NIS2 trifft mehr Betriebe als gedacht.

NIS2 ist eine EU-Richtlinie zur Cybersicherheit. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz in nationales Recht gegossen; es gilt seit dem 6. Dezember 2025, ohne Übergangsfrist.

Der Grund, warum das auch kleine Betriebe angeht, ist nicht das Gesetz selbst, sondern die Lieferkette. Dazu unten mehr.

Bin ich betroffen?

Zwei Fragen entscheiden: Größe und Branche.

Die Größenschwelle. Betroffen ist grundsätzlich, wer mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Jahresumsatz und eine Bilanzsumme über 10 Millionen Euro.

Wer darunter liegt, ist in aller Regel nicht direkt betroffen. Für den typischen Handwerksbetrieb, den Einzelhändler oder die Praxis heißt das: nein.

Die Branche. Zusätzlich muss der Betrieb in einen der aufgeführten Sektoren fallen. Anlage 1 nennt unter anderem Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienstleistungen und öffentliche Verwaltung. Anlage 2 kommt breiter daher: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.

Besonders „verarbeitendes Gewerbe“ und „Lebensmittel“ fangen mehr Mittelständler ein, als man auf den ersten Blick vermutet.

Wichtig und besonders wichtig

Das Gesetz unterscheidet zwei Klassen. Besonders wichtige Einrichtungen sind Betriebe aus Anlage-1-Sektoren ab 250 Beschäftigten oder mehr als 50 Millionen Umsatz bei über 43 Millionen Bilanzsumme. Alles andere oberhalb der Grundschwelle zählt als wichtige Einrichtung.

Der Unterschied wirkt sich auf die Aufsicht und die Bußgeldhöhe aus, nicht auf die grundsätzlichen Pflichten.

Die Registrierung

Betroffene Betriebe müssen sich beim BSI registrieren. Die gesetzliche Frist lief drei Monate nach Inkrafttreten ab, also am 6. März 2026. Weil sich bis Mai erst rund 18.500 von geschätzt 29.500 betroffenen Unternehmen gemeldet hatten, hat das BSI gegenüber Branchenverbänden einen Nachholtermin zum 31. Juli 2026 kommuniziert.

Dabei lohnt eine Unterscheidung, die in vielen Beiträgen untergeht: Dieser Nachholtermin war keine Fristverlängerung. Er hat die gesetzliche Frist nicht verschoben und war auch kein Verzicht auf Sanktionen — er war ein Angebot, sich ohne großes Aufheben nachzumelden.

Für die Praxis heißt das: Beide Termine sind vorbei, und die Pflicht besteht trotzdem weiter. Sie erlischt nicht durch Zeitablauf, sondern erst durch die Registrierung. Wer betroffen ist und sich noch nicht gemeldet hat, holt das jetzt nach — je länger man wartet, desto schwerer fällt später das Argument, es sei einem nicht aufgefallen.

Wer die Registrierung versäumt, riskiert bis zu 500.000 Euro, allerdings nur bei nachweisbarem Verschulden, also Vorsatz oder Fahrlässigkeit. Bei inhaltlichen Verstößen wird es deutlich teurer: bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes für wichtige, bis zu 10 Millionen oder 2 Prozent für besonders wichtige Einrichtungen.

Der Punkt, der auch Kleine trifft

Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Das heißt in der Praxis: Sie geben die Anforderungen an ihre Zulieferer und Dienstleister weiter.

Wenn Sie also einen Kunden haben, der unter NIS2 fällt, kann es gut sein, dass Sie demnächst einen Fragebogen bekommen — zu Ihren Sicherungen, Ihrem Umgang mit Zugängen, Ihrem Vorgehen bei Störungen. Nicht weil das Gesetz Sie erfasst, sondern weil Ihr Kunde belegen muss, dass er seine Zulieferer geprüft hat.

Das ist derzeit der häufigste Weg, auf dem NIS2 in kleinen Betrieben ankommt.

Was verlangt wird

Die Pflichten sind bewusst allgemein gehalten. Im Kern:

Risikomanagement — wissen, was schiefgehen kann, und Maßnahmen dagegen haben.

Meldepflichten bei erheblichen Sicherheitsvorfällen, mit kurzen Fristen für die Erstmeldung.

Sicherung und Wiederherstellung — ein Thema, das nicht zufällig überall auftaucht.

Zugangskontrolle, Mehr-Faktor-Anmeldung, Verschlüsselung.

Verantwortung der Geschäftsleitung. Das ist der schärfste Punkt: Die Leitung muss die Maßnahmen billigen, überwachen und sich schulen lassen. Delegieren an „die IT“ reicht nicht.

Was wir raten

Wenn Sie unter der Schwelle liegen: entspannt bleiben, aber vorbereitet sein. Wenn ein Kunde fragt, sollten Sie Antworten haben — zu Sicherungen, Zugängen und dem, was bei einem Ausfall passiert. Wer da nichts sagen kann, verliert im Zweifel einen Auftrag.

Wenn Sie darüber liegen: zuerst prüfen lassen, ob Ihr Sektor erfasst ist, dann die Registrierung erledigen — und die Prüfung schriftlich festhalten, auch wenn sie negativ ausfällt. Wer später erklären muss, warum er sich nicht gemeldet hat, ist mit einem datierten Blatt Papier deutlich besser dran als mit einer Erinnerung.

Und in beiden Fällen: Vieles von dem, was NIS2 verlangt, ist ohnehin sinnvoll. Eine Sicherung, die zurückgespielt wurde. Konten, die beim Ausscheiden gesperrt werden. Ein Zettel, auf dem steht, wen man anruft, wenn nichts mehr geht.