NIS2 und der Mittelstand: welche Pflichten jetzt auf KMU zukommen
Lange galten strenge Cybersicherheits-Vorgaben als Thema für Konzerne und Betreiber kritischer Infrastruktur. Mit der NIS2-Richtlinie ändert sich das grundlegend: Der Kreis der verpflichteten Unternehmen wächst erheblich — und erreicht nun viele Betriebe im Mittelstand, die sich bislang nicht als reguliert verstanden haben. Dieser Ratgeber ordnet ein, worum es bei NIS2 geht, wer betroffen ist und wie Sie das Thema pragmatisch angehen.
Was NIS2 ist — und was nicht
NIS2 ist eine EU-Richtlinie zur Netz- und Informationssicherheit, offiziell die Richtlinie (EU) 2022/2555. Sie wurde Ende 2022 verabschiedet und löst die erste NIS-Richtlinie aus dem Jahr 2016 ab. Ziel ist ein einheitlich hohes Cybersicherheits-Niveau in der gesamten Union, weil digitale Angriffe längst grenzüberschreitend und wirtschaftlich hochgradig schädlich sind.
Als Richtlinie wirkt NIS2 nicht unmittelbar, sondern muss von jedem Mitgliedstaat in nationales Recht überführt werden. Vorgesehen war das bis zum 17. Oktober 2024. In Deutschland erfolgt die Umsetzung durch das NIS2-Umsetzungsgesetz (kurz NIS2UmsuCG), das die Anforderungen im BSI-Gesetz verankert; es ist Ende 2025 in Kraft getreten und gilt ohne lange Schonfrist. Unabhängig vom exakten Datum gilt: Die Pflichten sind gesetzt, und wer betroffen ist, sollte nicht auf weitere Übergangsregelungen warten.
Wichtig ist die Abgrenzung: NIS2 regelt die Betriebs- und Cybersicherheit von Organisationen, nicht den Schutz personenbezogener Daten. Das bleibt Sache der Datenschutz-Grundverordnung. Beide können sich im Ernstfall überschneiden — ein Ransomware-Angriff kann gleichzeitig eine NIS2-Meldung an das BSI und, sofern personenbezogene Daten betroffen sind, eine separate Meldung an die Datenschutzbehörde auslösen. Es handelt sich aber um zwei getrennte Regelwerke mit eigenen Fristen, Ansprechpartnern und Zielsetzungen. Wer bereits ein solides Datenschutz-Niveau aufgebaut hat, bringt für NIS2 dennoch eine gute Ausgangslage mit, weil sich viele technische Schutzmaßnahmen überschneiden.
Wer betroffen ist
Ob ein Unternehmen unter NIS2 fällt, entscheidet sich an zwei Achsen: dem Sektor und der Größe.
Auf der Sektor-Achse hat NIS2 den Anwendungsbereich stark erweitert. Reguliert sind Bereiche mit hoher Kritikalität wie Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser und digitale Infrastruktur — dazu kommen weitere kritische Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, das verarbeitende Gewerbe, digitale Dienste und Forschung. Viele klassische Mittelständler, etwa Zulieferer der Industrie oder Lebensmittelbetriebe, finden sich hier unerwartet wieder.
Auf der Größen-Achse gilt als Faustregel: Betroffen sind in der Regel Unternehmen ab etwa 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz. Aus der Kombination beider Achsen ergibt sich die Einstufung als wesentliche oder wichtige Einrichtung — die Begriffe klingen wie eine Rangfolge, meinen aber vor allem unterschiedliche Aufsichtsintensitäten, nicht unterschiedliche Pflichten.
Und selbst wer die Schwellen nicht erreicht, ist nicht automatisch außen vor: Über die Lieferkette geraten auch kleinere Betriebe in die Pflicht, wenn ein reguliertes Unternehmen sie als Dienstleister absichern muss. Die Frage „Sind wir betroffen?” lässt sich deshalb nicht pauschal, sondern nur mit Blick auf den konkreten Betrieb beantworten.
Die zentralen Pflichtenkreise
Hinter NIS2 stehen keine abstrakten Prinzipien, sondern konkrete Pflichten. Vier Kreise sind besonders wichtig.
Risikomanagement
Den Kern bildet ein systematisches Management der Cyber-Risiken. Dazu zählen eine Risikoanalyse, ein geregelter Umgang mit Sicherheitsvorfällen, Business Continuity und Backup, sichere Beschaffung und Wartung von Systemen, Zugriffskontrollen, Verschlüsselung sowie grundlegende Cyberhygiene. Es geht nicht um ein einzelnes Produkt, sondern um einen nachweisbaren, gelebten Prozess.
Meldepflichten
Sicherheitsvorfälle mit erheblichen Auswirkungen müssen gemeldet werden — und zwar gestaffelt: eine Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Diese Fristen sind knapp. Wer erst im Ernstfall klärt, wer meldet und wie, verliert wertvolle Zeit. Ein vorbereiteter Ablauf ist deshalb Teil der Pflicht — hier greift NIS2 direkt in die Notfallvorsorge ein.
Sicherheit der Lieferkette
NIS2 denkt Sicherheit über die eigenen Systemgrenzen hinaus. Unternehmen müssen die Risiken ihrer Dienstleister und Zulieferer bewerten und vertraglich adressieren. Damit werden Sicherheitsanforderungen entlang der Kette weitergereicht — der Grund, warum auch kleinere Betriebe das Thema auf dem Schirm haben sollten.
Governance und Schulung
NIS2 macht Cybersicherheit zur Chefsache. Die Leitungsebene muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Diese Verantwortung ist nicht delegierbar, und Versäumnisse können die Leitung persönlich treffen.
Was KMU jetzt pragmatisch tun sollten
Die Liste wirkt einschüchternd, doch der Einstieg ist machbar — vor allem, wenn Sie strukturiert vorgehen statt in Aktionismus zu verfallen.
Klären Sie zuerst die Betroffenheit: Fällt Ihr Betrieb nach Sektor und Größe unter die Pflichten, oder sind Sie über die Lieferkette gebunden? Diese Einordnung ist die Grundlage für alles Weitere. Erfassen Sie anschließend den Ist-Stand Ihrer Sicherheit: Welche Maßnahmen aus dem Risikomanagement existieren bereits, wo klaffen Lücken? Viele Bausteine — Mehr-Faktor-Authentifizierung, aktuelle Updates, getestete Backups — gehören ohnehin zur soliden IT-Sicherheit und sind ein guter Startpunkt. Eine kompakte Übersicht dazu bietet unser Ratgeber zu den Grundlagen der IT-Sicherheit für KMU.
Definieren Sie danach einen Meldeprozess: Wer entscheidet im Ernstfall über eine Meldung, wer formuliert sie, welche Fristen gelten? Und nehmen Sie die Lieferkette in den Blick — sowohl Ihre eigenen Dienstleister als auch die Anforderungen, die Ihre Kunden an Sie stellen. Halten Sie alles schriftlich fest: NIS2 verlangt nicht nur, dass Sie sicher sind, sondern dass Sie es nachweisen können.
Die Bußgeld-Dimension
Was passiert, wenn ein Unternehmen die Pflichten ignoriert? NIS2 sieht empfindliche Bußgelder vor, deren Dimension sich an den bekannten Sanktionen der Datenschutz-Grundverordnung orientiert — sie sollen spürbar sein und nicht als kalkulierbares Restrisiko durchgehen. Hinzu kommt die persönliche Verantwortung der Leitungsebene. Konkrete Beträge hängen vom Einzelfall und der Einstufung ab; entscheidend ist die Botschaft dahinter: Cybersicherheit ist keine freiwillige Kür mehr, sondern eine rechtliche Anforderung mit Gewicht. Der Reputationsschaden nach einem gemeldeten Vorfall wiegt oft ohnehin schwerer als jede Geldbuße.
Fazit
NIS2 verschiebt Cybersicherheit vom „Nice to have” zur Pflicht — für einen deutlich größeren Kreis an Unternehmen als bisher. Für den Mittelstand ist das kein Grund zur Panik, aber ein klares Signal, das Thema strukturiert anzugehen: Betroffenheit klären, Sicherheitsniveau ehrlich erfassen, Prozesse für Meldung und Lieferkette aufsetzen und alles dokumentieren.
Für den ersten Schritt hilft unser kostenloser NIS2-Betroffenheits-Check zur Orientierung; die eigentliche Umsetzung begleiten wir mit unserer NIS2-Compliance-Leistung.
Als IT-Dienstleister in Düsseldorf begleitet Lota Engineering Unternehmen aus der Region auf genau diesem Weg — von der ersten Betroffenheitsanalyse über den Aufbau eines belastbaren Sicherheitsniveaus bis zum laufenden Betrieb. Einen Überblick unseres Leistungsspektrums finden Sie im Bereich IT-Sicherheit — von der technischen Absicherung über organisatorische Prozesse bis zur Begleitung strategischer und regulatorischer Fragen. Wenn Sie wissen möchten, wo Ihr Betrieb im Hinblick auf NIS2 heute steht, sprechen Sie uns gern für ein unverbindliches Erstgespräch an.
Häufige Fragen.
Ist mein Unternehmen von NIS2 betroffen?
Maßgeblich sind zwei Fragen: Gehört Ihr Betrieb zu einem der regulierten Sektoren, und erreicht er die Größenschwelle von in der Regel mindestens 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz? Trifft beides zu, fallen Sie meist unter die Pflichten. Wichtig: Auch kleinere Betriebe sind mittelbar betroffen, wenn sie als Zulieferer für ein reguliertes Unternehmen arbeiten und dessen Lieferkette absichern müssen.
Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?
Beide Kategorien müssen im Kern dieselben Sicherheits- und Meldepflichten erfüllen. Der Unterschied liegt vor allem in der Aufsicht: Wesentliche Einrichtungen unterliegen einer strengeren, teils vorausschauenden Kontrolle, wichtige Einrichtungen werden eher anlassbezogen geprüft. Ob ein Betrieb als wesentlich oder wichtig gilt, ergibt sich aus der Kombination von Sektor und Unternehmensgröße.
Wie schnell muss ein Sicherheitsvorfall gemeldet werden?
Die Meldung erfolgt gestaffelt: Eine erste Frühwarnung ist unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis abzugeben. Innerhalb von 72 Stunden folgt eine ausführlichere Meldung mit einer ersten Bewertung, und spätestens nach einem Monat ist ein Abschlussbericht fällig. Empfänger ist die zuständige nationale Behörde, in Deutschland das BSI.
Welche Rolle spielt die Geschäftsführung bei NIS2?
Eine zentrale. NIS2 nimmt die Leitungsebene ausdrücklich in die Pflicht: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Cybersicherheit lässt sich also nicht mehr allein an die IT delegieren. Bei Versäumnissen kann die Leitung persönlich in die Verantwortung genommen werden.