NIS2-Richtlinie für KMU: Wer ist betroffen und was tun?

Die NIS2-Richtlinie bringt neue Spielregeln für Cybersicherheit – und trifft weit mehr Unternehmen als bisher. Auch viele KMU fallen in den Geltungsbereich, oft ohne es zu ahnen. Wer jetzt strukturiert vorgeht, reduziert Risiko, vermeidet Bußgelder und schafft Vertrauen bei Kunden und Partnern.

In diesem Leitfaden erfahren Sie, ob Ihr Unternehmen betroffen ist, welche NIS2-Maßnahmen wirklich zählen und wie Sie in kurzer Zeit auf Compliance-Kurs kommen. Mit klaren Prioritäten, einer Schritt-für-Schritt-Checkliste und praxisnahen Vorlagen-Hinweisen.

Praxis-Tipp: Starten Sie mit einem schlanken Gap-Assessment gegen ISO 27001 oder BSI-Grundschutz. So erkennen Sie schnell, was bereits passt – und wo NIS2-spezifische Lücken sind.

TL;DR

Das NIS2UmsuCG gilt seit 6. Dezember 2025 ohne Übergangsfrist für rund 29.500 Einrichtungen in Deutschland, so das BSI.
Schwellenwerte nach § 28 BSIG: meist ab 50 Mitarbeitern (wichtige Einrichtung) bzw. 250 Mitarbeitern (besonders wichtige Einrichtung) in einem der im Gesetz gelisteten Sektoren.
Kernthemen nach § 30 BSIG: Risikomanagement, Incident-Handling mit festen Meldefristen (24h/72h/1 Monat), Lieferkettensicherheit, Business Continuity, Governance.
Bußgelder nach § 65 BSIG: bis zu 10 Mio. Euro bzw. 2 % des Jahresumsatzes für besonders wichtige Einrichtungen.
Schnell gewinnen: Asset-Inventory, Backup+Recovery-Tests, MFA, Patch- und Vulnerability-Management, Logging/Monitoring.

Was bedeutet NIS2? (Definition)

Die NIS2-Richtlinie ist der EU-Rahmen für einheitliche Cybersicherheitsanforderungen in wesentlichen und wichtigen Sektoren. Sie verpflichtet betroffene Unternehmen zu angemessenem Risikomanagement, technischen und organisatorischen Maßnahmen (TOM), Meldepflichten bei Sicherheitsvorfällen sowie Managementverantwortung und Lieferkettensicherheit.

Ziel ist es, Ausfälle und Sicherheitsvorfälle zu verhindern oder ihre Auswirkungen zu minimieren und dadurch die Resilienz von Wirtschaft und öffentlicher Versorgung zu stärken.

Der aktuelle Stand: Gesetz in Kraft, Registrierungsfrist bereits abgelaufen

Die nationale Umsetzung ist kein Entwurf mehr, sondern geltendes Recht. Der Bundestag hat das NIS2-Umsetzungsgesetz (NIS2UmsuCG) am 13. November 2025 verabschiedet (öffnet in neuem Tab), der Bundesrat stimmte am 20. November 2025 zu. Verkündet wurde es als BGBl. 2025 I Nr. 301 am 5. Dezember 2025 (öffnet in neuem Tab), in Kraft seit 6. Dezember 2025 – nach Angaben des BSI "ohne Übergangsfrist". Laut BSI-Pressemitteilung (öffnet in neuem Tab) beaufsichtigt das Amt dadurch künftig rund 29.500 Einrichtungen – gegenüber bislang rund 4.500 Betreibern kritischer Infrastrukturen, Anbietern digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse.

Wer betroffen ist, musste sich laut § 33 BSIG (öffnet in neuem Tab) spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren. Das BSI weist auf seiner NIS-2-Seite (öffnet in neuem Tab) ausdrücklich darauf hin: "Die gesetzliche Registrierungsfrist ist bereits abgelaufen." Wer sich noch nicht registriert hat, sollte das nach eigener Einschätzung umgehend über das BSI-Portal nachholen, statt auf eine Übergangsregelung zu warten, die es nicht gibt.

Die exakten Schwellenwerte nach § 28 BSIG

Anders als im ursprünglichen Entwurf diskutiert, hängt die Einordnung nicht von Ermessensspielräumen ab, sondern von festen Zahlen aus § 28 BSIG (öffnet in neuem Tab). Für die meisten Sektoren aus Anlage 1 und 2 des Gesetzes gilt:

Besonders wichtige Einrichtung: mindestens 250 Mitarbeiter, oder mehr als 50 Millionen Euro Jahresumsatz bei gleichzeitig mehr als 43 Millionen Euro Jahresbilanzsumme.
Wichtige Einrichtung: mindestens 50 Mitarbeiter, oder mehr als 10 Millionen Euro Jahresumsatz und gleichzeitig mehr als 10 Millionen Euro Jahresbilanzsumme.
Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und bestimmte Telekommunikationsanbieter gelten unabhängig von diesen Schwellen als besonders wichtige Einrichtung.

Für ein mittelständisches Unternehmen mit 60 Beschäftigten in einem der in Anlage 1 oder 2 genannten Sektoren – etwa Abfallwirtschaft, Chemie, Lebensmittelproduktion, Digitalinfrastruktur oder Managed Services – reicht das allein schon, um als wichtige Einrichtung zu gelten. Die vollständige Sektorliste steht in den Anlagen zum BSIG; eine Einzelfallprüfung des eigenen Sektors ersetzt dieser Beitrag nicht.

Praxis-Tipp: Halten Sie die offizielle Liste der „wesentlichen“ und „wichtigen“ Einrichtungen bereit und dokumentieren Sie Ihre Selbstbewertung. Das reduziert Nachfragen von Kunden, Auditoren und Behörden.

NIS2-Pflichten und Maßnahmen im Überblick

Kernanforderungen lassen sich in fünf Bereiche gliedern:

Governance und Management
- Klare Verantwortung der Geschäftsleitung, regelmäßige Berichte, Schulungen.
Risk & Controls (technisch/organisatorisch)
- Asset-Management, Zugriffskontrollen (MFA), Netzwerksegmentierung, Patch-/Vuln-Management, EDR/SIEM, Backup/Recovery, Kryptografie.
Incident-Management und Meldepflichten
- Erkennung, Reaktion, Post-Mortem; zeitnahe Meldung schwerwiegender Vorfälle (in der Regel innerhalb kurzer Fristen wie 24/72 Stunden, abhängig vom nationalen Recht).
Business Continuity & Krisenmanagement
- Notfallpläne, BIA, Wiederanlauf- und Kommunikationspläne, regelmäßige Tests.
Lieferkettensicherheit
- Sicherheitsanforderungen an Dienstleister, Due-Diligence, vertragliche Zusicherungen, Monitoring.

Maßnahmen-Matrix für KMU

Anforderung	Beispiel-Kontrollen	Praxis-Hinweis
Identifikation	Asset-Inventory, CMDB, Kritikalität	Starten Sie mit „Crown Jewels“ und Kernprozessen.
Schutz	MFA, Härtung, Netzsegmentierung, Least Privilege	MFA für Admins und Remote-Zugänge zuerst.
Erkennung	Zentrales Logging, SIEM/EDR, Use-Cases	Beginnen Sie mit Top-10-Use-Cases (z. B. Privilege Misuse).
Reaktion	IR-Playbooks, On-Call, forensische Sicherung	Üben Sie Tabletop-Szenarien quartalsweise.
Wiederherstellung	3-2-1-Backups, Restore-Tests, RTO/RPO	Testen Sie Wiederherstellungen realitätsnah.
Lieferkette	Security-Klauseln, Fragebögen, Penalties	Minimum: SLA zu Patching, Logging, Incident-Info.

Schritt-für-Schritt: So werden KMU NIS2-ready

Scope definieren

Dienste, Standorte, Systeme, Daten, Lieferanten bestimmen. Ergebnis: Geltungsbereich-Dokument.

Reifegrad- und Gap-Assessment

Gegen ISO 27001 oder BSI-Grundschutz vergleichen; NIS2-spezifische Gaps markieren.

Governance & Rollen festlegen

Informationssicherheitsbeauftragter (CISO/ISO), Incident-Manager, Risk Owner, Notfallteam (CSIRT) benennen.

Risikoanalyse durchführen

Bedrohungen, Schwachstellen, Auswirkungen priorisieren; Maßnahmenplan mit Risikoeigentümern erstellen.

Technische Basismaßnahmen umsetzen

MFA, Patch-/Vulnerability-Management, EDR/AV, sichere Konfigurationen, Segmentierung, Backup-Strategie.

Prozesse etablieren

Richtlinien, SOPs und Playbooks für IAM, Change, Incident, Backup, Supplier Management schreiben und freigeben.

Melde- und Krisenprozesse testen

Erkennungsschwellen, Erstmeldung, Eskalation, Kommunikation (Kunde/Behörde), Lessons Learned üben.

Lieferkette absichern

Mindestanforderungen in Verträge, Sicherheitsfragebögen, Nachweise (z. B. ISO-Zertifikate) anfordern.

Schulungen & Awareness

Management-Briefing zu Haftung, Entwickler- und Admin-Trainings, Phishing-Übungen.

Nachweisführung

Kontrollen, Tests, Reports, Protokolle versioniert ablegen; Audit-Trail sicherstellen.

Praxis-Tipp: Planen Sie eine 30–60–90-Tage-Roadmap. 30 Tage: Assessment & Quick Wins. 60 Tage: Kernprozesse & Monitoring. 90 Tage: Tests, Lieferkette, Nachweise.

Meldepflichten, Governance und Haftung

Meldeprozesse: Nach § 32 BSIG (öffnet in neuem Tab) gilt eine frühe Erstmeldung binnen 24 Stunden, eine Vorfallsmeldung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats.
Management-Verantwortung: Nach § 38 BSIG (öffnet in neuem Tab) muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, überwachen und Schulungen absolvieren. Pflichtverletzungen begründen eine persönliche Haftung nach dem jeweils anwendbaren Gesellschaftsrecht.
Nachweis & Reporting: Berichte zu Risiko, Vorfällen, KPIs (z. B. Patch-Zyklen, Backup-Erfolgsquote) regelmäßig an die Geschäftsleitung.

Abgleich mit ISO 27001 und BSI-Grundschutz

NIS2 ist prinzipienbasiert. Viele Anforderungen überschneiden sich mit etablierten Standards.

NIS2-Thema	ISO 27001/ISO 27002	BSI-Grundschutz	Hinweis
Governance	A.5 Führung & Richtlinien	ORP, ISMS	Nutzen Sie existierende ISMS-Strukturen.
Asset-/Risiko	A.5/A.8 Asset, A.6 Planung, A.8.28 Vulnerability	INF, OPS, CON	Einheitliches Asset-Inventory ist Schlüsselfaktor.
Zugriff	A.5.15–A.5.18 IAM	OPS.1.1.2, SYS.1	MFA und Least Privilege priorisieren.
Betrieb & Patch	A.5.23–A.5.28	OPS.1, APP	Standardisieren Sie Patch-Fenster und Ausnahmen.
Logging/Erkennung	A.5.10–A.5.12	DET	Use-Case-basierte Logs statt „Alles loggen“.
Incident	A.5.24, A.5.25	DER, NOT	Playbooks, On-Call und forensische Leitlinien.
Continuity	A.5.30–A.5.33	BCM	RTO/RPO geschäftsseitig festlegen.
Lieferkette	A.5.19–A.5.22	OPS.1.1.5	Mindestanforderungen vertraglich fixieren.

Praxis-Tipp: Wenn Sie bereits ISO 27001-zertifiziert sind, fokussieren Sie auf NIS2-spezifische Lücken: Meldefristen, Lieferketten-Nachweise, Management-Trainings, Dokumentationspflichten.

Best Practices für NIS2-Maßnahmen

„Risk first“ statt „Tool first“: Maßnahmen direkt aus Top-Risiken ableiten.
Standardisieren: Golden Images, Baselines, genehmigte Softwarelisten.
Automatisieren: Patchen, Härtung, Konto-Bereinigung, Log-Sammlung.
Messen: Wenige, aber aussagekräftige KPIs (Mean Time to Detect/Respond, Patch-Zyklen, Restore-Erfolg).
Üben: Tabletop-Übungen, technische Drills, Lieferanten-Eskalation testen.

Typische Fehler von KMU

Nur Technik, keine Prozesse: Tools ohne klare Verantwortlichkeiten verpuffen.
Fehlende Inventarisierung: Ohne Überblick kein sinnvolles Risikomanagement.
Ungeübte Notfallprozesse: Playbooks existieren, wurden aber nie getestet.
Lieferkette ignoriert: Dienstleister sind oft Einfallstor und müssen gemanagt werden.
Nachweise vergessen: Keine Logs, keine Reports – keine Compliance.

Checkliste: Quick Wins in 30 Tagen

Asset- und Benutzerinventar aktualisiert (inkl. privilegierte Konten)
MFA für Admin-, Remote- und Cloud-Zugänge aktiviert
Kritische Patches priorisiert und Rollout-Fenster definiert
Backup-Strategie überprüft; mindestens ein Restore-Test bestanden
Zentrales Logging für Kernsysteme aktiv; Alarmierung für 5–10 Top-Use-Cases
Incident-Playbook veröffentlicht; Ansprechpartner und Eskalation benannt
Lieferantenliste mit Kritikalität und Mindestanforderungen erstellt
Management-Briefing zu Pflichten, Risiken und Roadmap durchgeführt

Häufige Fragen (FAQ)

Gilt NIS2 für mein KMU auch ohne „kritische Infrastruktur“-Status?

Ja, NIS2 erfasst neben klassischen KRITIS-Betreibern auch „wichtige Einrichtungen“ in weiteren Sektoren. Zudem gibt es Fälle mit Größenunabhängigkeit (z. B. bestimmte digitale Dienste). Prüfen Sie Sektor, Größe und Rolle in der Lieferkette.

Welche Fristen gelten für Meldungen von Sicherheitsvorfällen?

Laut § 32 BSIG (öffnet in neuem Tab) gilt ein dreistufiges Verfahren: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine ausführlichere Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Die 24-Stunden-Frist beginnt mit Kenntniserlangung, nicht mit dem Vorfall selbst.

Reicht eine ISO 27001-Zertifizierung für NIS2 aus?

Sie ist ein starker Start, deckt aber nicht automatisch alle NIS2-Anforderungen ab. Ergänzen Sie u. a. Meldeprozesse, Lieferketten-Nachweise, Management-Schulungen und dokumentierte Verantwortlichkeiten.

Welche Bußgelder drohen bei Verstößen?

Nach § 65 BSIG (öffnet in neuem Tab) drohen besonders wichtigen Einrichtungen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Gesamtumsatzes (bei einem Gesamtumsatz über 500 Millionen Euro), wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des Gesamtumsatzes. Das gilt für Verstöße gegen die Kernpflichten – Risikomanagementmaßnahmen nach § 30, Meldepflichten nach § 32 und die Registrierungspflicht nach § 33. Daneben drohen Reputationsschäden und vertragliche Konsequenzen.

Betrifft NIS2 auch unsere IT-Dienstleister?

Ja, Lieferkettensicherheit ist zentral. Dienstleister können selbst in den Geltungsbereich fallen oder müssen vertragliche Sicherheitsanforderungen erfüllen. Vereinbaren Sie Mindeststandards, Reporting und Incident-Informationspflichten.

Welche „NIS2-Maßnahmen“ sollte ich zuerst umsetzen?

Starten Sie mit Inventar, MFA, Patch-/Vulnerability-Management, Backup/Recovery-Tests sowie Logging/Monitoring für Kernsysteme. § 30 Absatz 2 BSIG (öffnet in neuem Tab) listet zehn Maßnahmenbereiche als gesetzliches Minimum, von Risikoanalyse über Lieferkettensicherheit bis Multi-Faktor-Authentifizierung. Parallel Governance und Zuständigkeiten klären.

Wie weise ich Compliance nach?

Durch Richtlinien, Risiko- und Maßnahmenpläne, Protokolle (Logs), Test- und Übungsnachweise, Schulungsunterlagen sowie regelmäßige Management-Reports. Strukturieren Sie diese Nachweise revisionssicher.

Was ändert sich für die Geschäftsleitung?

Nach § 38 BSIG (öffnet in neuem Tab) müssen Geschäftsleitungen die Risikomanagementmaßnahmen nach § 30 umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen zu Cyberrisiken teilnehmen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung gegenüber für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts.

Gibt es Übergangsfristen?

Nein. Das NIS2UmsuCG gilt laut SECJUR-Analyse der Gesetzeschronik (öffnet in neuem Tab) seit seinem Inkrafttreten am 6. Dezember 2025 ohne Übergangsfrist. Die einzige individuelle Frist ist die Dreimonatsfrist zur Registrierung nach § 33 BSIG ab dem Zeitpunkt, zu dem ein Unternehmen erstmals als betroffen gilt – und die allgemeine Registrierungsfrist ist laut BSI bereits abgelaufen.

Fazit

NIS2 ist für viele KMU relevant – auch jenseits klassischer KRITIS. Wer frühzeitig Prioritäten setzt, erreicht mit überschaubarem Aufwand ein deutlich höheres Sicherheitsniveau und ist vorbereitet auf Prüfungen, Kundenanforderungen und Meldepflichten.

Wir unterstützen Sie bei der Einordnung, beim Gap-Assessment und bei der Umsetzung pragmatischer NIS2-Maßnahmen. Buchen Sie jetzt ein unverbindliches Beratungsgespräch oder fordern Sie unseren NIS2-Workshop für Ihr Team an, um in 90 Tagen auditfähige Ergebnisse zu erreichen.