Die NIS2-Richtlinie: Was deutsche KMU jetzt wissen müssen

NIS2 ist seit dem 6. Dezember 2025 in Deutschland durch das NIS2 Um siCH verbindliches Recht, ohne Übergangsfrist. Betroffen sind rund 29.500 Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem von 18 definierten Sektoren, darunter unter anderem digitale Infrastruktur, Gesundheitswesen, Energie, Verkehr und bestimmte Zulieferbereiche. Betroffene Unternehmen mussten sich bis zum 6. März 2026 beim BSI-Meldeportal registrieren, müssen zehn Mindestmaßnahmen nach § 30 BSIG umsetzen und Sicherheitsvorfälle innerhalb von 24 Stunden melden. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, und die Geschäftsleitung haftet nach § 38 BSIG persönlich, mit dem Privatvermögen.

Key Takeaways

• NIS2 gilt seit 6. Dezember 2025 in Deutschland, die Registrierungsfrist beim BSI endete am 6. März 2026
• Rund 29.500 Unternehmen sind direkt betroffen, viele davon KMU, die die Schwellenwerte gerade überschreiten
• § 30 BSIG schreibt zehn konkrete Mindestmaßnahmen für das Risikomanagement vor
• Die Geschäftsleitung haftet nach § 38 BSIG persönlich und muss selbst an Cybersicherheit Schulungen teilnehmen
• Bußgelder reichen je nach Einrichtungstyp bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes
• Auch nicht direkt betroffene Zulieferer geraten zunehmend über die Lieferkettensicherheit ihrer Kunden ins Visier

Warum NIS2 gerade jetzt bei so vielen Geschäftsführungen im Münsterland ankommt

Noch vor zwei Jahren hätte kaum ein mittelständischer Betrieb im Münsterland von sich aus gefragt, ob er eigentlich NIS2-pflichtig ist. 2026 stellt sich diese Frage praktisch in jedem zweiten Beratungsgespräch, das wir führen. Der Grund liegt in der Reichweite des Gesetzes: Anders als der Vorgänger NIS1 zieht NIS2 den Kreis der betroffenen Unternehmen deutlich weiter, und die deutsche Umsetzung über das NIS2 UmtausCH lässt praktisch keinen Interpretationsspielraum.

Wer als Geschäftsführung eines Zulieferbetriebe, einer Praxisgruppe oder eines produzierenden Unternehmens im Münsterland Post vom BSI bekommt, oder von einem Kunden nach dem eigenen Sicherheitsstand gefragt wird, steht plötzlich vor einer Reihe sehr konkreter Fragen. Dieser Artikel beantwortet sie systematisch.

Definition: Was ist NIS2 eigentlich?

NIS2 ist eine EU-Richtlinie zur Netzwerk- und Informationssicherheit, die in Deutschland über das NIS2-Umsetzungs- und Cybersicherheit Stärkungsgesetz (NIS2 UmtausCH) in nationales Recht überführt wurde. Das Gesetz wurde am 13. November 2025 vom Bundestag verabschiedet, am 20. November 2025 vom Bundesrat bestätigt und trat am 6. Dezember 2025 in Kraft, ohne Übergangsfrist.

Ziel des Gesetzes ist es, die Cybersicherheit kritischer und wichtiger Wirtschaftsbereiche EU-weit auf ein einheitliches, überprüfbares Niveau zu heben. Für Unternehmen bedeutet das: Informationssicherheit wird von einer freiwilligen guten Praxis zu einer verbindlichen, dokumentationspflichtigen Governance-Aufgabe.

Wer ist von NIS2 betroffen? Der Size-Cap-Ansatz

NIS2 folgt einem sogenannten Size-Cap-Ansatz. Betroffen sind Unternehmen, die beide der folgenden Kriterien erfüllen:

1. Mindestens 50 Mitarbeitende oder ein Jahresumsatz beziehungsweise eine Jahresbilanzsumme von jeweils über 10 Millionen Euro
2. Tätigkeit in einem der 18 im Gesetz definierten Sektoren

Zu diesen Sektoren zählen unter anderem Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Postdienste und Lebensmittel. Innerhalb dieser Kriterien wird zusätzlich zwischen zwei Einrichtungstypen unterschieden.

Einrichtungstyp	Kriterien (vereinfacht)	Bußgeldrahmen
Besonders wichtige Einrichtung	Größere Unternehmen in besonders kritischen Sektoren	bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtung	Kleinere Unternehmen bzw. weniger kritische Sektoren	bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Ein Maschinenbaubetrieb mit 60 Mitarbeitenden muss nicht die gleichen Maßnahmen im gleichen Umfang umsetzen wie ein DAX-Konzern. Der sogenannte Verhältnismäßigkeitsgrundsatz erlaubt eine an die eigene Unternehmensgröße angepasste Umsetzung, ist aber kein Freibrief, die Mindestmaßnahmen komplett zu ignorieren.

Wichtig für nicht direkt betroffene Unternehmen: Auch kleinere Zulieferer, die selbst unter den Schwellenwerten liegen, geraten zunehmend ins Blickfeld, wenn ihre Auftraggeber unter NIS2 fallen. Die Sicherheit der Lieferkette ist eine der zehn Pflichtmaßnahmen, das heißt, größere Kunden fragen ihre Zulieferer zunehmend nach konkreten Sicherheitsnachweisen.

Die Registrierung beim BSI: Frist bereits abgelaufen

Seit dem 6. Januar 2026 ist das BSI-Melde- und Informationsportal (MIP) online, die zentrale Plattform für alle NIS2-Pflichten. Die Registrierungsfrist für betroffene Unternehmen endete am 6. März 2026. Wer diese Frist verpasst hat, sollte sich unverzüglich nachregistrieren, denn das BSI prüft aktiv, und ein Versäumnis kann aufsichtsrechtliche Maßnahmen nach sich ziehen, unabhängig davon, ob bereits ein Sicherheitsvorfall eingetreten ist.

Eine erste Orientierung, ob das eigene Unternehmen betroffen ist, bietet die NIS2-Betroffenheitsprüfung des BSI. Das Ergebnis ist allerdings nicht rechtsverbindlich, eine belastbare Einzelfallprüfung sollte im Zweifel mit einem auf IT-Compliance spezialisierten Partner erfolgen.

Die zehn Mindestmaßnahmen nach § 30 BSIG im Klartext

§ 30 Absatz 2 BSIG definiert zehn Risikomanagementmaßnahmen, die jedes betroffene Unternehmen umsetzen muss. Diese Liste ist das eigentliche Herzstück der praktischen NIS2-Umsetzung.

1. Risikoanalyse und Sicherheitskonzepte für Informationssysteme, zum Beispiel orientiert am BSI-Standard 200-3
2. Bewältigung von Sicherheitsvorfällen (Incident Response), also klar definierte Abläufe für den Ernstfall
3. Aufrechterhaltung des Betriebs (Business Continuity Management), einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
4. Sicherheit der Lieferkette, einschließlich der Bewertung direkter Anbieter und Dienstleister
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen, inklusive Schwachstellenmanagement
6. Konzepte zur Bewertung der Wirksamkeit der eigenen Risikomanagementmaßnahmen
7. Grundlegende Cyber Hygiene und Schulungen, für Mitarbeitende ebenso wie für die Geschäftsleitung selbst
8. Kryptografie und Verschlüsselung von Daten und Kommunikation
9. Zugriffskontrolle und Asset Management, also klar geregelte Berechtigungen und ein Überblick über vorhandene Systeme
10. Multi-Faktor-Authentifizierung und gesicherte Notfallkommunikation

Alle zehn Maßnahmen sind erforderlich, in einem ISMS zu dokumentieren und regelmäßig zu überprüfen. Eine bestehende ISO-27001-Zertifizierung deckt viele organisatorische und prozessuale Anforderungen bereits ab, ersetzt aber nicht die spezifischen NIS2-Pflichten wie die persönliche Geschäftsführerhaftung nach § 38 BSIG oder die Meldekette nach § 32 BSIG. Eine Lückenanalyse zwischen vorhandener ISO-Dokumentation und den NIS2-Anforderungen ist deshalb in jedem Fall empfehlenswert.

Meldepflichten: Die Drei-Stufen-Kette nach § 32 BSIG

Erhebliche Sicherheitsvorfälle müssen dem BSI in drei klar definierten Schritten gemeldet werden:

Frist	Art der Meldung	Inhalt
24 Stunden	Frühwarnung	Erste Einschätzung, ob ein Vorfall vorliegt
72 Stunden	Detaillierte Folgemeldung	Bewertung der Schwere und der Auswirkungen
30 Tage	Abschlussmeldung	Ausführliche Ursachenanalyse

Diese Fristen sind eng bemessen. Ohne dokumentierte interne Prozesse, eine benannte Kontaktstelle und eine funktionierende 24/7-Erreichbarkeit ist die 24-Stunden-Frist in der Praxis kaum einzuhalten. Genau hier zeigt sich, warum NIS2 nicht nur ein juristisches, sondern vor allem ein organisatorisches Thema ist.

Persönliche Haftung der Geschäftsleitung nach § 38 BSIG

Einer der Punkte, der in Erstgesprächen regelmäßig für Überraschung sorgt: NIS2 macht die Geschäftsleitung persönlich verantwortlich, mit dem Privatvermögen. Konkret bedeutet das nach § 38 BSIG:

• Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen
• Eine Delegation an die IT-Abteilung oder einen externen Dienstleister entbindet nicht von dieser Pflicht
• Verantwortliche müssen mindestens alle drei Jahre an Cybersicherheit Schulungen teilnehmen, persönlich
• Bei Pflichtverletzung drohen neben dem Bußgeld gegen das Unternehmen auch persönliche zivilrechtliche Konsequenzen

Ein IT-Dienstleister kann die technische Umsetzung, Dokumentation und viele der zehn Maßnahmen übernehmen. Die grundsätzliche Verantwortung, dass diese Maßnahmen tatsächlich existieren und regelmäßig überprüft werden, bleibt jedoch bei der Geschäftsführung. Diese Unterscheidung ist wichtig und wird in vielen Ratgebern nicht klar genug getroffen.

Praxisbeispiel: Ein Zulieferbetrieb im Münsterland

Ein mittelständischer Zulieferer mit 68 Mitarbeitenden in der Nähe von Münster stellte im Frühjahr 2026 fest, dass er unter NIS2 fällt, weil er in einer relevanten Lieferkette für einen größeren Industriekunden tätig ist. Die interne IT-Kraft war bislang vor allem mit Tagesgeschäft beschäftigt, ein dokumentiertes Risikomanagement gab es nicht. In der ersten Bestandsaufnahme zeigte sich: Backups liefen zwar, ein Restore war aber noch nie getestet worden, Zugriffsrechte waren über Jahre gewachsen und nicht mehr aktuell, und eine Multi-Faktor-Authentifizierung war nur für einen Teil der Systeme aktiv.

Statt alle zehn Maßnahmen gleichzeitig anzugehen, wurde gemeinsam mit einem Managed-IT-Partner priorisiert: zuerst Zugriffskontrolle und MFA, dann ein dokumentierter Incident-Response-Plan, anschließend die Backup- und Restore-Strategie, danach die übrigen Punkte. Diese Reihenfolge ist typisch für kleinere Betriebe mit begrenztem Budget: Wer nicht alles auf einmal umsetzen kann, sollte dort beginnen, wo das größte Risiko bei geringstem Aufwand reduziert wird.

Häufige Fehler bei der NIS2-Umsetzung

• Betroffenheit erst dann prüfen, wenn bereits Post vom BSI oder eine Anfrage eines Kunden vorliegt
• Annehmen, eine ISO-27001-Zertifizierung decke automatisch alle NIS2-Pflichten ab
• Die persönliche Haftung der Geschäftsleitung komplett an die IT-Abteilung delegieren wollen
• Backups ohne regelmäßige Restore-Tests als ausreichend betrachten
• Lieferkettensicherheit als reine Formalie behandeln, statt echte Risikoanalysen bei Zulieferern durchzuführen
• Alle zehn Maßnahmen gleichzeitig umsetzen wollen, statt nach Risiko und Aufwand zu priorisieren

Best Practices für die NIS2-Umsetzung im Mittelstand

• Betroffenheit frühzeitig über die BSI-Selbsteinschätzung prüfen und im Zweifel fachlich absichern lassen
• Eine zentrale, 24/7 erreichbare Kontaktstelle für Sicherheitsvorfälle benennen
• Bestehende ISO-27001-Dokumentation gezielt auf NIS2-Lücken prüfen, statt bei null zu beginnen
• Die zehn Maßnahmen nach Risiko und Aufwand priorisieren, nicht nach gesetzlicher Reihenfolge
• Einen Managed-IT-Partner einbinden, der Dokumentation, Monitoring und technische Umsetzung übernimmt, während die Geschäftsleitung die Aufsichtspflicht wahrnimmt
• Regelmäßige, auch für die Geschäftsleitung verpflichtende Schulungen fest einplanen

Was ein IT-Dienstleister leisten kann, und was nicht

Diese Trennung wird in der Praxis häufig unterschätzt. Ein erfahrener Managed-IT-Partner kann:

• Bei der Risikoanalyse und der technischen Umsetzung der zehn Maßnahmen unterstützen
• Monitoring, Backup-Management und Zugriffskontrolle im Alltag betreiben
• Bei der Dokumentation für BSI-Nachweise mitwirken
• Incident-Response-Prozesse technisch abbilden und im Ernstfall unterstützen

Was ein IT-Dienstleister nicht übernehmen kann, ist die gesetzliche Verantwortung selbst. Die Billigung der Maßnahmen, die Überwachung ihrer Umsetzung und die persönliche Teilnahme an Cyber-Sicherheitsschulungen bleiben nicht delegierbare Aufgaben der Geschäftsleitung nach § 38 BSIG.

Fazit

NIS2 ist seit Dezember 2025 für rund 29.500 Unternehmen in Deutschland verbindliches Recht, ohne Übergangsfrist und mit persönlicher Haftung der Geschäftsleitung. Für KMU im Münsterland bedeutet das: Wer die eigene Betroffenheit noch nicht geprüft hat, sollte das umgehend nachholen, denn die Registrierungsfrist beim BSI ist bereits abgelaufen. Die zehn Mindestmaßnahmen nach § 30 BSIG lassen sich mit einer klaren Priorisierung auch mit begrenztem Budget schrittweise umsetzen, insbesondere mit Unterstützung eines Managed-IT-Partners, der die technische Seite übernimmt, während die Geschäftsführung ihrer gesetzlichen Aufsichtspflicht nachkommt.

Über den Autor: Dieser Artikel wurde fachlich begleitet von Daniel Zittlau, Gründer von DZI-IT. Nach seiner Ausbildung zum Fachinformatiker für Systemintegration 2010 sammelte er über 15 Jahre Erfahrung in zwei IT-Systemhäusern, bevor er 2022 DZI-IT in Münster gründete. Sein Team unterstützt Unternehmen im Münsterland dabei, IT-Sicherheit praxisnah und nachvollziehbar umzusetzen, mit direktem Draht zwischen Kunde und Team für technische wie kaufmännische Fragen.

Wer prüfen möchte, ob das eigene Unternehmen von NIS2 betroffen ist und welche Schritte konkret sinnvoll sind, kann bei DZI-IT einen unverbindlichen IT-Sicherheitscheck vereinbaren. Jetzt NIS2-Erstgespräch mit DZI-IT vereinbaren

FAQ

Was ist NIS2 einfach erklärt? NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die in Deutschland über das NIS2UmsuCG seit Dezember 2025 gilt. Sie verpflichtet betroffene Unternehmen zu Risikomanagement, Meldepflichten bei Sicherheitsvorfällen und einer nachvollziehbaren Dokumentation ihrer IT-Sicherheitsmaßnahmen.

Wer ist von NIS2 betroffen? Direkt betroffen sind Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem von 18 definierten Sektoren, etwa Energie, Gesundheitswesen, digitale Infrastruktur oder bestimmte Zulieferbereiche. Kleinere Zulieferer können indirekt betroffen sein, wenn ihre Kunden Sicherheitsnachweise verlangen.

Welche Strafen drohen bei NIS2-Verstößen? Bußgelder reichen bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Zusätzlich haftet die Geschäftsleitung nach § 38 BSIG persönlich.

Muss ich mich noch beim BSI registrieren, wenn die Frist bereits verstrichen ist? Ja. Die reguläre Frist endete am 6. März 2026, ein Versäumnis entbindet nicht von der Pflicht. Wer noch nicht registriert ist, sollte dies unverzüglich nachholen, um weitere aufsichtsrechtliche Konsequenzen zu vermeiden.

Reicht eine ISO-27001-Zertifizierung, um NIS2-konform zu sein? Eine ISO-27001-Zertifizierung deckt viele organisatorische Anforderungen ab und ist ein starker Baustein. Sie ersetzt jedoch nicht spezifische NIS2-Pflichten wie die persönliche Geschäftsführerhaftung oder die konkrete Meldekette nach § 32 BSIG. Eine gezielte Lückenanalyse ist empfehlenswert.

Was kostet die Umsetzung von NIS2 für ein KMU? Die Kosten hängen stark vom Ausgangszustand der IT-Sicherheit ab. Wer bereits ein Grundgerüst aus Monitoring, Backup und Zugriffskontrolle hat, kommt oft mit überschaubarem Zusatzaufwand aus. Bei gewachsenen, undokumentierten Strukturen kann eine vollständige Umsetzung mehrere Monate in Anspruch nehmen. Ein unverbindlicher IT-Sicherheitscheck schafft hier Klarheit.