NIS2-Check für den Mittelstand: Ist mein Unternehmen betroffen?
NIS2 im Mittelstand: Betroffenheits-Check nach Größe und Sektor, die Pflichten der NIS2-Richtlinie, Bußgelder und Geschäftsführerhaftung – und was jetzt zu tun ist.
- Die NIS2-Richtlinie ist die EU-Vorgabe für ein hohes gemeinsames Schutzniveau der Netz- und Informationssysteme; in Deutschland gilt sie über das novellierte BSI-Gesetz, das seit dem 6. Dezember 2025 in Kraft ist.
- Betroffene Unternehmen sind solche mit mindestens 50 Mitarbeitern oder über 10 Millionen Euro Jahresumsatz und ebenso hoher Bilanzsumme — zusätzlich muss das Unternehmen einem der in den Anlagen 1 und 2 des BSIG genannten Sektoren zuzuordnen sein.
- Betroffene Unternehmen müssen sich binnen drei Monaten beim BSI registrieren (§ 33 BSIG) und erhebliche Sicherheitsvorfälle in drei Stufen melden: Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussmeldung nach einem Monat.
- § 30 Abs. 2 BSIG benennt zehn Bereiche, die die Sicherheitsmaßnahmen jeder betroffenen Einrichtung abdecken müssen; § 30 Abs. 1 Satz 3 verlangt zusätzlich, die Einhaltung zu dokumentieren — nicht dokumentiert heißt im Aufsichtsfall nicht umgesetzt.
- Geschäftsleitungen müssen die Sicherheitsmaßnahmen selbst umsetzen, überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG); bei Verstößen drohen Bußgelder bis 10 Mio. € bei besonders wichtigen und bis 7 Mio. € bei wichtigen Einrichtungen.
Seit dem NIS2-Umsetzungsgesetz erreicht viele Geschäftsführungen im Mittelstand dieselbe Frage: „Betrifft uns das überhaupt?” Die Verunsicherung ist berechtigt: Die NIS2-Richtlinie vergrößert den Kreis der regulierten Unternehmen erheblich und knüpft die Verantwortung an die Geschäftsleitung. Dieser Check ordnet ein, ob und wie stark Ihr Unternehmen betroffen ist.
Lieber klicken als lesen? Unser interaktiver NIS2-Betroffenheits-Check liefert in acht Fragen ein Ampel-Ergebnis, kostenlos und ohne Anmeldung. Die Systematik des Gesetzes steht im Beitrag zum NIS2-Umsetzungsgesetz.
Was ist die NIS2-Richtlinie?
NIS2 (für „Network and Information Security”, auch NIS-2 geschrieben) ist eine EU-weit geltende Richtlinie für Cybersicherheit. Ihr amtlicher Titel nennt den Zweck: Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Gemeint ist ein einheitliches Schutzniveau für die Netz- und Informationssysteme, auf denen Wirtschaft und Verwaltung laufen – und Resilienz, wenn ein Angriff doch durchkommt. Die NIS2-Richtlinie löst die bisherige NIS-Richtlinie von 2016 ab und weitet den Kreis der regulierten Sektoren deutlich aus.
Die Richtlinie (EU) 2022/2555 stammt von Dezember 2022. Eine Richtlinie wirkt nicht unmittelbar: Jeder Mitgliedstaat muss sie in nationales Recht überführen; die Frist lief im Oktober 2024 ab. Deutschland zog mit dem NIS2-Umsetzungsgesetz nach, das nach Angaben der Bundesregierung am 6. Dezember 2025 in Kraft trat. NIS2 gilt hierzulande deshalb über das neu gefasste BSI-Gesetz (BSIG) – dort stehen die Paragrafen, auf die sich eine Aufsichtsbehörde beruft. Töchter im EU-Ausland prüfen Sie nach dem dortigen nationalen Recht: Die Richtlinie ist überall dieselbe, ihre Umsetzung nicht.
Der Anlass ist real: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt die Lage in seinem Lagebericht „weiterhin auf angespanntem Niveau”. Schäden durch Cyberangriffe sind der Grund für die Nachschärfung.
Dieser Beitrag gibt einen Überblick, keine Rechtsberatung. Die verbindliche Einordnung nimmt das BSI beziehungsweise eine fachkundige Rechtsberatung vor.
Ist mein Unternehmen von NIS2 betroffen?
Welche Unternehmen fallen unter NIS2? Das entscheiden zwei Fragen zugleich: Größe und Sektor. Beide Bedingungen müssen zutreffen.
1. Erreichen Sie die Größenschwelle? § 28 Abs. 2 BSIG verlangt mindestens 50 Mitarbeiter oder über 10 Millionen Euro Jahresumsatz und eine ebenso hohe Jahresbilanzsumme. Die Unternehmensgröße wird nicht frei geschätzt: § 28 Abs. 4 BSIG verweist auf die EU-Empfehlung 2003/361/EG, die europaweit definiert, was mittlere Unternehmen (ab 50 Beschäftigten) und große Unternehmen (ab 250) sind. Daten von Partner- und verbundenen Unternehmen zählen mit – außer die Einrichtung betreibt ihre IT nachweislich unabhängig vom Verbund. Für Mittelständler in Firmengruppen entscheidet oft dieser Satz. Unter der Schwelle ist ein Unternehmen meist nicht direkt reguliert – Ausnahme: Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, DNS-Dienste, TLD-Registries und Telekommunikationsanbieter fallen größenunabhängig darunter.
2. Gehören Sie zu einem regulierten Sektor? Hier hilft kein Bauchgefühl: Verbindlich sind allein die Anlagen des Gesetzes.
- Anlage 1 BSIG („Sektoren besonders wichtiger und wichtiger Einrichtungen”): Energie · Transport und Verkehr · Finanzwesen · Gesundheit · Wasser · Digitale Infrastruktur · Weltraum
- Anlage 2 BSIG („Sektoren wichtiger Einrichtungen”): Post- und Kurierdienste · Abfallbewirtschaftung · Chemie · Lebensmittel · Verarbeitendes Gewerbe · Anbieter digitaler Dienste · Forschung
Drei Einträge überraschen am häufigsten. „Digitale Infrastruktur” erfasst nach Anlage 1 Nummer 6 auch Cloud-Anbieter, Rechenzentrumsdienste sowie Managed Services und Managed Security Services Provider. „Verarbeitendes Gewerbe” nach Anlage 2 Nummer 5 schließt Maschinenbau, Elektrotechnik und Kraftfahrzeugbau ein – Mittelstandsbranchen, die sich nie als kritische Infrastruktur verstanden haben. „Anbieter digitaler Dienste” nach Anlage 2 Nummer 6 ist dagegen eng gefasst: nur Online-Marktplätze, Online-Suchmaschinen und Plattformen sozialer Netzwerke, nicht jedes digitale Angebot. NIS2 ist auch nicht dasselbe wie KRITIS: Betreiber kritischer Anlagen sind eine gesondert geregelte Teilmenge, NIS2 reguliert darüber hinaus.
Trifft beides zu, ordnet das BSIG Ihr Unternehmen einer von zwei Klassen zu. Wer die Richtlinie im Original liest, stolpert über Begriffe: Dort heißen sie wesentliche Einrichtungen und wichtige Einrichtungen, im BSIG besonders wichtige und wichtige. Gemeint ist dasselbe, verbindlich ist hier das BSIG. Die Klasse entscheidet über Aufsichtsintensität und Bußgeldrahmen.
| Besonders wichtige Einrichtungen | Wichtige Einrichtungen | |
|---|---|---|
| Größenschwelle | ab 250 Mitarbeitern oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | ab 50 Mitarbeitern oder über 10 Mio. € Umsatz und Bilanzsumme |
| Sektoren | Anlage 1 BSIG | Anlagen 1 und 2 BSIG |
| Immer erfasst | kritische Anlagen, qualifizierte Vertrauensdienste, DNS, TLD-Registries | kleinere TK-Anbieter |
| Aufsicht durch das BSI | proaktiv, auch ohne Anlass | anlassbezogen, etwa nach einem Vorfall |
| Bußgeld | bis 10 Mio. € | bis 7 Mio. € |
Die Sicherheitspflichten unterscheiden sich nicht: § 30 BSIG gilt für beide Klassen im gleichen Wortlaut. Ein Unternehmen mit 60 Mitarbeitern deckt dieselben zehn Maßnahmenbereiche ab wie ein Konzern – nur die Verhältnismäßigkeit darf sich nach § 30 Abs. 1 Satz 2 BSIG an Größe, Risiko und Kosten orientieren.
Ein Gutachten braucht es dafür nicht: Das BSI stellt eine NIS-2-Betroffenheitsprüfung bereit; das Ergebnis ist laut BSI eine Orientierung ohne rechtliche Bindung, aber die beste kostenlose Entscheidungsgrundlage.
Die wichtigsten Pflichten auf einen Blick
Betroffene Unternehmen müssen vier Pflichtenbereiche abdecken:
- Risikomanagement (§ 30 BSIG): verhältnismäßige und wirksame technische und organisatorische Sicherheitsmaßnahmen nach dem Stand der Technik – von Zugriffskontrolle über Backup bis zur Lieferkette.
- Meldepflicht (§ 32 BSIG): erhebliche Sicherheitsvorfälle gehen an die gemeinsame Meldestelle von BSI und BBK – Erstmeldung innerhalb von 24 Stunden, Folgemeldung innerhalb von 72 Stunden, Abschlussmeldung einen Monat später.
- Registrierung (§ 33 BSIG): spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren – mit Rechtsform, Kontaktdaten, IP-Adressbereichen und Sektorzuordnung. Das BSI weist darauf hin, dass die Frist für schon beim Inkrafttreten betroffene Einrichtungen abgelaufen ist. Die BSI-Registrierung läuft über ELSTER-Organisationszertifikat und BSI-Portal.
- Nachweis und Dokumentation (§ 30 Abs. 1 Satz 3 BSIG): die Einhaltung der Maßnahmenpflicht ist zu dokumentieren – prüffähig, nicht behauptet.
Punkt 4 trifft den Mittelstand hart: Viele tun einiges für ihre Sicherheit, belegen können sie es nicht. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Wie das Betrieb und Nachweise zusammenführt, zeigt die Produktseite.
Welche Sicherheitsmaßnahmen NIS2 konkret verlangt
Hinter dem Risikomanagement steht ein abschließend benannter Katalog. § 30 Abs. 2 BSIG zählt zehn Bereiche auf, die die Maßnahmen „zumindest” umfassen müssen:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen – erkennen, eindämmen, fristgerecht melden
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement – festgehalten in einem IT-Notfallplan
- Sicherheit der Lieferkette gegenüber unmittelbaren Anbietern
- Sicherheit bei Erwerb, Entwicklung und Wartung samt Schwachstellenmanagement
- Bewertung der Wirksamkeit – prüfen, ob die Maßnahmen wirken, nicht nur ob es sie gibt
- Schulungen und Sensibilisierung für alle Beschäftigten
- Kryptografie – Konzepte für den Einsatz von Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
- Multi-Faktor-Authentifizierung und gesicherte Sprach-, Video- und Textkommunikation
Am neunten Punkt bleiben die meisten Mittelständler hängen. Gefordert sind Konzepte für die „Verwaltung von IKT-Systemen, -Produkten und -Prozessen” – übersetzt: Sie müssen jederzeit sagen können, welches Gerät existiert, wem es gehört und welche Software darauf läuft. Eine halbjährlich gepflegte Excel-Liste erfüllt das nicht.
Der Katalog ist viel ohne eigene Sicherheitsabteilung – machbar, wenn jede Position eine Zuständigkeit bekommt. Der Rahmen dafür ist ein schriftliches IT-Sicherheitskonzept, in größeren Häusern ein Managementsystem für Informationssicherheit.
Wir starten jede Zusammenarbeit mit einer Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen und was zuerst dran ist.
Jens HagelGründer & Geschäftsführer
Nachweisen statt behaupten: Dokumentation ist der Compliance-Knackpunkt
Der Satz, der die meiste Arbeit macht, steht unscheinbar am Ende von § 30 Abs. 1 BSIG: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.” Aus einer Handlungspflicht wird eine Beweispflicht: Im Aufsichtsverfahren zählt, was Sie zeigen können.
Konkret: Wer MFA ausgerollt hat, muss belegen, für welche Konten und seit wann. Wer Backups fährt, zeigt den letzten Wiederherstellungstest. Wer Rechte minimal vergibt, braucht eine Änderungshistorie. Daran scheitert die gewachsene IT-Dokumentation im Mittelstand: ein Abbild eines Zeitpunkts, kein Protokoll des Betriebs.
Die gute Nachricht: Ein Portal für Onboarding, Rechtevergabe, Gerätezuordnung und Sicherheitsstatus produziert die Nachweise nebenbei – der Ansatz hinter IT-Sicherheit & Compliance bei kjello.
Es ist immer nur ein Pflaster auf die Wunde geklebt worden, statt dass wir ein Konzept hatten.
Geschäftsführerhaftung und Bußgeld: Was bei Verstößen droht
Der schärfste Hebel ist die Verantwortung an der Spitze. Nach § 38 Abs. 1 BSIG müssen Geschäftsleitungen die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Delegieren an die IT oder einen Dienstleister ist zulässig, das Überwachen nicht. Wer das versäumt, haftet der eigenen Einrichtung nach § 38 Abs. 2 BSIG für den verursachten Schaden.
Ebenso verbindlich ist Absatz 3: Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen, um Risiken selbst bewerten zu können. Eine Schulung nur für die IT-Abteilung erfüllt die Pflicht nicht.
Dazu kommt das Bußgeld. § 65 BSIG staffelt es nach Einrichtungsklasse: Bei Verstößen drohen bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen – erfasst sind unterlassene Sicherheitsmaßnahmen nach § 30, fehlende Dokumentation und verspätete Meldungen. Eine versäumte Registrierung ist mit bis zu 500.000 Euro gesondert bewehrt. Ab einem Gesamtumsatz über 500 Millionen Euro tritt an die Stelle des festen Rahmens ein Anteil des weltweiten Jahresumsatzes aus dem Vorjahr: 2 Prozent bei besonders wichtigen, 1,4 Prozent bei wichtigen Einrichtungen (§ 65 Abs. 6 bis 8 BSIG).
So setzen Sie NIS2 im Mittelstand um
Abarbeiten lässt sich das auch ohne Panik. Fünf Schritte in dieser Reihenfolge:
- Betroffenheit klären. Größe und Sektor prüfen – erst mit der BSI-Betroffenheitsprüfung, im Zweifel fachkundig. Ergebnis schriftlich festhalten, auch wenn es „nicht betroffen" lautet.
- Ist-Zustand aufnehmen. Welche der zehn Maßnahmenbereiche sind abgedeckt, welche nur teilweise, welche gar nicht? Einstieg: unsere IT-Sicherheits-Checkliste für den Mittelstand.
- Gap-Analyse und Priorisierung. Lücken nach Risiko und Aufwand sortieren. MFA und geprüfte Backups zuerst – sie kosten wenig und wirken stark.
- Registrierung und Meldewege einrichten. Beim BSI registrieren und festlegen, wer die 24-Stunden-Meldung absetzt. Diese Rolle braucht eine Vertretung.
- Umsetzen und dokumentieren. Jede Maßnahme bekommt Verantwortlichen, Datum und Nachweis. Ohne den dritten Punkt zählt sie im Aufsichtsfall nicht.
Dass die Liste liegen bleibt, liegt meist an der Kapazität – ein bekanntes Muster bei überlasteten IT-Verantwortlichen.
Zur häufigsten Rückfrage nach den Kosten: kjello Core liegt bei 29 € pro Nutzer und Monat (netto), Antivirus/EDR optional bei +10 €, M365-Lizenzen als Durchleitung. Für 60 Arbeitsplätze sind das 1.740 € im Monat, mit EDR 2.340 € – für Betrieb, Support und dokumentierte Sicherheitsmaßnahmen. Alle Positionen stehen auf der Preisseite.
30 Minuten, kostenlos, ohne Vertriebsdruck – wir gehen die zehn Maßnahmenbereiche durch und sagen ehrlich, was fehlt.
Gespräch vereinbarenAuch wenn NIS2 Sie (noch) nicht betrifft
Viele mittelständische Unternehmen liegen unter der Schwelle – und spüren NIS2 trotzdem. Denn die Lieferkettensicherheit steht im Gesetz: § 30 Abs. 2 Nr. 4 BSIG verpflichtet betroffene Unternehmen, die „sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern” abzusichern. Regulierte Kunden verlangen deshalb Sicherheitsnachweise von ihren Lieferanten, auch wenn diese selbst nicht reguliert sind.
„Wir sind zu klein dafür” ist selten Entwarnung, meist Aufschub: Die Anforderungen kommen als Fragebogen, Vertragsanhang oder Auditfrage zurück – und lauten nicht „Machen Sie IT-Sicherheit?”, sondern „Zeigen Sie es mir.” Wer mit 30 Mitarbeitern die Nachweise liefert, gewinnt Aufträge gegen einen Wettbewerber, der das nicht kann. Steigende Sicherheitsanforderungen zählen zu den IT-Trends, die den Mittelstand 2027 prägen; NIS2 ist ihr sichtbarster Treiber.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Ab welcher Größe ist mein Unternehmen von NIS2 betroffen?
Welche Sektoren fallen unter NIS2?
Seit wann gilt NIS2 in Deutschland?
Was passiert, wenn wir NIS2 nicht umsetzen?
Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?
Welche Fristen gelten für die Meldung von Sicherheitsvorfällen?
Was ändert sich gegenüber der bisherigen NIS-Richtlinie?
Wie prüfe ich, ob mein Unternehmen unter NIS2 fällt?
Reicht eine ISO-27001-Zertifizierung, um NIS2 zu erfüllen?
IT-Sicherheit & Compliance mit kjello
Von Endpoint-Schutz bis Backup und Monitoring: kjello bringt Ihre Sicherheitsmaßnahmen auf einen nachweisbaren Stand – als betreuter Service.
