NIS2 im Mittelstand: Ist Ihr Unternehmen betroffen und was ist jetzt zu tun?

Seit dem 6. Dezember 2025 gilt in Deutschland das neue BSI-Gesetz zur NIS2-Richtlinie. Ihr Unternehmen ist betroffen, wenn es in einem der gelisteten Sektoren arbeitet und mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme erreicht. Dann muss es sich beim BSI registrieren, erhebliche Vorfälle binnen 24 Stunden melden und seine Sicherheitsmaßnahmen dokumentieren.

Was regelt NIS2 in Deutschland seit Dezember 2025?

Der Bundestag hat das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 13. November 2025 beschlossen. Sein Kern ist ein neu gefasstes BSI-Gesetz (BSIG), das am 6. Dezember 2025 ohne allgemeine Übergangsfrist in Kraft trat. Alle Paragrafen in diesem Artikel beziehen sich auf dieses neue BSIG.

Für die Registrierung hatten betroffene Einrichtungen drei Monate Zeit, also bis zum 6. März 2026. Weil viele das nicht geschafft haben, hat das BSI in einem Schreiben an Wirtschaftsverbände den 31. Juli 2026 genannt, bis zu dem die Registrierung abgeschlossen sein sollte. Am Gesetz hat das nichts geändert. Laut einem Bericht der ZfK vom 4. August 2026 hatten sich bis Ende Juli über 19.000 Einrichtungen registriert. Das Statistische Bundesamt war von rund 29.500 betroffenen Unternehmen ausgegangen, das BSI lässt diese Schätzung inzwischen überprüfen und behält sich bußgeldbewehrte Schritte gegen Nachzügler vor.

Ein Änderungsvorschlag der EU-Kommission vom Januar 2026 würde vor allem größere Mittelständler mit bis zu 749 Beschäftigten entlasten. An der Untergrenze von 50 Beschäftigten ändert er nichts, beschlossen ist er nach meinem Stand noch nicht.

Ist mein Unternehmen von NIS2 betroffen?

Zwei Fragen entscheiden. Arbeitet Ihr Unternehmen in einem Sektor, den das Gesetz in Anlage 1 oder 2 aufführt? Und liegt es über den Größenschwellen? Nur wenn beides zutrifft, sind Sie dabei. Die wenigen Ausnahmen stehen in der Tabelle unten.

Welche Sektoren fallen unter NIS2?

Anlage 1 des BSIG umfasst Energie, Transport und Verkehr, Finanzwesen, Gesundheitswesen, Trinkwasser und Abwasser, digitale Infrastruktur sowie Weltraum. Zur digitalen Infrastruktur zählen auch Rechenzentren, Cloud-Anbieter und IT-Dienstleister, die als Managed Service Provider die Systeme ihrer Kunden betreiben.

Anlage 2 reicht weiter in den Mittelstand hinein. Dort stehen:

• Post- und Kurierdienste sowie Abfallbewirtschaftung
• Hersteller und Importeure chemischer Stoffe nach REACH
• Lebensmittelunternehmen im Großhandel und in der industriellen Produktion und Verarbeitung
• das verarbeitende Gewerbe in sechs Branchen: Medizinprodukte, Datenverarbeitungsgeräte und Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau
• Online-Marktplätze, Suchmaschinen und soziale Netzwerke
• Forschungseinrichtungen

Tätigkeiten, die gemessen am Gesamtgeschäft unbedeutend sind, dürfen Sie laut § 28 BSIG bei der Einordnung außen vor lassen. Das BSI nennt in seinen FAQ als Beispiel die Photovoltaikanlage auf dem Firmendach, die einen Maschinenbauer nicht zum Energieversorger macht.

Welche Schwellenwerte gelten?

Wer sich trotz Pflicht nicht registriert oder falsche Angaben macht, riskiert unabhängig davon ein Bußgeld bis 500.000 Euro.

Bei der Zählung folgt das Gesetz der KMU-Empfehlung der EU-Kommission. Gezählt werden Jahresarbeitseinheiten, Teilzeit- und Saisonkräfte also anteilig. Auszubildende und Beschäftigte in Elternzeit zählen nicht mit. Maßgeblich ist das letzte abgeschlossene Geschäftsjahr, und der Status ändert sich erst, wenn Sie zwei Jahre in Folge über oder unter der Schwelle liegen. In einer Unternehmensgruppe zählen die Zahlen der verbundenen Unternehmen grundsätzlich mit, es sei denn, Sie betreiben Ihre IT unabhängig von der Gruppe. Läuft Ihre IT über die Muttergesellschaft, ist das laut BSI meist nicht der Fall.

Gilt NIS2 auch für Vereine und Verbände?

Die Rechtsform spielt für die Einordnung keine Rolle. Ein eingetragener Verein, der eine Klinik oder ein Forschungsinstitut betreibt und über den Schwellenwerten liegt, ist genauso erfasst wie eine GmbH. Ein Sportverein, ein Förderverein oder ein Wirtschaftsverband arbeitet dagegen in aller Regel in keinem der Sektoren und ist nicht betroffen. Für Vereine, die doch erfasst sind, wichtig: Das Gesetz versteht unter Geschäftsleitung jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag die Geschäfte führt. Das kann auch ein ehrenamtlicher Vorstand sein.

Was bringt die BSI-Betroffenheitsprüfung?

Unter betroffenheitspruefung-nis-2.bsi.de bietet das BSI einen anonymen Fragenkatalog mit automatischer Ersteinschätzung an. Das Ergebnis ist ausdrücklich nicht rechtsverbindlich, und auch auf Nachfrage bestätigt das BSI Ihre Betroffenheit nicht. Die Prüfung bleibt Ihre Aufgabe. Ich empfehle, das Ergebnis mit Datum, den verwendeten Zahlen und einer kurzen Begründung abzulegen, egal ob es „betroffen“ oder „nicht betroffen“ lautet. Bei Grenzfällen, etwa unklarer Zuordnung zu einem Sektor, fragen Sie einen Fachanwalt für IT-Recht.

Was muss ein betroffenes Unternehmen konkret tun?

Registrierung beim BSI

Die Registrierung nach § 33 BSIG läuft in zwei Schritten. Zuerst beantragen Sie über „Mein Unternehmenskonto“ (MUK) ein ELSTER-Organisationszertifikat. Den Aktivierungscode schickt die Steuerverwaltung per Brief an die ELSTER-Kontaktadresse des Unternehmens, nicht an die Person, die den Antrag stellt. Sagen Sie also in der Poststelle Bescheid. Mit dem Zertifikat melden Sie sich dann im BSI-Portal unter portal.bsi.bund.de an und legen dort die NIS-2-Registrierung an. Jede juristische Person registriert sich separat.

Abgefragt werden Name, Rechtsform und Handelsregisternummer, Anschrift und Kontaktdaten, der Sektor, die EU-Staaten, in denen Sie Dienste erbringen, und Ihre öffentlichen IP-Adressbereiche. Bei den IP-Adressen zählen nur Bereiche, die Ihnen fest und exklusiv zugewiesen sind, also keine dynamischen Anschlüsse und kein geteiltes Webhosting. Ein whois 203.0.113.10 (mit Ihrer Adresse) zeigt, auf wen ein Netz eingetragen ist. Ob ein fester Bereich wirklich nur Ihnen gehört, bestätigt im Zweifel Ihr Provider. Ändern sich Angaben später, müssen Sie das innerhalb von zwei Wochen nachtragen.

Meldepflichten bei Sicherheitsvorfällen

Ein erheblicher Sicherheitsvorfall ist nach § 2 BSIG einer, der schwere Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder anderen erheblichen Schaden zufügt. Ein verschlüsselter Dateiserver gehört dazu, eine abgefangene Phishing-Mail eher nicht. Für die Meldung gibt § 32 BSIG drei Stufen vor, gemeldet wird über das BSI-Portal:

1. Erstmeldung innerhalb von 24 Stunden, nachdem Sie vom Vorfall erfahren haben, mit dem Hinweis, ob ein Angriff vermutet wird oder Auswirkungen auf andere EU-Staaten möglich sind.
2. Meldung innerhalb von 72 Stunden mit einer ersten Bewertung von Schweregrad und Auswirkungen, wenn vorhanden mit Kompromittierungsindikatoren.
3. Abschlussmeldung spätestens einen Monat danach mit Ursache, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Folgen. Läuft der Vorfall dann noch, schicken Sie stattdessen eine Fortschrittsmeldung.

24 Stunden sind schnell vorbei, wenn ein Vorfall am Freitagabend auffällt. Das BSI legt Wert darauf, dass die Erstmeldung schnell kommt, auch wenn sie unvollständig ist. Legen Sie deshalb vorher fest, wer meldet, wer vertritt und wo die Zugangsdaten für das Portal liegen. Ein einfacher Notizzettel für den Ernstfall reicht als Anfang:

Vorfall bemerkt:     Datum, Uhrzeit, durch wen
Betroffene Systeme:  z. B. Dateiserver, E-Mail
Verdacht auf Angriff: ja / nein / unklar
Erstmeldung BSI:     bis (bemerkt + 24 h), erledigt durch
Meldung BSI:         bis (bemerkt + 72 h), erledigt durch
Datenschutz prüfen:  Meldung an Landesdatenschutzbehörde nötig?

Sind personenbezogene Daten betroffen, gilt zusätzlich die 72-Stunden-Frist der DSGVO gegenüber der Datenschutzaufsicht. Die NIS2-Meldung ersetzt diese Meldung nicht.

Risikomanagement nach § 30 BSIG

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen, die dem Stand der Technik entsprechen und dokumentiert sind. Was verhältnismäßig ist, hängt von Größe, Risiko und Kosten ab. Zehn Bereiche müssen aber mindestens abgedeckt sein:

• Risikoanalyse und Sicherheitskonzepte
• Bewältigung von Sicherheitsvorfällen
• Backups, Notfallwiederherstellung und Krisenmanagement
• Sicherheit der Lieferkette, also auch Ihrer Dienstleister
• Sicherheit bei Kauf, Entwicklung und Wartung von IT, einschließlich Umgang mit Schwachstellen
• Prüfung, ob die Maßnahmen wirken
• Schulungen und Sensibilisierung
• Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Verwaltung der Systeme
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation per Sprache, Video und Text, gegebenenfalls auch für Notfälle

Eine ISO-27001-Zertifizierung oder IT-Grundschutz hilft beim Nachweis, ersetzt aber nicht den Abgleich mit dieser Liste. Vorgeschrieben ist keines von beiden. Aus meiner Sicht sind bei den meisten Mittelständlern drei Punkte zuerst dran: Multi-Faktor-Anmeldung für alle Fernzugänge, E-Mail und Admin-Konten, Backups, deren Rücksicherung jemand ausprobiert hat, und ein Update-Prozess, der nicht vom Gedächtnis einer einzelnen Person abhängt.

Wie haftet die Geschäftsführung unter NIS2?

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Die Arbeit kann die IT-Abteilung oder ein Dienstleister erledigen, die Überwachung bleibt auch bei ausgelagerter IT bei der Geschäftsführung. Wer diese Pflichten schuldhaft verletzt, haftet dem eigenen Unternehmen für den Schaden nach dem Gesellschaftsrecht der jeweiligen Rechtsform. Wie weit das im Einzelfall reicht, klären Sie mit Ihrem Anwalt. Praktisch heißt das: Beschlüsse, Berichte der IT und Budgetentscheidungen gehören schriftlich festgehalten.

Dazu kommt eine Schulungspflicht. Geschäftsleiter müssen regelmäßig an Schulungen teilnehmen, damit sie Risiken in der Informationssicherheit erkennen und bewerten können. Wie oft und wie lang, steht nicht im Gesetz. Was das BSI inhaltlich erwartet, beschreibt seine Handreichung zu Geschäftsleitungsschulungen vom April 2026. Sie ist unverbindlich, hilft aber bei der Auswahl eines Kurses. Heben Sie die Teilnahmebestätigung auf.

Die Bußgelder verhängt das BSI, die Obergrenzen stehen in der Tabelle oben. Die Prozentwerte greifen erst ab 500 Millionen Euro Weltumsatz und spielen für KMU keine Rolle.

Was bedeutet NIS2 für Zulieferer und Dienstleister?

Viele KMU fallen selbst nicht unter das Gesetz und bekommen trotzdem Post. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette in ihr Risikomanagement einbeziehen und, so formuliert es das BSI auf seiner Infoseite zur Lieferkette, ihre Zulieferer zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten. Das BSIG richtet sich nur an die betroffenen Einrichtungen. Ihre Pflichten als Zulieferer stehen dann im Vertrag mit dem Kunden.

Laut BSI kann das bedeuten: Fragebögen und Audits zu Ihren Sicherheitsmaßnahmen, Vereinbarungen zu Patchmanagement und zur Meldung von Vorfällen, Vorgaben wie „Security by Design“, Fragen zur Zuverlässigkeit des eingesetzten Personals und gemeinsame Krisenübungen. Lieferanten, die das nicht erfüllen, riskieren laut BSI, dass betroffene Einrichtungen nicht mehr mit ihnen zusammenarbeiten.

Ich rate dazu, die zehn Punkte aus § 30 einmal für das eigene Unternehmen durchzugehen, auch wenn Sie nicht betroffen sind. Mit den zwei, drei Seiten, die dabei entstehen, beantworten Sie die meisten Fragebögen schneller. Für eine erste Einschätzung empfiehlt das BSI KMU den CyberRisikoCheck. Lesen Sie Meldefristen und Auditrechte in neuen Verträgen genau. Eine Klausel, die Sie verpflichtet, jeden Vorfall „unverzüglich“ zu melden, müssen Sie auch nachts einhalten können. Bei Haftungsklauseln sollte ein Anwalt mitlesen. Wenn Kunden fragen, wo Ihre Daten liegen und wer Zugriff hat, hilft eine klare Antwort zur digitalen Souveränität Ihrer Systeme.

Welche ersten Schritte sind in den nächsten 90 Tagen sinnvoll?

Der Plan gilt für ein Unternehmen, das gerade feststellt, dass es betroffen ist. Zulieferer ohne eigene Pflicht lassen Registrierung und Meldekette weg.

Tag 1 bis 30: Klarheit schaffen

1. Betroffenheit mit der BSI-Prüfung und den eigenen Zahlen klären und das Ergebnis mit Begründung ablegen.
2. ELSTER-Organisationszertifikat beantragen und sich im BSI-Portal registrieren. Wer die Frist schon verpasst hat, registriert sich sofort.
3. Eine verantwortliche Person für Informationssicherheit benennen und intern bekannt machen.
4. Meldekette festlegen: wer meldet, wer vertritt und wer auch am Wochenende Zugang zum BSI-Portal hat.

Tag 31 bis 60: Bestand aufnehmen und Lücken schließen

1. Liste der Systeme, Konten mit Administratorrechten und Dienstleister mit Zugriff anlegen.
2. Multi-Faktor-Anmeldung für Fernzugriff, E-Mail und Admin-Konten einschalten.
3. Eine Rücksicherung aus dem Backup testen und das Ergebnis mit Datum festhalten.
4. Verträge mit wichtigen Dienstleistern auf Sicherheits- und Meldepflichten durchsehen.

Tag 61 bis 90: Dokumentieren und schulen

1. Risikoanalyse schreiben: welche Systeme kritisch sind, was ausfallen kann, welche Maßnahmen bestehen und welche noch fehlen.
2. Notfallplan mit Kontaktliste erstellen, auch auf Papier.
3. Geschäftsleitungsschulung besuchen und Mitarbeitende zu Phishing und Passwörtern schulen.
4. Einen jährlichen Termin festlegen, an dem die Geschäftsführung den Stand prüft.

Nach 90 Tagen liegen die Unterlagen vor, die das BSI auf Anforderung sehen will: Betroffenheitsprüfung, Registrierung, Risikoanalyse, Notfallplan und Schulungsnachweise. Risikoanalyse und Notfallplan müssen Sie danach regelmäßig überarbeiten.

Bei den technischen Punkten kann ACONA helfen. In der IT-Strategieberatung erstellen wir mit Ihnen die Bestandsaufnahme und einen Maßnahmenplan entlang von § 30. Multi-Faktor-Anmeldung lässt sich mit Single Sign-on über Keycloak zentral einführen. Für gemeinsam genutzte Zugangsdaten betreiben wir einen Passwortmanager auf Servern in Deutschland. Rechtsberatung leisten wir nicht. Ein kostenloses Erstgespräch von 20 Minuten können Sie über die Kontaktseite anfragen.

Häufige Fragen

Quellen

1. BSI: NIS-2-regulierte Unternehmen (Stand Oktober 2026)
2. BSI: Allgemeine FAQ zu NIS-2 (Stand Oktober 2026)
3. BSI: NIS-2-Betroffenheitsprüfung (Stand Oktober 2026)
4. BSI: Sichere Lieferkette, NIS-2-Infopaket (Stand Oktober 2026)
5. BSI-Gesetz § 28: Einordnung als besonders wichtige oder wichtige Einrichtung (in Kraft seit 06.12.2025)
6. BSI-Gesetz § 65: Bußgeldvorschriften (in Kraft seit 06.12.2025)
7. ZfK: NIS2-Nachfrist abgelaufen, BSI behält sich Bußgelder vor (04.08.2026)