stellt das BSI bereit; dieser Beitrag ist eine Orientierung, keine Rechtsberatung.

Der Betroffenheits-Check in drei Fragen

Frage 1: Sind Sie in einem der 18 Sektoren tätig?

Die Liste ist deutlich länger als „Kraftwerke und Krankenhäuser”. Zu den Sektoren hoher Kritikalität zählen u. a. Energie, Transport, Banken- und Finanzwesen, Gesundheit, Trink- und Abwasser, digitale Infrastruktur und IT-Dienstleistungen (Managed Services!). Zu den sonstigen kritischen Sektoren gehören Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Maschinenbau, Fahrzeugbau, Elektronik, Medizinprodukte), digitale Dienste und Forschung. Gerade das verarbeitende Gewerbe überrascht viele: Ein mittelständischer Maschinenbauer ist ein Kandidat, kein Exot.

Frage 2: Erreichen Sie die Größenschwelle?

Als Faustregel gilt: ab 50 Mitarbeitenden oder ab 10 Millionen Euro Jahresumsatz (mit Bilanzsummen-Kriterium) sind Sie „wichtige Einrichtung”; große Unternehmen in hochkritischen Sektoren (ab 250 Mitarbeitenden bzw. 50 Millionen Euro) sind „besonders wichtig” — mit schärferer Aufsicht. Unterhalb der Schwelle greift das Gesetz nur in Sonderfällen (etwa für bestimmte Anbieter digitaler Infrastruktur).

Frage 3: Beliefern Sie ein Unternehmen, auf das Frage 1 und 2 zutreffen?

Dann sind Sie zwar nicht selbst reguliert — aber Ihr Kunde ist verpflichtet, die Sicherheit seiner Lieferkette zu managen. Seine Pflicht wird zu Ihrer Anforderung. Dazu gleich mehr.

Zwei Ja bei Frage 1 und 2 heißt: Registrierungspflicht beim BSI (das Portal ist seit Januar 2026 offen), Umsetzungspflicht für die Maßnahmen unten und Meldepflichten bei erheblichen Sicherheitsvorfällen — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.

Nicht direkt betroffen? Die Lieferketten-Falle

Für die Mehrheit der KMU kommt NIS-2 nicht als Behördenschreiben, sondern als Fragebogen vom Kunden: „Bitte bestätigen Sie Ihre Maßnahmen zu Risikomanagement, Backup, MFA, Schulungen …” Wer den Fragebogen nicht überzeugend beantworten kann, fliegt nicht sofort aus der Lieferantenliste — aber er rutscht bei der nächsten Vergabe nach hinten, gegen einen Wettbewerber, der liefern kann.

Das ist ärgerlich und eine Chance zugleich: Die Anforderungen aus diesen Fragebögen sind fast deckungsgleich mit den NIS-2-Pflichtmaßnahmen. Wer sie einmal sauber umsetzt und nachweisen kann, beantwortet damit jeden künftigen Kundenfragebogen — und hat nebenbei die Sicherheitsmaßnahmen, die sich unabhängig von jeder Regulierung rechnen.

Die zehn Pflichtmaßnahmen, übersetzt für KMU

Art. 21 der Richtlinie verlangt zehn Mindestmaßnahmen. Im Gesetzestext klingen sie nach Konzern — übersetzt in KMU-Praxis sind sie machbar:

1. Risikoanalyse und Sicherheitskonzepte: Wissen, welche Systeme und Daten kritisch sind, und die Risiken bewertet aufschreiben — nicht im Kopf des Admins.
2. Bewältigung von Vorfällen: Ein Notfallplan, der Namen und erste Schritte nennt: Wer zieht den Stecker, wer meldet, wer kommuniziert?
3. Betriebskontinuität: Backups nach der 3-2-1-Regel, Wiederherstellung geprobt statt gehofft, Krisenzuständigkeiten geklärt.
4. Lieferkettensicherheit: Wissen, von welchen Dienstleistern Sie abhängen (IT-Betreuung, Cloud, Software), und deren Sicherheit vertraglich fassen — dieselbe Logik, die Ihre Kunden auf Sie anwenden.
5. Sicherheit bei Einkauf, Entwicklung und Wartung: Updates zeitnah einspielen, Schwachstellen managen, bei neuer Software Sicherheit als Kaufkriterium.
6. Wirksamkeitsprüfung: Einmal jährlich ehrlich prüfen, ob die Maßnahmen greifen — per Audit oder strukturierter Selbstbewertung.
7. Cyberhygiene und Schulungen: Die Belegschaft erkennt Phishing und meldet Verdacht — nachweisbar geschult, nicht per Rundmail. Die Geschäftsleitung ist ausdrücklich mitgemeint: Sie muss die Maßnahmen billigen, überwachen und sich selbst schulen lassen — und haftet dafür persönlich.
8. Kryptografie: Verschlüsselung, wo Daten unterwegs oder besonders schutzwürdig sind — inklusive der Frage, wer die Schlüssel kontrolliert.
9. Personal, Zugriffe, Assets: Wer hat Zugriff worauf, und warum? Rechte nach dem Need-to-know-Prinzip, ein gepflegtes Verzeichnis der Systeme, sauberes On- und Offboarding.
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation: MFA überall, wo es geht — zuerst bei VPN, E-Mail und Admin-Konten. Warum MFA der wirksamste Einzelbaustein ist, habe ich hier beschrieben.

Nüchtern betrachtet ist das keine Schikane, sondern die Checkliste solider IT-Sicherheit — das meiste davon würde ein guter Berater auch ohne NIS-2 empfehlen. Neu ist die Verbindlichkeit und die Nachweispflicht.

Wo anfangen: erst Standort bestimmen, dann bauen

Die falsche Reihenfolge ist, bei Punkt 1 der Liste loszulegen und sich durchzuarbeiten. Die richtige:

1. Betroffenheit klären — mit den drei Fragen oben und im Zweifel der offiziellen BSI-Betroffenheitsprüfung. Wer betroffen und noch nicht registriert ist: Registrierung nachholen, die Frist ist abgelaufen.
2. Standort bestimmen: Wo stehen Sie bei den zehn Maßnahmen wirklich? Ein strukturiertes IT-Sicherheits-Assessment (angelehnt an DIN SPEC 27076 und die NIS-2-Anforderungen) liefert in wenigen Stunden einen gewichteten Reifegrad, die kritischen Lücken und eine priorisierte Maßnahmenliste — statt einer diffusen To-do-Wand.
3. Die billigste wirksame Maßnahme zuerst: In fast jedem Assessment landen Awareness-Schulungen und MFA ganz oben — hohe Wirkung, geringe Kosten, schnell nachweisbar. Beides erzeugt genau die Dokumente, nach denen Kundenfragebögen und Aufsicht fragen.
4. Den Rest planvoll abarbeiten — mit Prioritäten aus dem Assessment und jährlicher Wirksamkeitsprüfung (Maßnahme 6 erledigt sich damit gleich mit).

Häufige Fragen

Gilt NIS-2 in Deutschland jetzt wirklich — oder immer noch „bald”?

Es gilt. Nach langem Verzug (die EU-Frist lief bereits im Oktober 2024 ab) wurde das deutsche Umsetzungsgesetz am 5. Dezember 2025 verkündet und ist in Kraft; das BSI-Registrierungsportal öffnete im Januar 2026, die Registrierungsfrist für betroffene Einrichtungen endete am 6. März 2026. Die Zeit der unverbindlichen Ankündigungen ist vorbei — wer betroffen ist, ist jetzt in der Pflicht.

Was kostet ein Verstoß?

Der Bußgeldrahmen reicht für besonders wichtige Einrichtungen bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Millionen Euro bzw. 1,4 %. Mindestens so relevant für die Praxis: Die Geschäftsleitung ist persönlich für Billigung und Überwachung der Maßnahmen verantwortlich — und der realistische Alltagsschaden ist ohnehin der Vorfall selbst, den die Maßnahmen verhindern sollen: Ein mehrwöchiger Stillstand kostet die meisten Mittelständler mehr als jedes Bußgeld.

Reicht nicht unsere Cyber-Versicherung?

Nein — sie ist Ergänzung, nicht Ersatz. Erstens versichert sie Restrisiken, sie erfüllt keine gesetzlichen Pflichten: Registrierung, Maßnahmen und Meldungen schuldet das Unternehmen, nicht der Versicherer. Zweitens verlangen die Policen selbst zunehmend genau die Basismaßnahmen aus der Liste oben — MFA, Backups, Schulungen — und kürzen oder verweigern die Leistung, wenn sie fehlen. Wer die NIS-2-Hausaufgaben macht, senkt damit typischerweise auch seine Prämie und sichert seinen Versicherungsschutz ab.