NIS2 für KMU: Betroffenheit prüfen, Pflichten und Fristen

Rechtsstand Oktober 2026: EU-Richtlinie und neues BSI-Gesetz

Grundlage ist die Richtlinie (EU) 2022/2555 vom 14. Dezember 2022, kurz NIS-2-Richtlinie. Die Mitgliedstaaten hätten sie bis zum 17. Oktober 2024 umsetzen müssen. Deutschland hat das mit dem „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ getan, oft NIS2UmsuCG genannt. Es wurde am 2. Dezember 2025 ausgefertigt, am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Kern ist ein neu gefasstes BSI-Gesetz (BSIG), das seitdem mehrfach geändert wurde, zuletzt am 23. Juli 2026. Die Paragrafen in diesem Beitrag beziehen sich auf diese Fassung.

Das BSI rechnet mit rund 29.500 besonders wichtigen und wichtigen Einrichtungen. Bis zum 30. September 2026 hatten sich 20.141 Einrichtungen registriert, davon 13.252 wichtige und 6.837 besonders wichtige. Auf EU-Ebene ist bereits eine Änderung in Arbeit: Die Kommission hat im Januar 2026 vorgeschlagen, die Richtlinie zu vereinfachen und an den überarbeiteten Cybersecurity Act anzupassen (Verfahren 2026/0012(COD)). Stand Oktober 2026 liegt der Vorschlag noch im zuständigen Ausschuss des Europäischen Parlaments; beschlossen ist nichts. Maßgeblich bleibt das BSIG in seiner geltenden Fassung.

Wer betroffen ist: Sektor und Größe

Das BSIG kennt zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen (§ 28 BSIG). Im Regelfall müssen zwei Bedingungen zusammenkommen. Ihr Unternehmen gehört zu einer Einrichtungsart aus Anlage 1 oder Anlage 2 des BSIG und bietet dort Waren oder Dienstleistungen gegen Entgelt an. Und es erreicht die Größenschwelle. Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, können bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3).

• Anlage 1: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (unter anderem Cloud-Dienste, Rechenzentren, Managed Service Provider und Managed Security Service Provider) und Weltraum.
• Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel (Großhandel sowie industrielle Produktion und Verarbeitung), verarbeitendes Gewerbe (Medizinprodukte, Datenverarbeitungsgeräte und Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen, sonstiger Fahrzeugbau), Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Forschungseinrichtungen.

Gezählt wird nach der KMU-Empfehlung der EU-Kommission (2003/361/EG), auf die § 28 Abs. 4 BSIG verweist. Beschäftigte sind dort Jahresarbeitseinheiten: Teilzeit und Saisonarbeit zählen anteilig, mitarbeitende Inhaber zählen mit, Auszubildende nicht. Maßgeblich sind die Daten des letzten Jahresabschlusses, der Umsatz ohne Mehrwertsteuer. Ein einmaliges Überschreiten genügt laut BSI nicht: Die Schwelle muss in zwei aufeinanderfolgenden Geschäftsjahren überschritten sein (Art. 4 Abs. 2 der Empfehlung; Neugründungen ausgenommen). Partnerunternehmen werden anteilig und verbundene Unternehmen voll hinzugerechnet, außer Ihr Unternehmen ist bei Beschaffenheit und Betrieb seiner IT-Systeme rechtlich, wirtschaftlich und tatsächlich von ihnen unabhängig (§ 28 Abs. 4 Satz 2). Als Faustregel heißt das: Mittlere Unternehmen in den genannten Sektoren sind erfasst, kleine und Kleinstunternehmen in der Regel nicht.

Sonderfälle: betroffen unabhängig von der Größe

• Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter sind immer besonders wichtige Einrichtungen (§ 28 Abs. 1).
• Andere Vertrauensdiensteanbieter sind immer wichtige Einrichtungen (§ 28 Abs. 2).
• Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind ab 50 Beschäftigten oder mehr als 10 Mio. EUR Umsatz und Bilanzsumme besonders wichtig, darunter wichtig.
• Domain-Name-Registry-Dienstleister müssen sich unabhängig von ihrer Größe beim BSI registrieren (§ 33 Abs. 1).

Für Finanzunternehmen, für die die DORA-Verordnung gilt, und für Teile der Telematikinfrastruktur im Gesundheitswesen gelten die Risikomanagement-, Melde- und Geschäftsleitungspflichten des BSIG nicht, weil dort eigene Regeln greifen (§ 28 Abs. 6). Ähnliches gilt nach § 28 Abs. 5 für Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste und bestimmte Energieunternehmen nach dem Energiewirtschaftsgesetz, soweit sie keine weiteren erfassten Tätigkeiten ausüben.

Die Kernpflichten: Registrierung, Risikomanagement, Meldungen

Registrierung beim BSI

Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut unter das Gesetz fallen, beim BSI registrieren (§ 33 BSIG). Für Unternehmen, die schon seit dem 6. Dezember 2025 betroffen sind, ist diese Frist abgelaufen; das BSI fordert sie auf, die Registrierung umgehend nachzuholen. Der Weg hat zwei Schritte. Zuerst beantragen Sie über „Mein Unternehmenskonto“ ein ELSTER-Organisationszertifikat, wofür eine deutsche Steuernummer nötig ist. Damit melden Sie sich im BSI-Portal an und übermitteln Name und Rechtsform, Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor und Einrichtungsart, die EU-Staaten, in denen Sie tätig sind, und die zuständigen Aufsichtsbehörden. Änderungen sind unverzüglich, spätestens innerhalb von zwei Wochen nachzutragen.

Risikomanagement: zehn Mindestmaßnahmen

Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und die Einhaltung dokumentieren (§ 30 Abs. 1 BSIG). Für die Verhältnismäßigkeit zählen unter anderem Risikoexposition, Größe der Einrichtung und Umsetzungskosten. Die Maßnahmen sollen den Stand der Technik einhalten und müssen mindestens Folgendes umfassen (§ 30 Abs. 2):

• Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
• Sicherheit der Lieferkette, einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern
• Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Management und Offenlegung von Schwachstellen
• Konzepte und Verfahren, mit denen die Wirksamkeit der Maßnahmen bewertet wird
• Grundlegende Schulungen und Sensibilisierung zur IT-Sicherheit
• Konzepte und Prozesse für den Einsatz von Kryptografie
• Personalsicherheit, Zugriffskontrolle und Verwaltung der IT-Systeme, -Produkte und -Prozesse
• Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation

Für bestimmte digitale Anbieter, darunter Cloud- und Rechenzentrumsdienste sowie Managed Service Provider, konkretisiert eine Durchführungsverordnung der EU-Kommission (2024/2690) die Anforderungen; sie hat für diese Einrichtungsarten Vorrang (§ 30 Abs. 3).

Meldepflichten mit festen Fristen

Erhebliche Sicherheitsvorfälle sind dem BSI zu melden (§ 32 BSIG). Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann (§ 2 Nr. 11). Gemeldet wird gestuft:

Laut BSI beginnt die Frist, sobald eine Mitarbeiterin oder ein Mitarbeiter der Einrichtung während der Arbeitszeit von dem erheblichen Vorfall erfährt. Das BSI betont: Schnelligkeit vor Vollständigkeit, Angaben lassen sich mit Folgemeldungen ergänzen. Ein Dienstleister darf für Sie melden, die Verantwortung für Vorfall und Meldung bleibt aber bei Ihnen.

Geschäftsleitung, Schulungspflicht und Bußgelder

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG); laut BSI kann sie diese Verantwortung nicht delegieren. Wer die Pflicht verletzt, haftet der eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2). Außerdem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen, bewerten und in ihren Auswirkungen auf die eigenen Dienste beurteilen zu können (§ 38 Abs. 3). Intervall und Dauer legt das Gesetz nicht fest. Das BSI empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen und eine lückenlose Dokumentation von Datum, Zeitraum und Inhalten.

Die Bußgelder regelt § 65 BSIG. Die höchsten Rahmen gelten unter anderem für Verstöße gegen die Risikomanagement-, Dokumentations- und Meldepflichten:

Mittelbar betroffen: wenn Ihre Kunden unter NIS2 fallen

Viele kleine Unternehmen fallen selbst nicht unter das BSIG, liefern aber an Einrichtungen, die es tun. Diese müssen die Sicherheit ihrer Lieferkette berücksichtigen (§ 30 Abs. 2 Satz 2 Nr. 4). Das BSI stellt klar, dass das Gesetz nicht alle Zulieferer und Dienstleister indirekt verpflichtet. Betroffene Einrichtungen müssen ihre Zulieferer aber zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten und können womöglich nicht mehr mit jedem Unternehmen zusammenarbeiten, ohne selbst Pflichten zu verletzen.

Bei Zulieferern kann das etwa als Vertragsklausel oder Audit-Anfrage ankommen. Das BSI empfiehlt betroffenen Einrichtungen unter anderem Vereinbarungen mit Zulieferern zu Risikomanagement, zum Umgang mit Sicherheitsvorfällen und zum Patchmanagement. Wer belegen kann, dass Geräte inventarisiert, Updates geplant, Zugänge mit MFA geschützt und Backups getestet sind, beantwortet solche Anfragen leichter. Als niedrigschwellige Standortbestimmung für KMU nennt das BSI den CyberRisikoCheck nach DIN SPEC 27076; NIS2-Konformität erreicht man damit laut BSI aber nicht.

Was KMU jetzt praktisch tun können

Ob betroffen oder nicht, diese Schritte orientieren sich an den NIS2-Empfehlungen des BSI:

• Betroffenheit prüfen und festhalten: die BSI-Betroffenheitsprüfung durchgehen, Zahlen aus Jahresabschluss und Personalübersicht danebenlegen, das Ergebnis mit Datum ablegen. Im Zweifel juristisch beraten lassen, wie es auch das BSI empfiehlt.
• Inventar aufbauen: Laut BSI müssen alle Systeme, Anwendungen und Daten bekannt sein, um sie schützen zu können. Ein zentral gepflegtes Geräteinventar ist dafür die Grundlage.
• Backups und Wiederherstellung: Das Gesetz nennt Backup-Management und Wiederherstellung nach einem Notfall ausdrücklich. Das BSI hebt bei Ransomware Offline-Backups hervor und fragt, ob die Rücksicherung vorbereitet und geübt ist.
• Multi-Faktor-Authentisierung: Das BSI empfiehlt MFA mit geeigneten Wissens- und Besitzfaktoren. Mein Rat: mit E-Mail, Fernzugängen und Administratorkonten beginnen.
• Patchmanagement: Updates regelmäßig auf allen relevanten Systemen einspielen, sicherheitskritische Lücken zuerst, bekannte Schwachstellen schließen, bevor sie ausgenutzt werden. So beschreibt es das BSI für NIS2-Einrichtungen.
• Notfall- und Meldeplan: festlegen, wer einen Vorfall bewertet, wer innerhalb von 24 Stunden meldet und wie Warnungen weitergeleitet werden. Das BSI empfiehlt interne Weiterleitungsprozesse, die bei Warnungen und Rückfragen des BSI geeignete Ansprechpersonen auch außerhalb der Geschäftszeiten alarmieren.
• Geschäftsleitung schulen: Die BSI-Handreichung zur Geschäftsleitungsschulung beschreibt Inhalte und Formate, von der klassischen Schulung bis zum Planspiel.

Vieles davon ist klassische IT-Arbeit: Geräteinventar, Patchmanagement und Fernwartung laufen über das Endpoint Management (wie das funktioniert, erklärt der Beitrag RMM und Managed IT für KMU), Datensicherung und Wiederherstellungstests beschreibt die Backup-Strategie für KMU, Netzwerk und Server gehören zur IT-Infrastruktur. Welche Maßnahmen bei Ihnen Vorrang haben, klären wir in der IT-Beratung.