Betrifft NIS2 auch kleine Unternehmen?

Was NIS2 ist

NIS2 ist eine EU-Richtlinie für Cybersicherheit, die Deutschland mit dem NIS2-Umsetzungsgesetz in nationales Recht überführt hat. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Laut BSI verpflichtet es rund 29.500 Unternehmen zu Risikomanagement, Meldepflichten bei Sicherheitsvorfällen und einer Registrierung beim BSI. Die Bußgelder reichen je nach Einstufung bis in den zweistelligen Millionenbereich, und die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich selbst dazu schulen lassen.

Wer direkt betroffen ist

Als wichtige Einrichtung gilt in der Regel, wer in einem der 18 regulierten Sektoren tätig ist und mindestens 50 Menschen beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Bilanzsumme erreicht. Ab 250 Beschäftigten oder deutlich höheren Umsätzen spricht das Gesetz von besonders wichtigen Einrichtungen mit strengerer Aufsicht.

Zu den Sektoren zählen unter anderem Energie, Transport, Gesundheit, Abfallwirtschaft, Lebensmittel, Chemie, Maschinen- und Fahrzeugbau, digitale Dienste und Teile der öffentlichen Verwaltung. Für einige Bereiche der digitalen Infrastruktur gilt die Pflicht unabhängig von der Größe.

Ein Handwerksbetrieb mit zwölf Leuten, eine Arztpraxis oder eine Kanzlei fällt in aller Regel nicht direkt unter NIS2. Ein Hersteller von Fahrzeugteilen mit 60 Beschäftigten kann dagegen betroffen sein.

Wer betroffen ist, musste sich bis zum 6. März 2026 beim BSI registrieren. Wer die Frist verpasst hat, sollte die Registrierung jetzt nachholen.

Warum NIS2 kleinere Unternehmen trotzdem erreicht

Der Hebel heißt Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Zulieferer und Dienstleister berücksichtigen und reichen die Anforderungen deshalb weiter. Das sieht dann so aus:

• Ein Industriekunde schickt seinen Zulieferern einen Sicherheitsfragebogen, bevor er Aufträge verlängert.
• In neuen Verträgen tauchen IT-Sicherheitsklauseln auf, etwa zu Datensicherung, Updates, Zugriffsschutz und Meldewegen bei Vorfällen.
• Versicherer fragen dieselben Punkte im Antrag zur Cyberversicherung ab. Welche das genau sind, steht unter Cyberversicherung und IT-Anforderungen.

Wer dann nichts vorweisen kann, verliert im Zweifel den Auftrag an den Wettbewerber, der die Liste abhaken kann.

Was technisch dahintersteckt

Der Kern dessen, was NIS2 verlangt, schützt jedes Unternehmen vor dem teuersten Ausfall, dem Verschlüsselungstrojaner:

• Getestete Datensicherung nach der 3-2-1-Regel, mit geprüftem Rückweg (Backup & Datensicherung)
• Aktuelle Systeme, also Updates, die wirklich eingespielt werden (IT-Wartung)
• Zugriffsschutz mit Zwei-Faktor-Anmeldung, sauberen Benutzerkonten und Firewall (IT-Sicherheit für kleine Unternehmen)
• Geschultes Team, denn die meisten Angriffe beginnen mit einer Mail an einen Menschen (IT-Schulungen)
• Ein Plan für den Ernstfall, damit nach einem Vorfall klar ist, wer was meldet und was zuerst wieder laufen muss (IT-Notfallplan)

Wer diese Punkte in Ordnung hat, beantwortet Kundenfragebögen mit belastbaren Angaben und hat den technischen Teil erledigt, ob das Gesetz nun direkt gilt oder nicht.

Wo wir unterstützen

Wir übernehmen die technische Seite. Im IT-Check für 290 € netto nehmen wir den Stand Ihrer IT auf und zeigen, welche Punkte aus Kundenfragebögen und NIS2-Anforderungen bereits erfüllt sind und welche fehlen. Die Umsetzung, von der Zwei-Faktor-Anmeldung bis zur Schulung, planen wir danach zum Festpreis. Für die rechtliche Prüfung und die Rolle eines Informationssicherheitsbeauftragten stimmen wir uns mit Ihrer Rechtsberatung oder Ihren Beauftragten ab.

Der Punkt mit dem geschulten Team fängt bei der Mail an. Woran sich eine Fälschung heute noch erkennen lässt, steht unter Phishing-Mail erkennen.