NIS2 im Mittelstand: Betrifft das Gesetz auch Ihren Betrieb?

Die Kernaussage vorweg: NIS2 betrifft in Deutschland Unternehmen ab 50 Mitarbeitenden oder ab mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme, wenn sie in einem der im Gesetz genannten Sektoren tätig sind. Ob das auf Ihren Betrieb zutrifft, lässt sich in einem kurzen Gespräch klären. Die geforderten Schutzmaßnahmen lohnen sich aber für jeden Betrieb, auch für kleinere.

Was ist NIS2?

NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit, die Deutschland mit dem NIS2-Umsetzungsgesetz in nationales Recht übertragen hat. Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet, gilt seit dem 6. Dezember 2025 und hat vor allem das BSI-Gesetz (BSIG) neu gefasst. Es erweitert den Kreis der Unternehmen, die Risiken managen, Vorfälle melden und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren müssen, deutlich.

Wer ist von NIS2 betroffen?

Betroffen ist, wer Größe und Branche zugleich erfüllt. Das Gesetz unterscheidet zwei Gruppen (§ 28 BSIG):

Neben den bekannten Bereichen wie Energie, Gesundheit, Wasser und Transport nennt das Gesetz Sektoren, die viele Mittelständler nicht erwarten: das verarbeitende Gewerbe mit der Herstellung zum Beispiel von Maschinen, Fahrzeugen und elektronischen Erzeugnissen, außerdem Chemie, Lebensmittel, Post- und Kurierdienste, Abfallbewirtschaftung, Forschung und Anbieter digitaler Dienste. Maßgeblich ist die konkrete Tätigkeit, nicht der Name der Branche.

Wichtig: Diese Übersicht ersetzt keine Rechtsberatung. Ob Ihr Unternehmen unter NIS2 fällt, sollte im Einzelfall geprüft werden. Das BSI bietet dafür auf seiner Webseite eine Betroffenheitsprüfung an.

Was verlangt NIS2 von betroffenen Unternehmen?

Ein geregeltes Risikomanagement für die IT-Sicherheit, eine Meldepflicht für erhebliche Sicherheitsvorfälle und die Registrierung beim BSI. Zum Risikomanagement gehören Maßnahmen, die jedem Betrieb vertraut sein sollten: Zugriffskontrolle und Zwei-Faktor-Anmeldung, Backups und Notfallplanung, sichere Lieferketten, Schulungen und ein Plan für den Ernstfall. Die Registrierung beim BSI läuft über ein Unternehmenskonto mit ELSTER-Zertifikat.

Was gilt, wenn ein Sicherheitsvorfall passiert?

Dann laufen feste Fristen (§ 32 BSIG). Ein erheblicher Sicherheitsvorfall muss dem BSI in drei Stufen gemeldet werden:

Wer diese Fristen einhalten will, muss einen Vorfall erst einmal bemerken. Genau deshalb gehören Überwachung und ein Notfallplan zu den wichtigsten Bausteinen.

Haftet die Geschäftsführung persönlich?

Ja, die Geschäftsleitung trägt die Verantwortung selbst (§ 38 BSIG). Sie muss die Sicherheitsmaßnahmen umsetzen lassen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Diese Pflicht lässt sich nicht an die IT abgeben. Bei Verstößen drohen Bußgelder (§ 65 BSIG): für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, für besonders wichtige bis zu 10 Millionen Euro oder 2 Prozent, jeweils der höhere Betrag.

Wir sind nicht betroffen. Können wir das Thema abhaken?

Nein. Angreifer fragen nicht nach Paragrafen. Laut BSI-Lagebericht 2025 richteten sich „rund 80 Prozent“ der angezeigten Angriffe, etwa mit Ransomware, gegen kleine und mittlere Unternehmen. Der Branchenverband Bitkom beziffert den Gesamtschaden durch Datendiebstahl, Spionage und Sabotage für die deutsche Wirtschaft in seiner Studie Wirtschaftsschutz 2025 auf 289,2 Milliarden Euro. Dazu kommt: Größere Kunden, die selbst unter NIS2 fallen, müssen ihre Lieferkette absichern und fragen deshalb zunehmend bei ihren Zulieferern nach.

Drei Fragen für den Einstieg

1. 1

   Erfüllen wir Größe und Branche?

   Zählen Sie Mitarbeitende, prüfen Sie Umsatz und Bilanzsumme, und gleichen Sie Ihre Tätigkeit mit den Sektoren im Gesetz ab.

2. 2

   Welche Grundschutz-Bausteine fehlen noch?

   Firewall, Endgeräteschutz, Zwei-Faktor-Anmeldung, getrennte Backups, Updates, Schulung, Notfallplan, Überwachung. Unser Schnell-Check zeigt Ihnen in einer Minute, was offen ist.

3. 3

   Wer reagiert nachts und am Wochenende?

   Viele Angriffe beginnen außerhalb der Bürozeiten. Wenn niemand intern bereitsteht, schließt eine Überwachung durch ein Security Operations Center diese Lücke.

Fazit

NIS2 hat die Cybersicherheit vom Großkonzern-Thema zur Pflicht für viele Mittelständler gemacht. Ob Ihr Betrieb betroffen ist, hängt von Größe und Tätigkeit ab. Die Bausteine, die das Gesetz verlangt, schützen aber jeden Betrieb. Wir prüfen mit Ihnen, wo Sie stehen, und stellen aus den Lösungen der großen Anbieter ein Paket zusammen, das zu Ihrem Alltag passt.

Quellen: NIS2-Umsetzungsgesetz, BGBl. 2025 I Nr. 301 vom 5.12.2025; §§ 28, 32, 38 und 65 BSIG; BSI, Die Lage der IT-Sicherheit in Deutschland 2025; Bitkom, Wirtschaftsschutz 2025.