NIS2: Betrifft das auch kleine Unternehmen?

Was NIS2 ist, in drei Sätzen

NIS2 ist eine EU-Richtlinie für Cybersicherheit, die Deutschland mit dem NIS2-Umsetzungsgesetz in nationales Recht überführt hat. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft und verpflichtet laut BSI rund 29.500 Unternehmen zu Risikomanagement, Meldepflichten bei Sicherheitsvorfällen und einer Registrierung beim BSI. Die Bußgelder reichen je nach Verstoß und Unternehmensgröße in den Millionenbereich, und die Geschäftsleitung haftet für die Umsetzung persönlich.

Wer direkt betroffen ist

Die Grundregel: mindestens 50 Mitarbeiter oder mindestens 10 Millionen Euro Jahresumsatz, und das in einem der 18 regulierten Sektoren. Dazu zählen unter anderem Energie, Transport, Gesundheit, Abfallwirtschaft, Lebensmittel, Chemie, Maschinen- und Fahrzeugbau, digitale Dienste und die öffentliche Verwaltung.

Für einige Bereiche gilt die Pflicht unabhängig von der Größe, etwa für Teile der digitalen Infrastruktur. Das ist die Ausnahme, nicht die Regel. Ein Handwerksbetrieb mit zwölf Leuten, eine Arztpraxis oder eine Kanzlei fällt in aller Regel nicht direkt unter NIS2.

Wer betroffen ist, musste sich bis zum 6. März 2026 beim BSI registrieren. Wer die Frist verpasst hat: nachholen, nicht aussitzen.

Warum NIS2 kleine Betriebe trotzdem erreicht

Der Hebel heißt Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Zulieferer und Dienstleister nachweisen, und sie lösen das, indem sie die Anforderungen weiterreichen. In der Praxis sieht das so aus:

• Ein Industriekunde schickt seinen Zulieferern einen Sicherheitsfragebogen, bevor er Aufträge verlängert.
• In neuen Verträgen tauchen IT-Sicherheitsklauseln auf: Backup, Updates, Zugriffsschutz, Meldewege bei Vorfällen.
• Versicherer fragen dieselben Punkte im Antrag zur Cyber-Versicherung ab.

Wer dann nichts vorweisen kann, verliert im Zweifel schlicht den Auftrag an den Wettbewerber, der die Liste abhaken kann.

Die Maßnahmen lohnen sich auch ohne Gesetz

Der Kern dessen, was NIS2 verlangt, ist genau das, was einen Betrieb ohnehin vor dem teuersten aller Ausfälle schützt, dem Verschlüsselungstrojaner:

• Getestete Datensicherung nach der 3-2-1-Regel, mit geprüftem Rückweg (Backup & Datensicherung)
• Aktuelle Systeme: Updates, die wirklich eingespielt werden, nicht nur geplant sind (IT-Wartung)
• Zugriffsschutz: Zwei-Faktor-Anmeldung, saubere Benutzerkonten, Firewall (IT-Sicherheit für kleine Unternehmen)
• Geschultes Team: Die meisten Angriffe beginnen mit einer Mail an einen Menschen (IT-Schulungen)

Wer diese vier Punkte in Ordnung hat, beantwortet Kundenfragebögen ohne Schweißausbruch und hat den praktischen Teil von NIS2 erledigt, ob das Gesetz nun direkt gilt oder nicht.