NIS2 und IT-Sicherheitspflichten im Mittelstand

Veröffentlicht am 20. Juli 2026

Kurz gesagt: Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft – ohne allgemeine Übergangsfrist. Betroffen sind rund 29.500 Einrichtungen, also weniger als ein Prozent aller Unternehmen in Deutschland: Ein Handwerksbetrieb, eine Kanzlei oder eine Agentur fallen unabhängig von ihrer Größe nicht darunter. Wer aber im verarbeitenden Gewerbe tätig ist – Maschinenbau, Elektrotechnik, Kfz-Teile, Lebensmittelgroßhandel – und 50 oder mehr Beschäftigte hat, ist sehr wohl direkt betroffen. Und alle anderen erreicht die Anforderung über die Lieferkette: als Vertragsklausel ihrer Kunden.

Der Gesetzesstand – und warum viele Ratgeber veraltet sind

Deutschland hat die EU-Frist zur Umsetzung der NIS-2-Richtlinie deutlich verfehlt; entsprechend viele Artikel im Netz sprechen bis heute von einem „Gesetzentwurf“. Das ist überholt: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 in Kraft getreten. Es fasst das BSI-Gesetz vollständig neu; die eigentlichen Pflichten stehen in den §§ 28 ff. BSIG.

Besonders wichtig und kontraintuitiv: Eine allgemeine Übergangsfrist sieht das Gesetz nicht vor. Betroffene Einrichtungen mussten ihre Pflichten unmittelbar nach Inkrafttreten erfüllen. Die Registrierungsfrist beträgt drei Monate ab Betroffenheit und ist für alle, die am 6. Dezember 2025 bereits betroffen waren, am 6. März 2026 abgelaufen.

Für Nachzügler ist das gerade akut: Das Bundesamt für Sicherheit in der Informationstechnik hat im Juni 2026 gegenüber Branchenverbänden kommuniziert, dass es alle noch ausstehenden Registrierungen spätestens bis zum 31. Juli 2026 erwartet. Rechtlich ist das keine Fristverlängerung – das BSI weist weiterhin darauf hin, dass die gesetzliche Frist bereits abgelaufen ist –, sondern eine befristete Vollzugskulanz. Wer betroffen ist und noch nicht registriert hat, sollte das also nicht auf die lange Bank schieben.

Zur Größenordnung: Ende Mai 2026 waren nach Angaben des BSI rund 18.500 Einrichtungen registriert. Gemessen an den geschätzt 29.500 betroffenen Einrichtungen fehlte damit noch etwa ein Drittel.

Wer wirklich betroffen ist

Zunächst eine begriffliche Klarstellung, weil sie in vielen Texten falsch läuft: Das BSIG kennt keine „wesentlichen“ Einrichtungen – das ist die Sprache der EU-Richtlinie. Die deutschen Rechtsbegriffe lauten besonders wichtige Einrichtungen und wichtige Einrichtungen.

Die Betroffenheit ergibt sich aus zwei Bedingungen, die beide erfüllt sein müssen: Das Unternehmen gehört zu einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSIG und überschreitet die jeweiligen Größenschwellen. Für wichtige Einrichtungen liegt die Schwelle bei 50 Beschäftigten beziehungsweise entsprechenden Umsatz- und Bilanzwerten, für besonders wichtige Einrichtungen deutlich höher. Betreiber kritischer Anlagen sind unabhängig von der Größe erfasst, ebenso qualifizierte Vertrauensdiensteanbieter und Anbieter öffentlicher Telekommunikationsdienste.

Der für den Mittelstand entscheidende Punkt steckt in Anlage 2. Dort stehen nicht exotische Branchen, sondern klassische Mittelstandsbereiche: Medizinprodukte, Datenverarbeitungsgeräte und Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftfahrzeuge und Kraftfahrzeugteile, sonstiger Fahrzeugbau, dazu Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelgroßhandel und industrielle Lebensmittelproduktion sowie Forschungseinrichtungen. Ein Maschinenbauer mit 70 Beschäftigten ist damit direkt betroffen – nicht nur mittelbar über seine Kunden. Genau das unterschlagen viele Übersichtsartikel.

Für die Größenberechnung gilt die KMU-Definition der EU-Empfehlung 2003/361/EG, einschließlich Partner- und verbundener Unternehmen. Konzerntöchter können dadurch betroffen sein, obwohl sie für sich genommen klein sind. Und weil es keinen Feststellungsbescheid gibt, ist die Prüfung Ihre eigene Aufgabe: Das BSI stellt dafür eine unverbindliche Betroffenheitsprüfung online bereit.

Welche Pflichten gelten

§ 30 Abs. 2 BSIG nennt zehn Mindestmaßnahmen, die verhältnismäßig, risikobasiert und nach dem Stand der Technik umzusetzen sind:

  • Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
  • Bewältigung von Sicherheitsvorfällen
  • Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung, Krisenmanagement
  • Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
  • Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
  • Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
  • Grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
  • Konzepte für den Einsatz kryptographischer Verfahren
  • Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Systeme
  • Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme

Hinzu kommt die gestufte Meldepflicht bei erheblichen Sicherheitsvorfällen nach § 32 BSIG: eine Frühwarnung unverzüglich, spätestens aber nach 24 Stunden, eine Meldung mit Erstbewertung nach spätestens 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Die Leitlinie des BSI dazu lautet sinngemäß: Schnelligkeit vor Vollständigkeit – eine unvollständige Erstmeldung ist besser als eine späte.

Bei der viel diskutierten Geschäftsleiterhaftung nach § 38 BSIG lohnt Genauigkeit, weil hier besonders viel Halbwissen kursiert. Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Die Haftung besteht gegenüber der eigenen Einrichtung und richtet sich nach dem Gesellschaftsrecht der jeweiligen Rechtsform, etwa § 43 GmbHG – es handelt sich also nicht um eine neue Außenhaftung gegenüber Kunden oder Dritten. Die in früheren Entwürfen diskutierte Regelung, wonach ein Verzicht der Gesellschaft auf Ersatzansprüche unwirksam sein sollte, steht im geltenden § 38 BSIG nicht.

Ebenfalls häufig falsch dargestellt: Turnusmäßige Nachweise gegenüber dem BSI nach § 39 BSIG schulden nur Betreiber kritischer Anlagen. Besonders wichtige und wichtige Einrichtungen ohne kritische Anlage müssen die Maßnahmen umsetzen und auf Verlangen darlegen können – aber keine regelmäßigen Audits einreichen.

Bußgelder – ohne Angstmache eingeordnet

§ 65 BSIG sieht für Verstöße gegen Risikomanagement- und Meldepflichten Rahmen bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen vor. Die zusätzlich genannten Umsatzprozentsätze greifen erst ab einem Gesamtumsatz von über 500 Millionen Euro und sind für den Mittelstand damit praktisch bedeutungslos.

Für ein Unternehmen mit 60 Beschäftigten ist eine andere Zahl relevanter: Wer die Registrierung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vornimmt, riskiert bis zu 500.000 Euro. Auch das sind gesetzliche Höchstrahmen und keine Regelsätze – Bußgelder bemessen sich nach Bedeutung der Tat und Grad des Vorwurfs. Belastbare öffentliche Daten zur Bußgeldpraxis unter dem neuen BSIG liegen bislang nicht vor.

Der eigentliche Druck: die Lieferkette

Für die große Mehrheit der KMU ist die wichtigste Norm § 30 Abs. 2 Nr. 4 BSIG – allerdings als Pflicht ihrer Kunden, nicht als eigene. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern, und das BSI empfiehlt ihnen ausdrücklich, Zulieferer vertraglich zu Sicherheitsmaßnahmen zu verpflichten und sich diese nachweisen zu lassen.

In der Praxis kommt das als Sicherheitsfragebogen im Einkaufsprozess, als Vertragsklausel zu Mindestsicherheitsniveau und Auditrechten, als Meldepflicht bei Vorfällen – oft mit engeren Fristen als 24 Stunden, damit der Kunde seine eigene Frist halten kann – und als Nachweisanforderung in Ausschreibungen. Besonders betroffen sind IT-Dienstleister, Softwarelieferanten, Cloud- und Wartungsanbieter sowie Fertigungszulieferer.

Wichtig zur Abgrenzung: Für den nicht betroffenen Zulieferer begründet das BSIG keine gesetzliche Pflicht, und das BSI hat ihm gegenüber keine Aufsichtsbefugnis. Der Druck ist rein vertraglich. Wer Ihnen eine „NIS-2-Zertifizierung“ verkaufen möchte, sollte skeptisch machen – eine solche Zertifizierung existiert nicht.

Was ein nicht betroffenes Unternehmen sinnvoll tun kann

Der naheliegendste Einstieg ist der CyberRisikoCheck nach DIN SPEC 27076, ein Angebot des BSI speziell für kleine und Kleinstunternehmen mit bis zu 50 Beschäftigten. In einem ein- bis zweistündigen Interview prüft ein qualifizierter IT-Dienstleister 27 Anforderungen aus sechs Themenbereichen; das Ergebnis ist ein Bericht mit Punktzahl, priorisierten Handlungsempfehlungen und Hinweisen auf Förderprogramme. Abgerechnet wird üblicherweise als ein Beratungstag; die Höhe hängt vom Honorar des Dienstleisters ab. Ein NIS-2-Compliance-Nachweis ist er nicht und wird vom BSI auch nicht als solcher beworben.

Inhaltlich decken sich die sinnvollen Basismaßnahmen weitgehend mit dem, was Ihre Kunden ohnehin abfragen werden:

  • Backup mit getesteter Wiederherstellung und mindestens einer Kopie, die von den produktiven Systemen aus nicht veränderbar ist. Die verbreitete 3-2-1-Regel ist dabei eine anerkannte Faustregel der Branche, keine gesetzliche Vorgabe.
  • Multi-Faktor-Authentifizierung für alle von außen erreichbaren Zugänge: E-Mail, VPN, Fernwartung, Cloud-Administration.
  • Patch- und Update-Management auf Basis eines aktuellen Inventars aller Systeme – man kann nur aktualisieren, was man kennt.
  • Notfallplan mit Rollen, Erreichbarkeiten und Meldewegen, offline verfügbar. Ein Plan, der nur im verschlüsselten Dateiserver liegt, hilft im Ernstfall nicht.
  • Zugriffskontrolle mit getrennten Administrator- und Nutzerkonten sowie inventarisierten Fernwartungs- und Dienstleisterzugängen.
  • Sensibilisierung der Beschäftigten – die häufigste Eintrittstür bleibt die E-Mail.

Zum Verhältnis zu bestehenden Normen: Eine Zertifizierung nach ISO/IEC 27001 deckt einen großen Teil der Anforderungen ab, bedeutet nach ausdrücklicher Aussage des BSI aber nicht automatisch NIS-2-Konformität – unter anderem, weil der Geltungsbereich bei ISO frei wählbar ist, Risikoakzeptanz zulässig bleibt und Melde-, Registrierungs- sowie Geschäftsleitungspflichten dort nicht abgebildet sind. TISAX ist in der Automobil-Lieferkette faktischer Marktstandard und inhaltlich überlappend, aber ebenfalls kein gesetzlicher Nachweis.

Wenn Sie unsicher sind, wo Ihr Betrieb steht, ist die Reihenfolge klar: erst die Betroffenheitsprüfung des BSI durchlaufen und das Ergebnis mit Datum dokumentieren – auch ein „nicht betroffen“ sollte schriftlich festgehalten sein –, dann die Basismaßnahmen abklopfen, und erst danach über Zertifizierungen nachdenken.

Häufige Fragen

Ist unser Betrieb mit 25 Mitarbeitern von NIS2 betroffen?
Mit hoher Wahrscheinlichkeit nicht direkt. Die Schwelle für wichtige Einrichtungen liegt bei 50 Beschäftigten beziehungsweise entsprechenden Umsatz- und Bilanzwerten, und zusätzlich muss Ihr Unternehmen einer Einrichtungsart aus Anlage 1 oder 2 des BSIG angehören. Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter und Anbieter öffentlicher Telekommunikationsdienste. Das BSI stellt eine unverbindliche Betroffenheitsprüfung bereit.

Wir sind Maschinenbauer mit 70 Beschäftigten – betrifft uns das?
Sehr wahrscheinlich ja. Der Maschinenbau ist in Anlage 2 des BSIG als Einrichtungsart des verarbeitenden Gewerbes aufgeführt, und ab 50 Beschäftigten greift die Schwelle für wichtige Einrichtungen. Damit gelten Registrierungs-, Risikomanagement- und Meldepflichten unmittelbar, denn das Gesetz sieht keine allgemeine Übergangsfrist vor. Eine belastbare Einzelfallprüfung sollten Sie rechtlich begleiten lassen.

Seit wann gilt das Gesetz, und gibt es noch eine Schonfrist?
Das NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am 6. Dezember 2025 in Kraft. Eine allgemeine Übergangsfrist existiert nicht; die gesetzliche Registrierungsfrist von drei Monaten lief für bereits betroffene Einrichtungen im März 2026 ab. Nach übereinstimmenden Fachberichten toleriert das BSI verspätete Registrierungen vorübergehend – das ist eine behördliche Kulanz und keine Verlängerung der gesetzlichen Frist.

Haftet unsere Geschäftsführung jetzt persönlich?
§ 38 BSIG verpflichtet Geschäftsleitungen betroffener Einrichtungen, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Die Haftung besteht gegenüber der eigenen Einrichtung und richtet sich nach den gesellschaftsrechtlichen Regeln der Rechtsform, etwa § 43 GmbHG – es ist also keine neue Außenhaftung gegenüber Dritten. Die in früheren Entwürfen diskutierte Unwirksamkeit eines Anspruchsverzichts findet sich im geltenden § 38 BSIG nicht.

Unser Kunde verlangt einen NIS2-Nachweis, obwohl wir nicht betroffen sind. Müssen wir liefern?
Gegenüber dem BSI schulden Sie als nicht betroffenes Unternehmen nichts, und das BSI hat Ihnen gegenüber keine Aufsichtsbefugnis. Ihr Kunde muss aber nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit seiner Lieferkette steuern und gibt die Anforderung vertraglich weiter; das BSI empfiehlt regulierten Unternehmen ausdrücklich, sich Sicherheitsmaßnahmen von Zulieferern nachweisen zu lassen. Es ist damit eine Vertrags- und Marktfrage. Eine NIS-2-Zertifizierung gibt es nicht – verlangt werden in der Praxis Selbstauskünfte, ISO 27001, TISAX oder vergleichbare Belege.

Was kostet der Einstieg, wenn wir nicht betroffen sind, aber etwas tun wollen?
Ein guter Startpunkt ist der CyberRisikoCheck nach DIN SPEC 27076: ein ein- bis zweistündiges Interview zu 27 Anforderungen aus sechs Themenbereichen mit Ergebnisbericht und priorisierten Handlungsempfehlungen. Er richtet sich an kleine und Kleinstunternehmen mit bis zu 50 Beschäftigten und wird üblicherweise als ein Beratungstag abgerechnet; die konkrete Höhe hängt vom Honorar des IT-Dienstleisters ab. Fördermittel können einen Teil der Beratungskosten abdecken.

Quellen

Stand: Juli 2026. Dieser Beitrag gibt einen allgemeinen Überblick und stellt keine Rechtsberatung dar. Ob Ihr Unternehmen unter das BSIG fällt und welche Pflichten konkret gelten, ist eine Einzelfallfrage – die Betroffenheit tritt kraft Gesetzes ein und wird nicht durch einen Bescheid festgestellt.

Dieser Beitrag ist Teil unseres Leitfadens Digitalisierung im KMU – dort finden Sie alle Themen im Überblick.

IT-Sicherheit im eigenen Betrieb einordnen?

Wir beraten KMU anbieterneutral, praxisnah und mit Blick auf Fördermöglichkeiten. Kostenloses Erstgespräch →

✓ Über 20 Jahre Erfahrung · ✓ BVMW-Mitglied · ✓ anbieterneutral · ✓ unverbindlich & kostenlos

Jetzt unverbindlich anfragen

Kurze Nachricht genügt – wir melden uns in der Regel innerhalb eines Werktags. Kostenlos & unverbindlich.

In

, , ,