Seit gut zwei Jahren taucht der Begriff NIS2 in fast jedem Gespräch über Unternehmenssicherheit auf, meistens verbunden mit Schlagworten wie Bußgeld, Geschäftsführerhaftung oder Meldepflicht. Viele Inhaberinnen und Inhaber kleinerer und mittlerer Unternehmen wissen bis heute nicht genau, ob sie überhaupt betroffen sind und was konkret zu tun wäre. Das ist kein Zufall: Die Richtlinie ist komplex, die deutsche Umsetzung hat sich mehrfach verschoben, und viele Informationen im Netz sind veraltet oder beziehen sich auf frühere Entwürfe. Dieser Ratgeber ordnet den aktuellen Stand ein, zeigt, wer wirklich in den Anwendungsbereich fällt, und liefert einen realistischen Fahrplan für die kommenden Monate, ohne Panikmache und ohne die Details schönzureden.
Was ist NIS2 eigentlich?
NIS2 ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (Network and Information Security Directive). Sie löst die erste NIS-Richtlinie aus dem Jahr 2016 ab und weitet den Kreis der betroffenen Unternehmen erheblich aus. Ging es früher fast ausschließlich um Betreiber kritischer Infrastrukturen wie Strom- oder Wassernetze, erfasst NIS2 nun auch viele Branchen, die sich bisher nicht als sicherheitskritisch verstanden haben: Lebensmittelproduktion, Chemie, Post- und Kurierdienste, Abfallwirtschaft, digitale Dienstleister, Forschungseinrichtungen und weite Teile des verarbeitenden Gewerbes. Das Ziel der Richtlinie ist simpel formuliert: Die Cybersicherheit in der EU soll insgesamt steigen, weil Angriffe auf einzelne Unternehmen häufig ganze Lieferketten betreffen. Ein kompromittierter Zulieferer kann für einen größeren Kunden genauso gefährlich werden wie ein Angriff auf das eigene Netzwerk.
Wer ist konkret betroffen?
Die Richtlinie unterscheidet zwei Kategorien: wesentliche Einrichtungen und wichtige Einrichtungen. Die Einstufung hängt von Branche, Mitarbeiterzahl und Umsatz beziehungsweise Bilanzsumme ab. Grob gilt: Unternehmen ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Jahresumsatz in einem der besonders kritischen Sektoren fallen in der Regel unter die wesentlichen Einrichtungen. Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme in einem der betroffenen Sektoren gelten meist als wichtige Einrichtungen. Es gibt zusätzlich Sonderregeln, die kleinere Unternehmen unabhängig von Größe einbeziehen, etwa wenn sie die einzige Anbieterin eines bestimmten kritischen Dienstes in einer Region sind.
| Kategorie | Typische Schwelle | Beispielsektoren |
|---|---|---|
| Wesentliche Einrichtung | ab 250 Mitarbeitende oder über 50 Mio. Euro Umsatz | Energie, Transport, Banken, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, digitale Infrastruktur |
| Wichtige Einrichtung | ab 50 Mitarbeitende oder über 10 Mio. Euro Umsatz | Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter |
| Kleinstunternehmen mit Sonderrolle | unabhängig von Größe | Alleinanbieter kritischer Dienste, Vertrauensdiensteanbieter, bestimmte DNS- und Domain-Dienste |
Wichtig für die Praxis: Auch wenn ein Unternehmen selbst nicht direkt unter NIS2 fällt, kann es indirekt betroffen sein, weil es als Zulieferer, Software-Dienstleister oder IT-Partner eines verpflichteten Unternehmens Anforderungen weitergereicht bekommt. Wer beispielsweise Software, Hosting oder Wartung für einen größeren Kunden aus dem Gesundheitswesen oder der Energiebranche bereitstellt, sollte sich frühzeitig mit den Sicherheitsanforderungen dieses Kunden auseinandersetzen, auch ohne selbst formal verpflichtet zu sein.
Wie ist der Umsetzungsstand in Deutschland?
Auf EU-Ebene ist die Richtlinie seit Anfang 2023 in Kraft und hätte eigentlich Ende 2024 in nationales Recht überführt werden müssen. Deutschland hat diese Frist gerissen, das nationale Umsetzungsgesetz (das sogenannte NIS2UmsuCG) durchlief mehrere Referentenentwürfe und parlamentarische Runden. Für die Praxis bedeutet das: Wer prüfen will, ob und ab wann konkrete Meldefristen und Registrierungspflichten gelten, sollte den aktuellen Gesetzesstand direkt beim Bundesamt für Sicherheit in der Informationstechnik oder über die eigene Branchenkammer prüfen, statt sich auf ältere Artikel zu verlassen. Unabhängig vom exakten Inkrafttretenstermin gilt aber: Die inhaltlichen Anforderungen der EU-Richtlinie ändern sich durch nationale Verzögerungen kaum noch, und Unternehmen, die jetzt mit der Umsetzung beginnen, verschaffen sich einen echten Vorsprung, statt kurz vor Toresschluss in Hektik zu verfallen.
Welche Pflichten kommen auf betroffene Unternehmen zu?
NIS2 ist bewusst nicht als starre Checkliste formuliert, sondern verlangt einen risikobasierten Ansatz. Das klingt zunächst abstrakt, lässt sich aber in konkrete Bausteine übersetzen.
Risikomanagement und technische Maßnahmen
Im Kern verlangt die Richtlinie, dass Unternehmen geeignete technische, organisatorische und personelle Maßnahmen ergreifen, um Risiken für ihre Netz- und Informationssysteme zu beherrschen. Dazu zählen unter anderem Konzepte zur Risikoanalyse, Vorgaben für den Umgang mit Sicherheitsvorfällen, Backup-Management und Notfallpläne, Verschlüsselung, Zugriffskontrollen sowie eine dokumentierte Bewertung der Wirksamkeit dieser Maßnahmen. Für viele KMU bedeutet das in der Praxis, erstmals ein strukturiertes IT-Sicherheitskonzept aufzubauen, statt Sicherheit nebenbei mitlaufen zu lassen. Wer noch nie systematisch geprüft hat, wo die eigenen Schwachstellen liegen, sollte an dieser Stelle beginnen: mit einer nüchternen Bestandsaufnahme statt einer Wunschliste an Tools.
Meldepflichten bei Sicherheitsvorfällen
Ein zentraler und oft unterschätzter Punkt sind die gestaffelten Meldefristen. Ein erheblicher Sicherheitsvorfall muss der zuständigen Behörde innerhalb von 24 Stunden als erste Frühwarnung gemeldet werden, spätestens nach 72 Stunden folgt eine detailliertere Bewertung, und nach spätestens einem Monat ist ein Abschlussbericht fällig. Diese Fristen sind straff, gerade für Unternehmen ohne eigenes IT-Sicherheitsteam. Wer diese Prozesse nicht vorbereitet hat, verliert im Ernstfall wertvolle Zeit mit der Frage, wer überhaupt zuständig ist und wie ein Vorfall intern eskaliert wird, statt sich um die eigentliche Schadensbegrenzung zu kümmern.
Sicherheit in der Lieferkette
NIS2 nimmt ausdrücklich auch Zulieferer und Dienstleister in den Blick. Betroffene Unternehmen müssen die Sicherheit ihrer direkten Lieferanten und Dienstleister bewerten, was in der Praxis auf mehr vertragliche Sicherheitsklauseln, Fragebögen und Audits bei Partnern hinausläuft. Für kleinere Zulieferer heißt das: Auch ohne eigene formale Verpflichtung werden größere Kunden zunehmend Nachweise über IT-Sicherheitsmaßnahmen einfordern, etwa bei ERP-Anbindungen, Warenwirtschaft oder Onlineshops. Wer als Händler mit einem angebundenen ERP-System arbeitet, sollte diese Schnittstellen in die eigene Risikobetrachtung einbeziehen, da sie häufig ein unterschätztes Einfallstor darstellen.
Geschäftsführerhaftung und Verantwortlichkeit
Anders als viele frühere Regelwerke adressiert NIS2 ausdrücklich die Unternehmensleitung. Geschäftsführer und Vorstände müssen die Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen, außerdem sind regelmäßige Schulungen zur Cybersicherheit für die Leitungsebene vorgesehen. Bei grober Fahrlässigkeit sieht die Richtlinie eine persönliche Haftung vor, was das Thema endgültig von der reinen IT-Abteilung in die Chefetage verlagert. Wer als Geschäftsführung bislang gesagt hat, IT-Sicherheit sei Sache der IT, muss diese Haltung überdenken, unabhängig davon, wie groß das Unternehmen ist.
Was droht bei Verstößen?
Die EU-Richtlinie sieht empfindliche Bußgelder vor: für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Diese Beträge sind bewusst so hoch angesetzt, dass sie auch für größere Konzerne spürbar sind, treffen aber genauso mittelständische Unternehmen, wenn diese in die entsprechende Größenklasse fallen. Neben dem finanziellen Risiko sollte man den Reputationsschaden nicht unterschätzen: Ein gemeldeter, öffentlich bekannt gewordener Sicherheitsvorfall wirkt sich häufig stärker auf Kundenbeziehungen aus als das Bußgeld selbst, insbesondere wenn Geschäftspartner den Umgang mit dem Vorfall als unprofessionell wahrnehmen.
Praktischer Fahrplan für KMU im Jahr 2026
Statt auf den finalen Gesetzestext zu warten, lohnt sich ein strukturiertes Vorgehen, das sich später leicht an die endgültigen Vorgaben anpassen lässt.
- Betroffenheit klären: Prüfen Sie anhand von Branche, Mitarbeiterzahl und Umsatz, ob Sie direkt betroffen sind, oder ob Sie über Kundenbeziehungen indirekt Anforderungen erfüllen müssen.
- Bestandsaufnahme machen: Welche Systeme, Daten und Prozesse sind geschäftskritisch? Wo liegen Backups, wer hat Zugriff auf was, welche Software ist veraltet?
- Verantwortlichkeiten festlegen: Wer meldet im Ernstfall an wen, intern wie extern? Ein einseitiger Notfallplan ist besser als gar keiner.
- Technische Basismaßnahmen umsetzen: Mehrfaktor-Authentifizierung, regelmäßige, getestete Backups, aktuelle Systeme, segmentierte Netzwerke.
- Lieferkette bewerten: Erstellen Sie eine Liste kritischer Dienstleister und fragen Sie deren Sicherheitsniveau ab, bevor es ein Kunde bei Ihnen tut.
- Website und digitale Angriffsfläche prüfen: Veraltete Content-Management-Systeme, ungepatchte Plugins und offene Formulare sind häufige Einfallstore. Ein Website-Audit zeigt in der Regel innerhalb kurzer Zeit, wo konkreter Handlungsbedarf besteht.
- Schulung der Leitungsebene: Geschäftsführung und Führungskräfte sollten die Grundlagen verstehen, nicht nur die IT-Abteilung.
- Dokumentation aufbauen: Halten Sie Maßnahmen, Entscheidungen und Vorfälle schriftlich fest, das erleichtert sowohl Nachweise gegenüber Behörden als auch die interne Weiterentwicklung.
Typische Fehler in der Praxis
In der Beratung begegnen uns immer wieder dieselben Muster. Erstens: Unternehmen warten auf das endgültige Gesetz, bevor sie überhaupt anfangen, obwohl die inhaltlichen Anforderungen bereits jetzt bekannt sind. Zweitens: IT-Sicherheit wird als reines Technikthema behandelt, obwohl organisatorische Fragen wie Zuständigkeiten und Meldewege mindestens genauso wichtig sind. Drittens: Die eigene Website und der Onlineshop werden bei der Risikobewertung vergessen, obwohl sie oft die am stärksten exponierte Angriffsfläche eines Unternehmens sind, gerade wenn Kundendaten, Zahlungsabwicklung oder Kontaktformulare betroffen sind. Wer beispielsweise einen Online-Shop mit Kundenkonten und Zahlungsdaten betreibt, sollte diesen genauso in die Risikobetrachtung einbeziehen wie das interne Firmennetzwerk. Viertens: Die eigene Marketing- oder Firmenwebsite wird als unkritisch eingestuft, dabei ist gerade ein professionelles, regelmäßig gepflegtes Webdesign mit aktuellem technischem Unterbau ein einfacher, aber wirksamer Baustein, um bekannte Schwachstellen von vornherein zu vermeiden.
Wo Sie jetzt ansetzen können
Für die meisten kleineren und mittleren Unternehmen ist der sinnvollste erste Schritt nicht ein hundertseitiges Konzept, sondern eine ehrliche Bestandsaufnahme: Welche Systeme sind kritisch, wo gibt es offensichtliche Lücken, und welche Kunden oder Partner werden in absehbarer Zeit Nachweise verlangen? Aus dieser Bestandsaufnahme lassen sich Prioritäten ableiten, die sich schrittweise abarbeiten lassen, statt alles gleichzeitig zu wollen. Wer dabei Unterstützung braucht, sollte auf Partner setzen, die sowohl die technische als auch die organisatorische Seite verstehen, denn NIS2 lässt sich nicht allein mit einer neuen Firewall erledigen.
Häufige Fragen
Ist mein Unternehmen automatisch betroffen, wenn ich in einem der genannten Sektoren tätig bin?
Nicht automatisch. Entscheidend ist zusätzlich die Größe des Unternehmens nach Mitarbeiterzahl und Umsatz beziehungsweise Bilanzsumme. Es gibt aber Sonderfälle, in denen auch kleinere Unternehmen unabhängig von der Größe erfasst werden, etwa bei Alleinstellung in einer Region.
Muss ich als nicht direkt verpflichtetes Unternehmen trotzdem etwas tun?
Häufig ja, zumindest indirekt. Wenn Sie Zulieferer oder Dienstleister eines betroffenen Unternehmens sind, werden Sicherheitsanforderungen oft vertraglich weitergereicht. Es lohnt sich, das frühzeitig mit den betroffenen Kunden zu klären, statt später unter Zeitdruck zu reagieren.
Wie lange habe ich Zeit, um Sicherheitsvorfälle zu melden?
Die Richtlinie sieht eine erste Frühwarnung innerhalb von 24 Stunden vor, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht spätestens nach einem Monat. Diese Fristen sollten in einem internen Notfallplan bereits vorab festgelegt sein.
Was kostet die Umsetzung für ein kleines oder mittleres Unternehmen?
Das hängt stark vom Ausgangszustand ab. Wer bereits solide IT-Grundlagen hat, kommt mit organisatorischen Anpassungen und punktuellen technischen Verbesserungen aus. Wer bei null anfängt, sollte den Aufbau in Etappen planen und zunächst die größten Risiken angehen, statt alles auf einmal umzusetzen.
Reicht eine gute Firewall aus, um die Anforderungen zu erfüllen?
Nein. NIS2 verlangt einen risikobasierten Ansatz, der technische Maßnahmen, organisatorische Prozesse, Meldewege, Lieferkettensicherheit und die Verantwortung der Unternehmensleitung umfasst. Technik ist nur ein Baustein von mehreren.
Betrifft NIS2 auch meine Unternehmenswebsite oder meinen Onlineshop?
Direkt richtet sich die Richtlinie an die Betreiberorganisation, nicht speziell an einzelne Systeme. Da Websites und Onlineshops aber häufig Kundendaten verarbeiten und öffentlich erreichbar sind, gehören sie in jede vernünftige Risikobewertung und sollten regelmäßig auf aktuelle Sicherheitsstandards geprüft werden.
Wann sollte ich mit der Umsetzung beginnen, wenn das deutsche Gesetz noch nicht final verabschiedet ist?
Am besten jetzt. Die inhaltlichen Anforderungen der EU-Richtlinie ändern sich durch nationale Verzögerungen kaum noch. Wer frühzeitig beginnt, vermeidet Hektik kurz vor Inkrafttreten und kann Maßnahmen in Ruhe priorisieren statt unter Zeitdruck umzusetzen.