NIS2 im Mittelstand: Pflichten umsetzen

Mit dem NIS2-Umsetzungsgesetz hat Deutschland den Kreis der regulierten Unternehmen deutlich erweitert. NIS2 betrifft nicht mehr nur Betreiber kritischer Infrastrukturen, sondern auch viele mittelständische Unternehmen ab 50 Mitarbeitenden. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft, und die Registrierungsfrist ist abgelaufen. Für betroffene Unternehmen geht es jetzt um die Umsetzung der Pflichten und um die persönliche Verantwortung der Geschäftsleitung. Dieser Beitrag zeigt, wie Sie Ihre Betroffenheit prüfen und welche Maßnahmen Sie umsetzen sollten.

Was ist NIS2?

NIS2 bezeichnet die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). In Deutschland wurde sie mit dem NIS2-Umsetzungsgesetz vor allem durch ein neues BSI-Gesetz (BSIG) umgesetzt.[1] Das Gesetz verpflichtet Unternehmen bestimmter Sektoren zu Mindeststandards in der IT-Sicherheit.

Zentrale Begriffe:

• Besonders wichtige Einrichtung: große Unternehmen in Sektoren nach Anlage 1 BSIG sowie Betreiber kritischer Anlagen
• Wichtige Einrichtung: mittlere Unternehmen in Sektoren nach Anlage 1 und 2 BSIG
• Erheblicher Sicherheitsvorfall: Vorfall mit schwerer Betriebsstörung oder erheblichem Schaden
• Risikomanagementmaßnahmen: technische und organisatorische Maßnahmen nach § 30 BSIG

Die Schwellenwerte

Ob Sie betroffen sind, hängt von Sektor und Größe ab. Die Größenschwellen aus § 28 BSIG fasst die Tabelle zusammen.[2]

Für die Berechnung gilt die KMU-Empfehlung der EU-Kommission. Daten verbundener Unternehmen können unter Umständen außer Betracht bleiben.[2]

Wer ist von NIS2 betroffen?

Viele Unternehmen unterschätzen, wie breit die Sektoren gefasst sind. Neben Energie und Gesundheit gehören auch Produktion, Logistik und digitale Dienste dazu.

Sektoren mit hoher Kritikalität (Anlage 1)

Anlage 1 BSIG umfasst unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und das Management von IKT-Diensten.[2] Auch Managed Service Provider fallen in diese Gruppe.

Sonstige kritische Sektoren (Anlage 2)

Anlage 2 BSIG nennt unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste.[2] Zum verarbeitenden Gewerbe zählen etwa Maschinenbau, Elektrotechnik und Fahrzeugbau.

Selbst prüfen und dokumentieren

Unternehmen müssen selbst prüfen, ob sie betroffen sind.[1] Das BSI stellt dafür eine Betroffenheitsprüfung bereit. Dokumentieren Sie das Ergebnis, auch wenn es negativ ausfällt. Prüfen Sie die Einordnung erneut, wenn sich Mitarbeiterzahl, Umsatz oder Geschäftsfelder ändern. Bei komplexen Unternehmensverbünden ist eine rechtliche Prüfung sinnvoll, weil die Zuordnung zu Sektoren nicht immer eindeutig ist.

Kostenloser Download

Kostenlose NIS2-Checkliste

Über 30 Prüfpunkte nach BSIG auf 5 Seiten: Betroffenheit, Geschäftsleitung, Maßnahmen nach § 30 und Meldepflichten. So sehen Sie schnell, wo Ihr Unternehmen steht.

Checkliste kostenlos herunterladen

Welche Pflichten gelten für betroffene Unternehmen?

Das BSI nennt drei zentrale Pflichten: Registrierung, Meldung und Risikomanagement.[1] Dazu kommt die Verantwortung der Geschäftsleitung.

Registrierung beim BSI

Die Registrierung läuft zweistufig über „Mein Unternehmenskonto“ und das BSI-Portal.[4] Sie ist spätestens drei Monate nach Eintritt der Betroffenheit fällig. Für Unternehmen, die schon mit Inkrafttreten betroffen waren, endete die Frist damit im März 2026. Änderungen melden Sie spätestens nach zwei Wochen.

Meldepflichten

§ 32 BSIG gibt für erhebliche Sicherheitsvorfälle feste Fristen vor.[3]

Meldestufen:

• Erstmeldung: unverzüglich, spätestens 24 Stunden nach Kenntnis
• Folgemeldung: spätestens 72 Stunden nach Kenntnis, mit erster Bewertung
• Abschlussmeldung: spätestens einen Monat nach der 72-Stunden-Meldung

Risikomanagement nach § 30 BSIG

Die Maßnahmen müssen angemessen und dokumentiert sein.[5] Für den Mittelstand stehen meist die folgenden Bereiche im Vordergrund.

Typische Handlungsfelder:

• Zugänge: Multi-Faktor-Authentifizierung und Berechtigungskonzept
• Datensicherung: Backups mit Offline-Kopie und Notfallplan
• Schwachstellen: Patch-Management und Monitoring
• Lieferkette: Sicherheitsanforderungen an IT-Dienstleister
• Schulung: regelmäßige Schulungen, auch für die Geschäftsleitung

Verantwortung der Geschäftsleitung

Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.[6] Bei Pflichtverletzungen kann sie haften. Lassen Sie die rechtliche Einordnung für Ihr Unternehmen von einer Rechtsberatung prüfen.

Der Blick der Kunden

Auch wenn Sie selbst nicht betroffen sind, können Ihre Kunden es sein. Sie müssen Risiken in ihrer Lieferkette berücksichtigen und fragen deshalb zunehmend nach Sicherheitsmaßnahmen ihrer Zulieferer.[5] Wer MFA, Backup und Patch-Management belegen kann, beantwortet solche Fragebögen schneller.

Dokumentation von Anfang an

Halten Sie jede Maßnahme mit Datum, Verantwortlichen und Ergebnis fest. Das BSIG verlangt, die Einhaltung der Risikomanagementmaßnahmen zu dokumentieren.[5] Eine fehlende Dokumentation ist selbst ein Verstoß, auch wenn die Technik vorhanden ist.[7]

Checkliste: NIS2 im Mittelstand umsetzen

Beginnen Sie mit den Maßnahmen, die Sie unabhängig von der rechtlichen Einordnung brauchen. Viele davon schützen auch nicht betroffene Unternehmen.

• Betroffenheit prüfen: Sektor, Größe, Verbund, Ergebnis dokumentieren
• Registrieren: Mein Unternehmenskonto und BSI-Portal
• Verantwortung festlegen: Ansprechpartner und Freigabe durch die Geschäftsleitung
• Meldeprozess einrichten: wer meldet was innerhalb von 24 Stunden
• MFA einführen: für alle Konten mit Zugriff aus dem Internet
• Backup und Notfallplan: Offline-Kopie, Wiederherstellung testen
• Patch-Management: Updates für Server, Clients und Netzwerk
• Dienstleister prüfen: Verträge und Sicherheitsanforderungen
• Schulen: Mitarbeitende und Geschäftsleitung

Was passiert bei Verstößen?

Das BSI kann Anordnungen treffen und Bußgelder verhängen. Die Höhe richtet sich nach Kategorie und Verstoß.

Mögliche Folgen:

• Besonders wichtige Einrichtungen: bis 10 Mio. € bei Verstößen gegen Risikomanagement- oder Meldepflichten, bei über 500 Mio. € Umsatz bis 2 % des weltweiten Umsatzes[7]
• Wichtige Einrichtungen: bis 7 Mio. €, bei über 500 Mio. € Umsatz bis 1,4 % des weltweiten Umsatzes[7]
• Registrierung: fehlende oder verspätete Angaben können bis 500.000 € kosten[7]
• Haftung: Geschäftsleitungen haften für die Umsetzung der Pflichten[6]

Wie Sie Backup und Notfallplan aufbauen, zeigt unser Beitrag zu Ransomware-Angriff, Backup und Notfallplan. Die Absicherung der Konten beschreibt der Beitrag Microsoft 365 absichern.

NIS2 mit Blured

NIS2 ist zu großen Teilen ein IT-Sicherheitsprojekt mit Dokumentationspflicht. Als Managed Service Provider (MSP) aus Düsseldorf setzen wir die technischen Maßnahmen für Unternehmen mit 25 bis 250 Mitarbeitenden um. Für IT-Infrastrukturberatung und -implementierung ist BDT nach ISO/IEC 27001 zertifiziert.

Ihre Vorteile:

• klare Prioritäten: technische Maßnahmen nach Risiko geordnet
• Umsetzung: MFA, Backup, Patch-Management und Monitoring
• Nachweise: dokumentierter Stand für Geschäftsleitung und Aufsicht
• Betrieb: laufende Überwachung statt einmaliger Projekte
• ISO/IEC 27001: zertifiziert für IT-Infrastrukturberatung und -implementierung

Jetzt Erstgespräch vereinbaren · Telefon: +49 211 822 00 80

FAQ

Über den AutorMehmet YükselGründer & Geschäftsführer

Mehmet Yüksel ist Gründer und Geschäftsführer der BDT Group GmbH (Blured Digital Technologies), eines 2018 gegründeten Managed Service Providers in Düsseldorf. Seine Schwerpunkte sind IT-Infrastruktur, Cyber Security und Managed Services.