NIS2 für kleine und mittlere Unternehmen: Was jetzt zu tun ist
Rund um NIS2 herrscht viel Unsicherheit. Die einen halten die EU-Richtlinie für ein Thema großer Konzerne, die anderen fürchten einen unbezahlbaren Bürokratieberg. Beides greift zu kurz. NIS2 verlangt im Kern das, was ohnehin gute Praxis sein sollte: dass Unternehmen ihre IT-Risiken kennen und beherrschen.
Was NIS2 im Alltag bedeutet:
- ein strukturierter Umgang mit IT-Risiken statt Bauchgefühl
- Meldepflichten bei erheblichen Sicherheitsvorfällen
- Verantwortung, die ausdrücklich bei der Geschäftsführung liegt
- Anforderungen, die sich über die Lieferkette weitergeben
- ein Mindestmaß an technischen und organisatorischen Maßnahmen
Dieser Beitrag ordnet ein, wen das betrifft und was sich jetzt lohnt – ohne juristische Beratung zu ersetzen.
Worum es bei NIS2 geht
NIS2 ist eine EU-Richtlinie zur Cybersicherheit. Sie weitet den Kreis der betroffenen Branchen deutlich aus und hebt die Anforderungen an. Ziel ist ein einheitlicheres, höheres Sicherheitsniveau in Sektoren, die für Wirtschaft und Gesellschaft wichtig sind – von Energie und Gesundheit über Transport bis zu digitalen Diensten und verarbeitendem Gewerbe.
Seit dem 6. Dezember 2025 gelten in Deutschland die Registrierungs- und Meldepflichten des NIS2-Umsetzungsgesetzes. Für betroffene Einrichtungen geht es nicht mehr nur um Vorbereitung auf künftiges Recht. Die Registrierung erfolgt im BSI-Portal; das BSI erläutert den geltenden Stand.
Bin ich überhaupt betroffen?
Viele kleine Unternehmen gehen davon aus, dass sie nicht direkt unter NIS2 fallen – und liegen damit oft richtig. Reine Größen- und Branchenschwellen schließen einen Teil der Kleinstunternehmen aus.
Die unmittelbare gesetzliche Betroffenheit muss anhand von Branche, Größe und Sonderfällen geprüft werden. Kleine Unternehmen sind nicht automatisch ausgenommen. Nutzen Sie die Betroffenheitsprüfung des BSI und bei Zweifeln eine fachkundige rechtliche Prüfung.
Davon getrennt sind vertragliche Lieferkettenanforderungen: Kunden können Sicherheitsnachweise und Mindeststandards verlangen. Ein solcher Vertrag macht einen Zulieferer nicht automatisch gesetzlich registrierungs- oder meldepflichtig.
Prüfen Sie beide Fragen getrennt: „Fällt mein Unternehmen unmittelbar unter das Gesetz?“ und „Welche Sicherheitsanforderungen vereinbare ich mit meinen Kunden?“.
Die Kernpflichten in verständlicher Form
Die Anforderungen lassen sich auf einige Bereiche verdichten:
- Risikomanagement: IT-Risiken systematisch erfassen, bewerten und mit Maßnahmen hinterlegen.
- Technische Grundabsicherung: Updates, Zugriffskontrolle, Mehr-Faktor-Authentifizierung, Backups, Verschlüsselung.
- Vorfallbehandlung: erkennen, reagieren, dokumentieren – und erhebliche Vorfälle fristgerecht melden.
- Business Continuity: Notfall- und Wiederanlaufpläne, damit der Betrieb einen Vorfall übersteht.
- Lieferkettensicherheit: die Sicherheit eingekaufter Dienste und Software bewerten.
- Governance: Die Leitung trägt Verantwortung und muss das Thema aktiv steuern.
Auffällig ist: Nichts davon ist exotisch. Es ist die Summe dessen, was solide IT-Sicherheit ausmacht – nur nun verbindlicher und dokumentiert.
Was sich jetzt lohnt
Betroffene Einrichtungen sollten vorrangig ihre Registrierung und einen fristgerechten Meldeprozess prüfen. Maßgeblich sind die gesetzlichen Fristen, nicht ein interner Projektplan. Auch für andere Unternehmen sind folgende Schritte sinnvoll:
- Bestandsaufnahme. Welche Systeme, Daten und Dienste sind für den Betrieb kritisch?
- Basis-Hygiene sichern. Patch-Management, Mehr-Faktor-Authentifizierung, getestete Backups, Zugriffskonzepte.
- Notfallplan schreiben. Wer entscheidet im Vorfall was, wer wird informiert, wie läuft der Wiederanlauf?
- Lieferanten einordnen. Von wem hängt Ihr Betrieb ab, und wie sicher sind diese Partner?
- Dokumentieren. Ohne Nachweise bleibt jede Maßnahme im Zweifel unsichtbar.
Diese Punkte zahlen nicht nur auf NIS2 ein. Sie senken das Risiko realer Vorfälle – der eigentliche Zweck der ganzen Übung.
Kein Grund für Alarmismus
Verunsicherung ist ein schlechter Ratgeber. Grundabsicherung ist eine wichtige Grundlage, ersetzt aber keine Prüfung und Erfüllung der gesetzlichen Pflichten.
Sinnvoll ist ein ruhiges, schrittweises Vorgehen: erst Klarheit über den Ist-Zustand, dann die wichtigsten Lücken schließen, dann dokumentieren. Aktionismus aus Angst führt oft zu teuren Fehlkäufen ohne echten Sicherheitsgewinn.
Fazit
NIS2 macht IT-Sicherheit zur Chefsache und reicht Anforderungen über die Lieferkette weiter. Auch Unternehmen, die nicht direkt reguliert sind, spüren das als Zulieferer und Dienstleister.
Sinnvolle erste Schritte sind:
- kritische Systeme und Daten erfassen
- IT-Grundhygiene verlässlich umsetzen
- einen Notfall- und Wiederanlaufplan erstellen
- die eigene Lieferkette bewerten und Maßnahmen dokumentieren
Wenn Sie einschätzen möchten, wo Ihr Unternehmen mit Blick auf NIS2 steht und welche Schritte wirklich zählen, begleite ich Sie gerne dabei.