NIS2 KMU: Was kleine und mittlere Unternehmen jetzt wissen und tun müssen

Die NIS2-Richtlinie (EU) 2022/2555 setzt den europäischen Rahmen. In Deutschland trat das Umsetzungsgesetz am 6. Dezember 2025 in Kraft; die konkreten Pflichten stehen insbesondere im BSIG 2025. Ob ein Unternehmen erfasst ist, lässt sich nicht allein an einer Beschäftigten- oder Umsatzgrenze ablesen. Entscheidend sind Einrichtungstyp, Sektor, Größenmerkmale und mögliche Sondertatbestände nach § 28 BSIG. Dieser Beitrag ordnet die wichtigsten Schritte ein, ersetzt aber keine rechtliche Prüfung der Betroffenheit.

Was ist die NIS2-Richtlinie eigentlich?

NIS2 steht für „Network and Information Security Directive 2“, also die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Als Richtlinie gibt sie Mitgliedstaaten einen Umsetzungsrahmen vor. Das deutsche Pflichtenregime verwendet unter anderem die Kategorien „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“ im BSIG. Für die Praxis sollte deshalb stets getrennt werden: EUR-Lex beschreibt die EU-Vorgaben, das BSIG die deutsche Einstufung, Maßnahmen, Meldungen, Registrierung, Leitungsorganpflichten und Bußgelder.

Der Unterschied zur alten Regelung

Die NIS2-Richtlinie erweitert gegenüber ihrer Vorgängerin den europäischen Sektor- und Maßnahmenrahmen. Im deutschen Recht ordnet § 28 BSIG Einrichtungen als „besonders wichtig“ oder „wichtig“ ein. Für deren Leitungsorgane enthält § 38 BSIG konkrete Billigungs-, Überwachungs- und Schulungspflichten sowie eine mögliche Ersatzpflicht gegenüber der Einrichtung. Damit ist Informationssicherheit eine Leitungsaufgabe, ohne dass jeder Vorfall automatisch eine persönliche Haftung auslöst.

Bin ich als KMU von NIS2 betroffen?

Die entscheidende Frage, und die Antwort hängt von zwei Faktoren ab: Ihrer Unternehmensgröße und Ihrer Branche.

Die Größenkriterien

Die allgemeine Größenlogik für wichtige Einrichtungen knüpft regelmäßig an mindestens 50 Beschäftigte oder an die Kombination aus mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Jahresbilanzsumme an. Für besonders wichtige Einrichtungen gelten regelmäßig höhere Schwellen. Daneben enthält § 28 BSIG sektor- und einrichtungsspezifische Sonderfälle sowie Ausnahmen. Ein Online-Kurzcheck kann diese Prüfung vorbereiten, aber nicht ersetzen.

Die 18 regulierten Sektoren

Die EU-Richtlinie unterscheidet „wesentliche“ und „wichtige“ Einrichtungen. Das deutsche BSIG verwendet dagegen „besonders wichtige“ und „wichtige“ Einrichtungen. Diese Begriffe dürfen bei der Einstufung nicht vermischt werden.

Die Anhänge der NIS2-Richtlinie listen Sektoren mit hoher Kritikalität sowie sonstige kritische Sektoren auf. Für die deutsche Betroffenheitsprüfung ist jedoch die Systematik des § 28 BSIG maßgeblich. Branchenbezeichnung, Größe und konkrete Einrichtungsart müssen zusammen geprüft werden.

Der Lieferketten-Faktor für KMU

Auch nicht nach § 28 BSIG eingestufte KMU können Sicherheitsanforderungen aus Kunden- und Lieferantenbeziehungen erhalten. Regulierte Einrichtungen müssen Risiken in ihren Lieferketten berücksichtigen und können Nachweise, Mindestmaßnahmen oder Meldewege vertraglich vereinbaren. Das macht den Zulieferer nicht automatisch selbst zu einer gesetzlich regulierten Einrichtung. In der Praxis helfen ein nachvollziehbares Informationssicherheitsmanagement, ein Incident-Response-Plan und dokumentierte Verantwortlichkeiten bei solchen Kundenanfragen.

Was muss ich konkret tun? Die NIS2-Anforderungen für KMU

Ist Ihr Unternehmen nach § 28 BSIG eingestuft, gelten die gesetzlichen Pflichten. Erhalten Sie dagegen nur vertragliche Anforderungen eines Kunden, richtet sich der Umfang nach dieser Geschäftsbeziehung. In beiden Fällen ist eine strukturierte Sicherheitsarbeit sinnvoll; Rechtsgrund und Nachweisumfang bleiben aber verschieden.

1. Risikomanagement etablieren

Sie brauchen einen systematischen Ansatz zur Identifikation und Behandlung von Cyberrisiken - kein tausend Seiten dickes Dokument, aber einen nachvollziehbaren Prozess. Konkret bedeutet das, dass Sie wissen müssen, welche IT-Systeme geschäftskritisch sind, welche Bedrohungen realistisch erscheinen, welche Schutzmaßnahmen bereits existieren und wo die größten Lücken klaffen. Ein Zero-Trust-Ansatz kann dabei ein technisches Leitbild sein; er belegt für sich allein keine Erfüllung des BSIG.

2. Technische Sicherheitsmaßnahmen umsetzen

NIS2 fordert “geeignete und verhältnismäßige” technische Maßnahmen. Für KMU bedeutet das zunächst einen soliden Grundschutz mit aktuellen Firewalls und Antivirenlösungen, regelmäßigen Updates und Patches, sicheren Passwörtern mit Mehrfaktor-Authentifizierung sowie Verschlüsselung sensibler Daten. Beim Thema Backup und Wiederherstellung sind regelmäßige Datensicherungen, getestete Wiederherstellungsprozesse und Offline-Backups gegen Ransomware gefordert. Im Bereich Netzwerksicherheit geht es um die Segmentierung kritischer Systeme, Überwachung des Netzwerkverkehrs und sichere Fernzugriffe. Wenn Sie unsicher sind, wo Sie stehen, hilft Ihnen meine Cybersicherheits-Checkliste 2025 als Ausgangspunkt.

3. Meldepflichten kennen und vorbereiten

Für betroffene Einrichtungen und erhebliche Sicherheitsvorfälle regelt § 32 BSIG ein gestuftes Meldeverfahren: grundsätzlich eine frühe Warnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Ob die gesetzlichen Voraussetzungen erfüllt sind, muss im Vorfall geprüft werden. Ein vorbereiteter Incident Response Plan sollte deshalb Zuständigkeit, Bewertung und Meldewege abbilden.

4. Geschäftskontinuität sicherstellen

Was passiert, wenn Ihre IT ausfällt? NIS2 fordert Business Continuity Pläne, Krisenmanagement-Prozesse sowie regelmäßige Tests und Übungen. Für KMU muss das nicht komplex sein, aber Sie sollten wissen: Welche Systeme brauchen wir unbedingt? Wie lange können wir ohne sie arbeiten? Wie stellen wir sie wieder her?

5. Lieferkettensicherheit gewährleisten

Auch Sie müssen Ihre Lieferanten und Dienstleister unter die Lupe nehmen, zumindest die kritischen wie IT-Dienstleister, Cloud-Anbieter, Software-Lieferanten und Wartungsunternehmen mit Systemzugriff. Fragen Sie nach deren Sicherheitsmaßnahmen, lassen Sie sich Zertifizierungen zeigen und nehmen Sie Sicherheitsanforderungen in Verträge auf.

6. Schulungen durchführen

Schulungen müssen zu Rollen und Risiken passen. Für Leitungsorgane betroffener Einrichtungen verlangt § 38 BSIG regelmäßige Schulungen, damit sie ausreichende Kenntnisse und Fähigkeiten zur Risikoerkennung und -bewertung sowie zur Beurteilung der Risikomanagementmaßnahmen erwerben. Der Gesetzestext schreibt dafür kein bestimmtes Zertifikat vor.

7. Registrierungspflicht beachten

Betroffene Unternehmen müssen sich beim BSI registrieren. Die genauen Modalitäten regelt das BSI. Ignorieren Sie Registrierungsaufforderungen nicht, denn sie sind verpflichtend.

Kostenlose Tools für NIS2 KMU

Sie müssen das Rad nicht neu erfinden, denn es gibt hilfreiche und kostenlose Ressourcen. Der FitNIS2-Navigator auf fitnis2.de hilft Ihnen mit einem geführten Fragebogen herauszufinden, ob Sie unter die Größenkriterien fallen, in einem regulierten Sektor tätig sind und welche Kategorie auf Sie zutrifft. Die Plattform kmu-kompetent-sicher.de richtet sich speziell an kleine und mittlere Unternehmen mit Praxisleitfäden, Checklisten und Handlungsempfehlungen. Der IT-Grundschutz des BSI bietet einen strukturierten Ansatz für Informationssicherheit, wobei es für KMU vereinfachte Einstiegsmodelle wie den “Weg in die Basis-Absicherung” gibt. Viele Branchenverbände bieten mittlerweile NIS2-Leitfäden für ihre Mitglieder an, daher lohnt sich eine Nachfrage bei Ihrem Verband.

Konsequenzen bei Nichteinhaltung

Die deutsche Bußgeldstaffel steht in § 65 BSIG. Sie unterscheidet nach Tatbestand und Einrichtungsart; die umsatzbezogene Alternative greift nach der deutschen Regelung erst bei einem Gesamtumsatz von mehr als 500 Millionen Euro. § 38 BSIG verpflichtet Leitungsorgane betroffener Einrichtungen, Maßnahmen zu billigen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Eine mögliche Ersatzpflicht besteht gegenüber der Einrichtung und ist keine pauschale private Haftung für jeden Vorfall. Für konkrete Rechtsfolgen ist fachkundige rechtliche Beratung erforderlich.

Der Zeitplan: Wann muss was erledigt sein?

Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Unternehmen sollten ihre Einstufung anhand von § 28 BSIG prüfen, Verantwortlichkeiten festlegen und erforderliche Maßnahmen, Meldungen sowie die Registrierung nach § 33 BSIG vorbereiten. Das BSI-Registrierungsportal bündelt die operativen Hinweise.

NIS2 als Chance für KMU

Ein strukturierter Sicherheitsansatz schützt den Betrieb unabhängig von einer gesetzlichen Einstufung. Dokumentierte Risiken, Verantwortlichkeiten, Wiederanlaufpläne und Lieferantenprüfungen helfen sowohl bei internen Entscheidungen als auch bei nachvollziehbaren Kundenanfragen. Solche Maßnahmen können Anforderungen aus BSIG, DSGVO, Verträgen oder einem Informationssicherheitsmanagement unterstützen; eine pauschale Aussage „NIS2-konform“ folgt daraus nicht.

Praktische Schritte für den Start

Was sollten Sie als KMU-Geschäftsführer jetzt konkret tun?

Im ersten Schritt sollten Sie die mögliche Einstufung anhand von § 28 BSIG und dem BSI-Portal prüfen; bei Unsicherheit ist rechtliche Beratung sinnvoll. Im zweiten Schritt folgt die technische Bestandsaufnahme: Welche Sicherheitsmaßnahmen existieren, welche Systeme sind kritisch und wo liegen die größten Lücken? Danach werden Verantwortlichkeiten, Budget und ein realistischer Umsetzungsplan festgelegt. Managed Security Services oder spezialisierte Beratung können die technische Umsetzung unterstützen.

Handeln Sie jetzt!

NIS2 und das BSIG sind Realität. Ein KMU kann als Einrichtung nach § 28 BSIG erfasst sein oder Sicherheitsanforderungen aus einer Kundenbeziehung erhalten; beides ist sauber zu unterscheiden. Nutzen Sie die Prüfung als Anlass, Verantwortlichkeiten, Risiken und Nachweise strukturiert zu bearbeiten. Sie möchten den technischen und organisatorischen Handlungsbedarf erfassen? Ich unterstütze KMU bei Bestandsaufnahme, Priorisierung und Umsetzung. Die rechtliche Einstufung und Auslegung ersetzt diese technische Beratung nicht. Vereinbaren Sie ein unverbindliches Gespräch, wenn Sie Ihre nächsten Schritte systematisch planen möchten.