NIS2 ist die EU-Richtlinie, die Cybersicherheit vom Kür- zum Pflichtprogramm macht. Sie verpflichtet betroffene Unternehmen zu Risikomanagement, technischen Schutzmaßnahmen und Meldeprozessen, und sie nimmt die Geschäftsführung in die Verantwortung. Auch viele kleinere Betriebe sind betroffen, oft ohne es zu wissen, weil die Anforderungen über die Lieferkette weitergegeben werden.

Der aktuelle Stand

Die Zeit des Abwartens ist vorbei. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft und wurde als Novelle direkt im BSI-Gesetz verankert. Eine allgemeine Übergangsfrist gibt es nicht.

Auch die erste Pflicht ist bereits abgelaufen: Betroffene Einrichtungen mussten sich bis zum 6. März 2026 im Portal des BSI registrieren. Wer das versäumt hat, holt es umgehend nach, denn schon die verspätete Registrierung gilt als formaler Verstoß.

Der Gesetzgeber rechnet mit rund 30.000 betroffenen Unternehmen aus 18 Sektoren. Ob Sie dazugehören, entscheidet sich an Branche und Betriebsgröße:

  • Wichtige Einrichtungen: ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz.
  • Besonders wichtige Einrichtungen: ab 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz.

Im Ernstfall ist die Taktung eng: Eine Frühwarnung geht binnen 24 Stunden ans BSI, die ausführliche Meldung binnen 72 Stunden. Bei Verstößen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Dazu kommt, dass die Geschäftsführung die Sicherheitsmaßnahmen ausdrücklich billigen und ihre Umsetzung überwachen muss.

Hinweis: Ob Ihr Betrieb unter die Pflicht fällt, hängt an Sektor, Größe und Rolle in der Lieferkette. Das BSI stellt dafür eine Betroffenheitsprüfung bereit, das Ergebnis ordnen wir gern gemeinsam mit Ihnen ein. Stand dieser Angaben: Juli 2026.

Direkt betroffen oder über die Lieferkette

Direkt betroffen sind Unternehmen ab mittlerer Größe in kritischen und wichtigen Sektoren, von Energie und Gesundheit über Produktion bis zu digitalen Diensten. Ob Ihr Betrieb dazugehört, klärt eine kurze Betroffenheitsprüfung.

Über die Lieferkette trifft es viele weitere: NIS2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer Zulieferer und Dienstleister sicherzustellen. Wer also für einen betroffenen Kunden arbeitet, bekommt dessen Anforderungen weitergereicht, unabhängig von der eigenen Größe.

Die Kernpflichten

  • Risikomanagement: Systeme absichern, Zugriffe kontrollieren, Multi-Faktor-Authentifizierung einsetzen.
  • Meldepflichten: erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen melden.
  • Nachweise: Maßnahmen dokumentieren, damit sie gegenüber Kunden und Behörden belegbar sind.

Was das für einen 15-Mann-Betrieb heißt

Niemand erwartet von einem kleinen Betrieb die Sicherheitsabteilung eines Konzerns. NIS2 kennt das Prinzip der Verhältnismäßigkeit: Die Maßnahmen müssen zur Größe und zum Risiko passen. Pragmatische erste Schritte sind ein sauberes Backup-Konzept, aktueller Endpoint- und E-Mail-Schutz, Multi-Faktor-Authentifizierung und eine knappe Dokumentation. Vieles davon ist mit unseren Schutzpaketen bereits abgedeckt.

Wichtig: Wir sind IT-Dienstleister, keine Rechtsanwälte. Wir liefern die technische und organisatorische Umsetzung. Die rechtliche Einordnung klären Sie im Zweifel zusätzlich mit Ihrer Rechtsberatung; auf Wunsch arbeiten wir direkt mit ihr zusammen.

Betroffen oder nicht? Finden wir es heraus.

Kostenlose Ersteinschätzung zur NIS2-Betroffenheit und den nächsten sinnvollen Schritten.

Zum IT-Sicherheits-Check