Warum NIS2 jetzt auf der Agenda jedes Geschäftsführers stehen muss

Die EU-Richtlinie 2022/2555 (NIS2) hat den Kreis der Unternehmen, die verbindliche Cybersicherheitsanforderungen einhalten müssen, drastisch erweitert. Mit dem deutschen NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das 2026 in Kraft getreten ist, gilt: Cyberresilienz ist keine freiwillige Best Practice mehr — sie ist Pflichtprogramm mit persönlicher Haftung der Geschäftsleitung.

Die Vorgängerrichtlinie NIS1 betraf in Deutschland rund 2.000 Unternehmen. NIS2 weitet diesen Kreis nach Schätzungen des BSI auf 30.000 bis 40.000 Unternehmen aus. Viele davon sind mittelständische Firmen, die sich bisher nicht als Teil kritischer Infrastruktur begriffen haben.

Dieser Artikel erklärt, wen NIS2 wirklich trifft, was konkret verlangt wird und wie ein realistischer Umsetzungsweg für den Mittelstand aussieht.

Wer ist wirklich betroffen?

NIS2 unterscheidet zwei Kategorien betroffener Einrichtungen:

Besonders wichtige Einrichtungen (essential entities)

  • Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt
  • Schwellenwert: ≥ 250 Mitarbeiter oder ≥ 50 Mio. € Umsatz (und Bilanzsumme ≥ 43 Mio. €)

Wichtige Einrichtungen (important entities)

  • Erweiterte Sektorliste: Post/Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung
  • Schwellenwert: ≥ 50 Mitarbeiter oder ≥ 10 Mio. € Umsatz

Praxishinweis: Die Sektorenzugehörigkeit entscheidet. Ein Maschinenbaubetrieb mit 60 Mitarbeitern und 12 Mio. € Umsatz fällt als „wichtige Einrichtung" unter NIS2 — auch wenn er nie zuvor reguliert wurde. Ein IT-Dienstleister, der Kritische Infrastruktur betreibt oder Zulieferer für betroffene Unternehmen ist, kann unabhängig von Größe betroffen sein (Zuliefererkettenregel).

Ausnahmen: Kleinstunternehmen (< 10 MA, < 2 Mio. € Umsatz) sind grundsätzlich ausgenommen — es sei denn, sie erbringen Dienste für kritische Infrastruktur.

Was NIS2 konkret fordert

Die Anforderungen nach Art. 21 der Richtlinie 2022/2555 und den entsprechenden §§ des BSIG (n.F.) lassen sich in acht Themenbereiche gliedern:

  1. Risikoanalyse und Sicherheitsrichtlinien — Dokumentiertes Informationssicherheitsmanagementsystem (ISMS)
  2. Business Continuity und Krisenmanagement — Backup-Konzepte, Wiederanlaufpläne, Notfallkommunikation
  3. Lieferkettensicherheit — Bewertung und vertragliche Absicherung von Zulieferern und Dienstleistern
  4. Sicherheit beim Erwerb, Entwicklung und Betrieb von IKT-Systemen — Secure-by-Design-Anforderungen, Patchmanagement
  5. Wirksamkeit von Cybersicherheitsmaßnahmen — Prozesse zur Überprüfung und Verbesserung
  6. Schulungen — Nachweisliche Awareness-Schulungen für Mitarbeiter und Management
  7. Kryptografie — Verschlüsselung von Daten und Kommunikation wo relevant
  8. Zugangs- und Identitätsmanagement — Multi-Faktor-Authentifizierung (MFA), Rechtevergabe nach Least Privilege

Meldepflichten: Bei erheblichen Sicherheitsvorfällen gilt eine mehrstufige Meldekette an das BSI:

  • Innerhalb 24 Stunden: Erstmeldung (Frühwarnung)
  • Innerhalb 72 Stunden: Detailbericht mit Einschätzung des Ausmaßes
  • Innerhalb 1 Monat: Abschlussbericht mit Ursachenanalyse und Maßnahmen

Das wichtigste Detail: Persönliche Geschäftsführerhaftung

NIS2 hat eine Bestimmung, die in keiner Führungsetage übersehen werden darf: Die Geschäftsleitung haftet persönlich für die Einhaltung der Cybersicherheitspflichten.

Nach § 38 BSIG (n.F.) müssen Leitungsorgane:

  • Cybersicherheitsmaßnahmen billigen und überwachen
  • Entsprechende Schulungen nachweislich absolvieren
  • Im Haftungsfall persönlich zur Verantwortung gezogen werden — eine Freistellung durch das Unternehmen ist ausdrücklich ausgeschlossen

Das bedeutet: Cybersicherheit kann nicht mehr vollständig an die IT-Abteilung delegiert werden. Sie ist Chefsache — dokumentiert und nachweisbar.

Bußgelder: Bei Verstößen drohen:

  • Besonders wichtige Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag gilt)
  • Wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

8 konkrete Schritte zur NIS2-Compliance

Schritt 1: Betroffenheit klären — bin ich überhaupt dabei?

Bevor Ressourcen investiert werden, muss die Frage der Betroffenheit präzise beantwortet werden:

  • Sektor prüfen: Fällt das Unternehmen in einen der 18 NIS2-Sektoren?
  • Größenschwellen prüfen: ≥ 50 MA oder ≥ 10 Mio. € Umsatz?
  • Zuliefererkette prüfen: Erbringt das Unternehmen IKT-Dienste für betroffene Einrichtungen?

Betroffene Unternehmen sind verpflichtet, sich beim BSI zu registrieren. Das BSI hat dafür ein Online-Portal eingerichtet. Die Nichtregistrierung ist selbst ein Verstoß.

Schritt 2: Ist-Analyse des Cyber-Reifegrades

Wo steht das Unternehmen heute? Eine strukturierte Gap-Analyse deckt auf, welche Anforderungen bereits erfüllt sind und wo Handlungsbedarf besteht. Bewährte Frameworks für die Analyse:

  • BSI IT-Grundschutz (deutschsprachig, kostenlos verfügbar)
  • ISO/IEC 27001 (international anerkannt, zertifizierbar)
  • CIS Controls (praxisnah, skalierbar)

Für den Mittelstand ohne eigene IT-Security-Abteilung empfiehlt sich das BSI-Kompendium als Startpunkt. Es gibt einen praxisnahen Überblick ohne sofort einen 200-seitigen Bericht zu erfordern.

Schritt 3: Governance und GF-Verantwortung schriftlich fixieren

Das Leitungsorgan muss die Cybersicherheitsverantwortung formell übernehmen:

  • Sicherheitsrichtlinie (Information Security Policy) verabschieden — mindestens eine Seite, formal beschlossen
  • Verantwortlichkeiten klar benennen: Wer ist intern für Sicherheitsvorfälle zuständig?
  • Schulungsnachweis für Geschäftsführung dokumentieren (Datum, Inhalt, Teilnehmer)

Dieser Schritt klingt bürokratisch, ist aber bei einer Prüfung oder einem Vorfall der erste Punkt, nach dem gefragt wird.

Schritt 4: Technische Basismaßnahmen implementieren

Die technischen Mindestanforderungen für eine NIS2-konforme Infrastruktur:

  • Multi-Faktor-Authentifizierung (MFA): Für alle externen Zugänge, E-Mail-Konten, Cloud-Dienste und privilegierten Zugriffe verpflichtend
  • Endpoint Detection & Response (EDR): Moderner Malware-Schutz mit Verhaltensanalyse statt reiner Signaturerkennung
  • Backup-Konzept: 3-2-1-Regel (3 Kopien, 2 unterschiedliche Medien, 1 offline/off-site); regelmäßige Restore-Tests
  • Patchmanagement: Definierter Prozess für kritische Sicherheitspatches (Ziel: kritische Patches innerhalb von 72 Stunden, andere innerhalb von 30 Tagen)
  • Netzwerksegmentierung: Trennung von OT/IT-Netz, Gastnetzwerken, kritischen Systemen
  • Verschlüsselung: E-Mails, Dateiübertragungen, Datenbanken mit personenbezogenen Daten

Schritt 5: Zuliefererkette bewerten und absichern

NIS2 schreibt ausdrücklich vor, die Sicherheit der Lieferkette zu bewerten. Konkret bedeutet das:

  • Kritische Dienstleister und Softwarelieferanten identifizieren
  • Bestehende Verträge prüfen: Gibt es Regelungen zu Datensicherheit, Vorfallsmeldung, Audit-Rechten?
  • Bei neuen Verträgen: Sicherheitsanforderungen als Standard-Klausel aufnehmen
  • Für besonders kritische Dienstleister: regelmäßige Sicherheitsfragebögen oder Zertifikatsnachweise (z.B. ISO 27001) anfordern

Das ist keine einmalige Aufgabe, sondern ein laufender Prozess.

Schritt 6: Incident-Response-Plan mit Meldeketten erstellen

Ein Sicherheitsvorfall passiert immer dann, wenn man am wenigsten darauf vorbereitet ist. Der Incident-Response-Plan legt vor dem Ernstfall fest:

  • Erkennungsphase: Welche Systeme/Tools erkennen Anomalien?
  • Eindämmungsphase: Wer hat die Befugnis, Systeme vom Netz zu nehmen?
  • Meldekette: Wer informiert intern (GF, IT, Rechtsabteilung) und extern (BSI, ggf. Datenschutzbehörde nach DSGVO Art. 33)?
  • Dokumentation: Lückenlose Protokollierung aller Maßnahmen (relevant für die 72h-Meldung)
  • Kommunikation: Wer kommuniziert mit Kunden, Lieferanten, Presse?

Der Plan muss regelmäßig geübt werden — mindestens einmal jährlich durch eine Tabletop-Übung.

Schritt 7: Mitarbeiterschulung und Awareness

Nach BSI-Statistiken sind über 80 % der erfolgreichen Cyberangriffe auf menschliches Fehlverhalten zurückzuführen. NIS2 macht Schulungen zur Pflicht:

  • Regelmäßige Pflichtschulungen zu Phishing, Social Engineering, sicherem Umgang mit Passwörtern
  • Nachweisdokumentation (wer hat wann welche Schulung absolviert?)
  • Spezifische Schulungen für privilegierte Nutzer (IT-Admins, Buchhaltung, Geschäftsführung)
  • Phishing-Simulationen als praxisnaher Test

Onlinetools wie KnowBe4, Proofpoint Security Awareness oder die kostenfreien Materialien des BSI bieten geeignete Schulungsinhalte für KMU.

Schritt 8: Dokumentation und wiederkehrende Audits

Compliance ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Strukturell notwendig:

  • Dokumentiertes ISMS: Alle Richtlinien, Risikoanalysen, Maßnahmen schriftlich und versioniert
  • Internes Audit: Mindestens jährliche Überprüfung der Wirksamkeit der Maßnahmen
  • Externe Prüfung: Für besonders wichtige Einrichtungen schreibt NIS2 regelmäßige externe Audits vor
  • Change Management: Jede wesentliche Änderung an IT-Systemen oder Prozessen muss sicherheitsrelevant bewertet werden

Wo KMU realistisch anfangen

Wer als Mittelständler bei Null startet, sollte Prioritäten setzen:

  1. Zuerst: Betroffenheit klären + BSI-Registrierung
  2. Innerhalb von 3 Monaten: MFA aktivieren, Backup-Konzept testen, GF-Verantwortung dokumentieren
  3. Innerhalb von 6 Monaten: Ist-Analyse durchführen, Incident-Response-Plan erstellen
  4. Bis zum Ende des ersten Jahres: Mitarbeiterschulungen, Lieferkettenbewertung, erstes internes Audit

Vollständige ISO-27001-Zertifizierung ist für die meisten KMU nicht das erste Ziel — aber ein dokumentierter, nachvollziehbarer Sicherheitsprozess auf Basis des BSI IT-Grundschutzes ist realistisch und ausreichend für den Einstieg.

FAQ zu NIS2

Bin ich als GmbH mit 60 Mitarbeitern und 15 Mio. € Umsatz im verarbeitenden Gewerbe betroffen? Sehr wahrscheinlich ja. Das verarbeitende Gewerbe ist ein NIS2-Sektor, und Sie überschreiten die Schwellenwerte für wichtige Einrichtungen (≥ 50 MA, ≥ 10 Mio. € Umsatz). Prüfen Sie zusätzlich, ob Sie IKT-Dienstleistungen für andere betroffene Einrichtungen erbringen — dann könnte sogar die strengere Kategorie greifen.

Reicht eine ISO-27001-Zertifizierung für NIS2-Compliance? ISO 27001 deckt viele NIS2-Anforderungen ab, ist aber kein formaler Nachweis der NIS2-Compliance. Das BSI erkennt ISO 27001 als wichtigen Baustein an. Eine vollständige Entsprechung aller NIS2-spezifischen Anforderungen (insbesondere Meldepflichten, Lieferkette, spezifische technische Maßnahmen) muss zusätzlich dokumentiert werden.

Muss ich als GmbH-Geschäftsführer eine Cybersicherheitsschulung absolvieren? Ja. Nach § 38 BSIG (n.F.) sind Leitungsorgane verpflichtet, an Schulungen zu Cybersicherheitsrisiken teilzunehmen. Der Nachweis muss dokumentiert werden.

Was gilt, wenn ein Sicherheitsvorfall bei einem meiner Lieferanten stattfindet? Wenn der Vorfall Ihren Betrieb oder Ihre Daten betrifft, sind Sie möglicherweise selbst meldepflichtig. Zudem sind Sie nach NIS2 verpflichtet, Sicherheitsvorfälle in Ihrer Lieferkette im Blick zu haben und zu bewerten.

Wann startet die Registrierungspflicht beim BSI? Mit Inkrafttreten des NIS2UmsuCG 2026. Unternehmen, die unter NIS2 fallen, müssen sich beim BSI registrieren und grundlegende Kontaktdaten sowie den zugehörigen Sektor melden. Genaue Fristen sind dem aktuellen BSI-Leitfaden zu entnehmen.

Gilt NIS2 auch für ausländische Unternehmen mit Niederlassung in Deutschland? Grundsätzlich ja, wenn die Niederlassung in Deutschland relevante Dienste erbringt. Die genaue Zuordnung hängt vom Hauptniederlassungsprinzip der Richtlinie ab.

Wie unterscheidet sich NIS2 von DSGVO in der Praxis? DSGVO regelt den Schutz personenbezogener Daten. NIS2 regelt die Cybersicherheit von Netzwerken und Informationssystemen — unabhängig davon, ob personenbezogene Daten involviert sind. Beide Regelwerke ergänzen sich, haben aber unterschiedliche Aufsichtsbehörden (Datenschutz-Aufsichtsbehörden vs. BSI) und unterschiedliche Sanktionsrahmen.

Was passiert, wenn ich die Meldepflicht nicht einhalte? Neben dem Bußgeldrahmen (bis 7 bzw. 10 Mio. €) kann das BSI Anordnungen erlassen, Zertifizierungen widerrufen und — bei besonders wichtigen Einrichtungen — die Ausübung von Leitungsfunktionen vorübergehend untersagen.

Was NIS2 von KRITIS unterscheidet — und warum das für KMU relevant ist

Viele Mittelständler verwechseln NIS2 mit der deutschen KRITIS-Regulierung (Kritische Infrastruktur nach BSI-KritisV). Der Unterschied ist bedeutsam:

  • KRITIS (BSI-KritisV) betrifft Betreiber kritischer Infrastruktur ab bestimmten Versorgungsschwellenwerten (z.B. Energieversorger, die >500.000 Menschen versorgen). Sehr große Einrichtungen, sehr strenge Anforderungen.
  • NIS2 geht deutlich breiter: Es betrifft Unternehmen in 18 Sektoren ab 50 Mitarbeitern bzw. 10 Mio. € Umsatz. Kein Versorgungsschwellenwert, keine Größenausnahme außer für echte Kleinstunternehmen.

Ein mittelständischer Maschinenbaubetrieb ist kein KRITIS-Betreiber. Aber er kann trotzdem unter NIS2 fallen — und das übersehen viele.

Zusätzlich gibt es eine Wechselwirkung mit dem Cyber Resilience Act (CRA), der ab 2027 für alle Hersteller von Produkten mit digitalen Elementen (Software, vernetzte Hardware) gilt. Wer Hardware oder Software verkauft, muss künftig Cybersicherheit in den Produktlebenszyklus integrieren — und das tangiert viele mittelständische Hersteller zusätzlich zu NIS2.

Bodenova begleitet KMU auch beim Thema CRA-Readiness. Mehr dazu auf unserer Branchenübersicht.

Fazit: NIS2 ist Chefsache — und das ist wörtlich gemeint

NIS2 ist keine IT-Angelegenheit, die man delegieren und vergessen kann. Die persönliche Haftung der Geschäftsleitung macht Cybersicherheit zu einem strategischen Unternehmensthema. Die gute Nachricht: Wer strukturiert vorgeht, die acht Schritte pragmatisch abarbeitet und die BSI-Ressourcen nutzt, kann mit überschaubarem Aufwand eine solide Compliance-Basis aufbauen.

Sie möchten wissen, ob Ihr Unternehmen unter NIS2 fällt, und brauchen Unterstützung bei der Ist-Analyse oder der technischen Umsetzung? Bodenova begleitet KMU von der Betroffenheitsprüfung bis zur dokumentierten Compliance. Kontaktieren Sie uns: bode@bodenova.de, +49 178 7570539 oder direkt über unser Kontaktformular.

Weiterführend: E-Rechnungspflicht 2025–2028 — ein weiteres Compliance-Thema, das gleichzeitig auf der Agenda vieler KMU steht.