Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Damit ist die Diskussion darüber, ob und wann es kommt, beendet. Die Frage lautet jetzt: Gilt es für uns, und was heißt das konkret?
Viele Geschäftsführer im Mittelstand haben diese Frage bis heute nicht beantwortet. Das liegt weniger an Nachlässigkeit als an der Darstellung des Themas. Der Gesetzestext arbeitet mit Anlagen, Verweisen auf EU-Richtlinien und Schwellenwerten, die sich nicht in zwei Sätzen zusammenfassen lassen.
Dieser Beitrag macht daraus vier Prüfschritte. Danach wissen Sie, ob Sie gemeint sind. Anschließend geht es um den Punkt, den fast alle übersehen: Auch Betriebe, die nicht unter das Gesetz fallen, bekommen die Anforderungen über ihre Kunden auf den Tisch.
Schritt 1: Arbeitet Ihr Betrieb in einem der erfassten Sektoren?
Das Gesetz gilt nicht für die Wirtschaft insgesamt, sondern für aufgezählte Sektoren. Sie stehen in den Anlagen 1 und 2 des BSIG.
Anlage 1, Sektoren mit hoher Kritikalität:
- Energie
- Transport und Verkehr
- Finanz- und Versicherungswesen
- Gesundheitswesen
- Trinkwasser und Abwasser
- Digitale Infrastruktur
- Verwaltung von IKT-Diensten
- Weltraumtechnik
- Öffentliche Verwaltung
Anlage 2, sonstige kritische Sektoren:
- Transport und Verkehr in Teilbereichen
- Abfallbewirtschaftung
- Produktion, Herstellung und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Verarbeitendes Gewerbe und Herstellung von Waren
- Anbieter digitaler Dienste
- Forschung
Wenn Ihr Betrieb in keinem dieser Sektoren tätig ist: Sie sind nicht direkt betroffen. Springen Sie zu Schritt 4, der für Sie trotzdem relevant ist.
Wenn Ihr Betrieb in einem dieser Sektoren tätig ist: weiter zu Schritt 2.
Der Punkt, an dem sich viele verrechnen
„Verarbeitendes Gewerbe und Herstellung von Waren“ in Anlage 2 klingt so breit, dass sich jeder Produktionsbetrieb angesprochen fühlt. Der Sektor ist im Gesetz jedoch über konkrete Wirtschaftszweige eingegrenzt. Ein Handwerksbetrieb, der Anlagen montiert und wartet, ist etwas anderes als ein Hersteller von Datenverarbeitungsgeräten oder Medizinprodukten.
Verlassen Sie sich hier nicht auf Ihr Gefühl, sondern auf die Anlage. Und nutzen Sie im Zweifel die Betroffenheitsprüfung des BSI, die weiter unten verlinkt ist.
Schritt 2: Erreicht Ihr Betrieb die Größenschwellen?
Auch innerhalb der erfassten Sektoren gilt das Gesetz nicht für jeden Betrieb. Maßgeblich sind Mitarbeiterzahl, Umsatz und Bilanzsumme nach § 28 BSIG.
Besonders wichtige Einrichtung, wenn eine der beiden Bedingungen erfüllt ist:
- mindestens 250 Mitarbeitende, oder
- Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro
Wichtige Einrichtung, wenn eine der beiden Bedingungen erfüllt ist:
- mindestens 50 Mitarbeitende, oder
- Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro
Achten Sie auf das Zusammenspiel von „oder“ und „und“. Bei der Mitarbeiterzahl genügt das Erreichen der Schwelle allein. Bei den Finanzkennzahlen müssen beide Werte überschritten sein.
Unter 50 Mitarbeitende und unter den Finanzschwellen: In der Regel nicht direkt betroffen, sofern kein Sonderfall aus Schritt 3 vorliegt.
Vorsicht bei Konzern- und Verbundstrukturen
Die Werte werden nicht immer nur für die einzelne GmbH gerechnet. Bei verbundenen Unternehmen kann eine Zusammenrechnung nach den EU-Regeln zur Definition kleiner und mittlerer Unternehmen greifen. Ein Betrieb mit 40 Mitarbeitenden, der zu einer größeren Gruppe gehört, kann dadurch in den Anwendungsbereich rutschen. Wer in einer solchen Struktur steckt, sollte das prüfen lassen und sich nicht auf die eigene Kopfzahl verlassen.
Schritt 3: Liegt ein Sonderfall vor, der unabhängig von der Größe gilt?
Einige Einrichtungen sind erfasst, egal wie klein sie sind. Dazu gehören:
- Betreiber kritischer Anlagen im Sinne der KRITIS-Regelungen
- Anbieter öffentlicher Telekommunikationsnetze und öffentlich zugänglicher Telekommunikationsdienste
- Vertrauensdiensteanbieter
- DNS-Diensteanbieter und Namensregister für Domänen oberster Stufe
Wenn einer dieser Punkte auf Ihren Betrieb zutrifft, sind Sie unabhängig von Mitarbeiterzahl und Umsatz erfasst.
Schritt 4: Kommen die Anforderungen über Ihre Kunden zu Ihnen?
Das ist der Schritt, der in den meisten Darstellungen fehlt, und für den Bremer Mittelstand der wichtigste.
Zu den Pflichten betroffener Unternehmen gehört die Sicherheit der Lieferkette. Sie müssen die Cybersicherheitspraxis ihrer unmittelbaren Anbieter und Dienstleister bewerten und berücksichtigen. Das BSI formuliert die Konsequenz ungewöhnlich deutlich: Betroffene Einrichtungen können unter Umständen nicht mehr mit jedem Anbieter zusammenarbeiten, ohne Pflichtverstöße zu riskieren.
Für Sie als Zulieferer heißt das: Sie unterliegen dem Gesetz nicht, aber Ihr Kunde muss Ihre Sicherheit nachweisen können. In der Praxis passiert das über Verträge, Fragebögen und Nachweise.
Woran Sie merken, dass es Sie erreicht:
- Ein Kunde schickt einen Sicherheitsfragebogen, der deutlich länger ist als früher.
- In einer Vertragsverlängerung tauchen neue Klauseln zu Meldepflichten, Mindestmaßnahmen oder Auditrechten auf.
- Bei einer Ausschreibung werden Nachweise zur Informationssicherheit verlangt, wo vorher der Preis entschied.
- Ein Auftraggeber fragt nach Ihrer Reaktionszeit bei Sicherheitsvorfällen und danach, wen er nachts erreicht.
Wer diese Fragen sauber beantworten kann, gewinnt Aufträge. Wer sie nicht beantworten kann, verliert sie an einen Wettbewerber, der es kann. Das ist der eigentliche wirtschaftliche Hebel von NIS2 für kleinere Betriebe, und er wirkt unabhängig davon, ob das Gesetz für Sie gilt.
Ein Nebeneffekt, den viele unterschätzen: Auch wer seine IT vollständig ausgelagert hat, bleibt selbst verantwortlich. Der Vertrag mit dem Dienstleister verschiebt die Pflicht nicht.
Sonderfall Pflege: Was hier fast überall falsch steht
Weil das Gesundheitswesen in Anlage 1 steht, gehen viele Beiträge davon aus, dass Pflegeeinrichtungen unter NIS2 fallen. Das ist nach Darstellung des BSI nicht der Fall.
Das BSI stellt in seinem Infopaket zum Gesundheitswesen ausdrücklich klar, dass ambulante Pflegedienste, Pflegeheime sowie Einrichtungen der Tages- und Kurzzeitpflege grundsätzlich nicht in den Geltungsbereich des BSIG fallen und eine Registrierung in der Regel nicht notwendig ist. Grund ist der Zuschnitt der zugrunde liegenden EU-Patientenmobilitätsrichtlinie, die Leistungen der Langzeitpflege ausnimmt.
Erfasst sind dagegen Krankenhäuser und bestimmte Gesundheitsdienstleister, etwa Labore, Apotheken und Rettungsdienste, jeweils bei Erreichen der Schwellenwerte oder als Betreiber kritischer Anlagen. Eine Einzelfallprüfung kann nötig sein, wenn medizinische Leistungen einen erheblichen Teil der Tätigkeit ausmachen, was eher auf Hospize zutrifft als auf klassische Pflegeeinrichtungen.
Was das praktisch bedeutet: Wenn Sie ein Pflegeheim betreiben, brauchen Sie sich wegen NIS2 in der Regel nicht zu registrieren. Die Risiken bleiben trotzdem dieselben. Bewohnerdaten, Pflegedokumentation und Abrechnung sind für Angreifer attraktiv, und die Anforderungen aus der DSGVO gelten unverändert. Wir haben die typischen Themen auf unserer Seite zur IT für Pflegeeinrichtungen zusammengefasst.
Lassen Sie sich von keinem Anbieter ein NIS2-Paket verkaufen, ohne dass er Ihnen zeigen kann, warum Sie betroffen sein sollen.
Die Pflichten der Geschäftsleitung
NIS2 verschiebt die Verantwortung ausdrücklich weg von der IT-Abteilung und hin zur Unternehmensleitung. Die Präsidentin des BSI, Claudia Plattner, formuliert es so: Die Richtlinie mache Cybersicherheit zur Chefinnen- und Chefsache.
Die Geschäftsleitung betroffener Einrichtungen muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich zu Fragen der Bewertung und des Managements von Cyberrisiken schulen lassen. Die Schulungspflicht steht in § 38 Absatz 3 BSIG. Das BSI stellt dafür eine eigene Geschäftsleitungsschulung als kostenfreies Dokument bereit.
Das Delegieren an den IT-Dienstleister funktioniert bei der operativen Umsetzung, nicht bei der Verantwortung. Wer als Geschäftsführer unterschreibt, ohne verstanden zu haben, was er unterschreibt, hat die Pflicht nicht erfüllt.
Zur persönlichen Haftung: Nach dem Gesetzgebungsverfahren war vorgesehen, dass die Einrichtung bei Pflichtverletzungen der Geschäftsleitung Ersatzansprüche geltend machen kann und ein Verzicht darauf unwirksam ist. Ob dieser Teil im Wortlaut des verabschiedeten Gesetzes so enthalten ist, sollte im Einzelfall anwaltlich geprüft werden. Fest steht die Pflichtenlage aus Billigung, Überwachung und Schulung.
Was Sie mit vorhandener Technik bereits abdecken
Das Gesetz verlangt in § 30 Absatz 2 BSIG einen Katalog von Risikomanagementmaßnahmen. Für Betriebe mit ordentlich betreuter IT ist ein großer Teil davon bereits vorhanden. Der Aufwand liegt häufig weniger in neuer Technik als im Nachweis.
Was in gut betreuten Betrieben meist schon läuft:
- Firewall, Endpoint-Schutz und Mail-Sicherheit
- Backups mit definiertem Rhythmus
- Zugriffskontrolle über Benutzerkonten und Rechtegruppen
- Verschlüsselung bei Übertragung und auf mobilen Geräten
- Patch- und Updateprozesse
Was in der Praxis meistens fehlt:
- Dokumentation der Maßnahmen. Das Gesetz verlangt nicht nur, dass etwas getan wird, sondern dass es nachvollziehbar ist. Wer alles richtig macht und nichts aufschreibt, erfüllt die Anforderung nicht.
- Getestete Wiederherstellung. Ein Backup, das nie zurückgespielt wurde, ist ein Versprechen, keine Maßnahme. Die Wiederherstellung gehört getestet und protokolliert.
- Ein Plan für den Vorfall. Wer wird informiert, wer entscheidet, wer meldet, in welcher Reihenfolge. Das gehört aufgeschrieben und geübt.
- Multi-Faktor-Authentifizierung flächendeckend. Häufig für einzelne Dienste aktiv, selten überall, wo sie hingehört.
- Sensibilisierung der Mitarbeitenden. Regelmäßig und dokumentiert, nicht einmalig beim Onboarding.
- Bewertung der eigenen Lieferanten. Der Punkt, den fast niemand angefangen hat.
- Wirksamkeitsprüfung. Ein Verfahren, mit dem Sie feststellen, ob die Maßnahmen tatsächlich wirken.
Der ehrliche Befund: Die technische Investition ist bei ordentlich betreuter IT überschaubar. Der Aufwand steckt in Struktur, Dokumentation und Regelmäßigkeit. Genau deshalb ist NIS2 kein Produkt, das man kauft, sondern eine Arbeitsweise, die man einführt.
Meldepflichten und Registrierung
Registrierung: Betroffene Einrichtungen müssen sich beim BSI registrieren, nach § 33 Absatz 6 BSIG innerhalb von drei Monaten ab Eintritt der Betroffenheit. Die erste Frist nach Inkrafttreten ist inzwischen abgelaufen. Das BSI weist auf seiner Seite ausdrücklich darauf hin, dass noch nicht registrierte Betroffene sich umgehend registrieren sollen. Der Weg führt über ein ELSTER-Organisationszertifikat und das BSI-Portal.
Meldung von Sicherheitsvorfällen in drei Stufen:
- Innerhalb von 24 Stunden nach Kenntnis: frühe Erstmeldung mit vorläufiger Einschätzung
- Innerhalb von 72 Stunden nach Kenntnis: Folgemeldung mit Ursache, Schweregrad und Auswirkungen
- Innerhalb eines Monats: Abschlussmeldung, oder eine weitere Folgemeldung, falls der Vorfall noch andauert
Die 24-Stunden-Frist ist der Punkt, an dem Betriebe ohne vorbereiteten Ablauf scheitern. Sie beginnt mit der Kenntnis, nicht mit der abgeschlossenen Analyse. Wer erst dann anfängt zu klären, wer meldet und über welchen Zugang, verliert die Frist.
Die offizielle Betroffenheitsprüfung des BSI
Das BSI stellt eine kostenfreie Betroffenheitsprüfung bereit, mit der Sie Ihre Einrichtung einordnen können:
betroffenheitspruefung-nis-2.bsi.de
Das BSI weist selbst darauf hin, dass das Ergebnis unverbindlich ist, keine Rechtsberatung ersetzt und das BSI keine verbindliche Auskunft zur individuellen Betroffenheit gibt. Als erste Orientierung ist das Werkzeug trotzdem der beste Startpunkt, weil es direkt von der zuständigen Behörde kommt.
Häufige Fragen
Seit wann gilt NIS2 in Deutschland?
Ist unser Handwerksbetrieb mit 30 Mitarbeitenden betroffen?
Fallen Pflegeheime unter NIS2?
Können wir die Verantwortung an unseren IT-Dienstleister abgeben?
Die Umsetzung ja, die Verantwortung nein. Auch bei vollständig ausgelagerter IT bleibt die Einrichtung selbst verantwortlich. Ein guter Dienstleister liefert Ihnen die Maßnahmen und die Nachweise, mit denen Sie Ihre Pflicht erfüllen können.
Was kostet die Umsetzung?
Ein sinnvoller erster Schritt
Wenn Sie nach diesem Beitrag nicht sicher sind, ob Sie betroffen sind, machen Sie zuerst die Betroffenheitsprüfung des BSI. Das kostet zwanzig Minuten und beantwortet die wichtigste Frage.
Fällt das Ergebnis positiv aus, folgt die Bestandsaufnahme: Was ist bereits vorhanden, was ist dokumentiert, wo sind die Lücken. Diese Aufnahme lohnt sich auch dann, wenn Sie nicht betroffen sind. Sie ist die Grundlage für jeden Kundenfragebogen, der in den nächsten Monaten bei Ihnen ankommt.
ZANONI Consulting betreut mittelständische Unternehmen im Raum Bremen als externe IT-Abteilung. Wir setzen ausschließlich Firewall-Hersteller aus Deutschland ein und betreiben ein eigenes Rechenzentrum in Bremen nach ISO 27001, was bei Fragen zur Datenverarbeitung und Lieferkette die Antwort deutlich vereinfacht. Was wir im Bereich Sicherheit konkret leisten, steht auf unserer Seite zur IT-Sicherheit, zur Datenhaltung finden Sie Details bei den Cloud-Lösungen.
Hinweis: Wir sind keine Rechtsberatung. Für die verbindliche Einordnung Ihrer Betroffenheit und für Fragen zur Haftung der Geschäftsleitung sprechen Sie mit einem Fachanwalt. Für die technische und organisatorische Umsetzung sind wir der richtige Ansprechpartner.