NIS2 ist da.
Ist Ihr Unternehmen bereit?

Am 6. Dezember 2025 ist das deutsche NIS2-Umsetzungs­gesetz (NIS2UmsuCG) in Kraft getreten — über ein Jahr nach der eigentlich EU-weit verbindlichen Frist. Seitdem gilt: Unternehmen in 18 Sektoren sind verpflichtet, Mindest­standards für Cyber­sicherheit einzuhalten, Vorfälle innerhalb von 24 Stunden zu melden und sich beim BSI zu registrieren.

Die gesetzliche Registrierungs­frist endete am 6. März 2026. Weil sich bis dahin nur ein Teil der Betroffenen gemeldet hatte, setzte das BSI eine Nachfrist bis 31. Juli 2026. Bis dahin hatten sich laut Bericht der ZfK (August 2026) mehr als 19.000 Einrichtungen registriert; das BSI behält sich bußgeldbewehrte Schritte vor. Die technischen und organisatorischen Pflichten gelten seit Inkrafttreten — wer sie verletzt, riskiert Bußgelder bis 10 Mio € und die persönliche Haftung der Geschäfts­leitung.

Warum NIS2 den Mittelstand trifft

Die ursprüngliche NIS-Richtlinie von 2016 regelte nur „Betreiber kritischer Infrastrukturen“ — im Wesentlichen Energie­versorger, Banken und Krankenhäuser. NIS2 erweitert den Anwendungs­bereich massiv: Betroffen ist grund­sätzlich jedes Unternehmen mit mindestens 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme, das in einem der 18 Sektoren tätig ist (§ 28 BSIG). Einige Anbieter, etwa DNS-Dienste oder qualifizierte Vertrauensdienste, sind unabhängig von der Größe erfasst.

Das klingt zunächst eng — umfasst aber Maschinen­bauer, Lebensmittel­produzenten, Chemie­unternehmen, IT-Dienstleister, Logistiker und viele mehr. Selbst wer nicht direkt betroffen ist, wird es über die Lieferkette: NIS2-pflichtige Unternehmen müssen die Sicherheit ihrer Zulieferer und Dienstleister bewerten. Wer diesen Nachweis nicht erbringen kann, riskiert Aufträge.

Die 10 Mindest­pflichten aus § 30 BSIG

NIS2 gibt nicht nur das „Was“ vor, sondern auch das „Wie“. Das deutsche BSIG (§ 30) listet zehn Risiko­management-Maßnahmen, die jedes betroffene Unternehmen umsetzen muss. Sie müssen verhältnismäßig sein, also zu Größe und Risiko passen, und den Stand der Technik berücksichtigen. Den Wortlaut finden Sie in § 30 BSIG auf gesetze-im-internet.de.

Die neue Meldekette: 24 / 72 / 1 Monat

Eine der einschneidendsten Neuerungen ist die dreistufige Meldepflicht bei erheblichen Sicherheits­vorfällen:

• Innerhalb von 24 Stunden — eine Frühwarnung an das BSI mit ersten Informationen zum Vorfall.
• Innerhalb von 72 Stunden — eine umfassendere Vorfall­meldung mit Schadens­einschätzung.
• Innerhalb eines Monats — der Abschluss­bericht mit Ursache, Folgen und getroffenen Maßnahmen.

Die Fristen stehen in § 32 BSIG. Wer Meldungen nicht, nicht vollständig oder verspätet abgibt, begeht eine Ordnungswidrigkeit. Praktisch heißt das: Legen Sie vorher fest, wer meldet, über welchen Weg und mit welchen Angaben.

Persönliche Haftung der Geschäfts­leitung

NIS2 adressiert nicht mehr nur das Unternehmen, sondern direkt die Geschäfts­führung. Geschäfts­führer und Vorstände müssen die Risiko­management-Maßnahmen billigen und ihre Umsetzung überwachen (§ 38 BSIG). Sie müssen regelmäßig an Schulungen teilnehmen — und haften gegenüber dem eigenen Unternehmen für schuldhaft verursachte Schäden. Die Verantwortung lässt sich nicht an die IT-Abteilung abgeben.

Was Sie jetzt konkret tun sollten

Die schlechte Nachricht zuerst: Ein NIS2-Programm ist kein Wochenendprojekt. Die gute: Sie sind nicht der Einzige, der spät dran ist. Entscheidend ist, dass Sie nachweisbar anfangen und jeden Schritt dokumentieren.

1. Betroffenheit klären — dokumentiert

Lassen Sie formell prüfen, ob und wie Sie betroffen sind. Die Prüfung muss schriftlich festgehalten werden — bei einer Auditierung ist das der erste Nachweis, dass Sie sich mit dem Thema auseinander­gesetzt haben.

2. Registrierung beim BSI nachholen

Die Registrierung läuft über das BSI-Portal und setzt ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto“ voraus. Planen Sie dafür einige Tage ein. Eine verspätete Registrierung ist besser als keine: Wer betroffen ist und nicht registriert, begeht eine Ordnungs­widrigkeit (bis zu 500.000 €, § 65 BSIG).

3. Gap-Analyse gegen die 10 Pflichten

Vergleichen Sie Ihren Ist-Zustand gegen die zehn Pflichten aus § 30 BSIG. Für die meisten Mittel­ständler ergeben sich Lücken bei Lieferketten­sicherheit, Incident Response, Kryptografie und Zugriffs­management.

4. Quick Wins umsetzen

Multi-Faktor-Authentifizierung (MFA), ein strukturiertes Backup-Konzept und dokumentierte Incident-Response-Prozesse sind mit begrenztem Aufwand umsetzbar und decken mehrere der zehn Pflichten gleichzeitig ab. Wer Microsoft 365 einsetzt, kann mit Conditional Access, Defender for Business und Intune in wenigen Wochen deutliche Fortschritte erzielen. Wie das technisch aussieht, zeigen wir unter Sicherheit: Technik im Detail.

5. Dokumentieren, dokumentieren, dokumentieren

NIS2 ist eine Nachweis­pflicht. Maßnahmen, die nicht dokumentiert sind, existieren aus Sicht des BSI nicht. Richtlinien, Prozesse, Schulungs­nachweise, Test­ergebnisse — alles muss aufbewahrt und auf Anforderung vorgelegt werden können.

Fazit: Verzug ist keine Option mehr

Die Fristen sind abgelaufen, die Pflichten sind aktiv, die Bußgelder möglich. Wer jetzt noch wartet, riskiert nicht nur Compliance, sondern auch Aufträge: NIS2-pflichtige Kunden müssen ihre Lieferkette bewerten und fragen deshalb Nachweise bei Zulieferern ab. Das Gute: Die geforderten Maßnahmen sind nichts anderes als solide moderne IT-Sicherheit — etwas, von dem Ihr Unternehmen ohnehin profitiert. NIS2 ist der Anlass, es endlich anzugehen.

Als Managed Service Provider begleiten wir KMU durch die NIS2-Umsetzung: von der Betroffenheits­analyse über die Gap-Analyse bis zur technischen Implementierung der Maßnahmen in Ihrer Microsoft-365- und Azure-Umgebung, mit nachvollziehbarer Dokumentation jedes Schritts. Ein Security-Audit kostet bei uns 1.500 bis 3.000 € netto. Für die Beratung können Sie die BAFA-Beratungsförderung nutzen (bis zu 50 % der Beratungskosten, höchstens 1.750 €; wir sind akkreditiert). Betriebe in NRW prüfen zusätzlich MID-Digitale Sicherheit für Investitionen in IT-Sicherheit.

Quellen

• § 28 BSIG (Schwellenwerte), § 30 BSIG (Maßnahmen), § 65 BSIG (Bußgelder)
• BSI: NIS-2-regulierte Unternehmen, Registrierung und Betroffenheitsprüfung
• ZfK, 4. August 2026: Nachfrist 31. Juli, mehr als 19.000 Registrierungen