NIS2 im Mittelstand: Ist Ihr Unternehmen betroffen, und was gilt trotzdem?

Die europäische NIS-2-Richtlinie soll die Cybersicherheit in Unternehmen verbessern, die für Wirtschaft und Gesellschaft wichtig sind. Deutschland hat sie mit dem NIS-2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist. Eine allgemeine Übergangsfrist gibt es nicht. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG). Stand dieses Beitrags: Oktober 2026.

1. Wer betroffen ist

Zwei Dinge müssen zusammenkommen: die Größe und die Branche. Nach § 28 BSIG gilt ein Unternehmen als „wichtige Einrichtung“, wenn es mindestens 50 Beschäftigte hat oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme ist es eine „besonders wichtige Einrichtung“.

Dazu muss das Unternehmen in einem der Sektoren arbeiten, die in den Anlagen 1 und 2 des Gesetzes stehen. Das sind unter anderem Energie, Transport und Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Abfallbewirtschaftung, Chemie, Lebensmittel, das verarbeitende Gewerbe und Anbieter digitaler Dienste. Gerade das verarbeitende Gewerbe macht die Liste für viele Mittelständler relevant. Für einige Bereiche wie Telekommunikation oder Betreiber kritischer Anlagen gelten Sonderregeln.

Ob Ihr Unternehmen betroffen ist, müssen Sie selbst prüfen. Das BSI bietet dafür eine kostenlose Betroffenheitsprüfung im Internet an. Sie ist eine Orientierung, keine verbindliche Auskunft: Das BSI teilt Unternehmen nicht mit, ob sie betroffen sind oder nicht.

2. Was betroffene Unternehmen tun müssen

• Registrieren: Nach § 33 BSIG müssen sich betroffene Unternehmen spätestens drei Monate, nachdem sie erstmals unter das Gesetz fallen, beim BSI registrieren. Für Unternehmen, die seit Dezember 2025 betroffen sind, ist diese Frist laut BSI abgelaufen. Wer erst später unter das Gesetz fällt, etwa durch Wachstum, hat ab diesem Zeitpunkt drei Monate. Die Registrierung läuft über das BSI-Portal und braucht ein ELSTER-Organisationszertifikat.
• Risikomanagement: Das Unternehmen muss technische und organisatorische Maßnahmen ergreifen, um seine IT abzusichern, zum Beispiel für Datensicherung, Zugriffsrechte und den Umgang mit Vorfällen (§ 30 BSIG).
• Melden: Erhebliche Sicherheitsvorfälle gehen an die gemeinsame Meldestelle von BSI und BBK. Nach § 32 BSIG gibt es eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach.

3. Was die Geschäftsleitung persönlich betrifft

NIS2 ist kein Thema, das sich vollständig an die IT oder den Dienstleister abgeben lässt. § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen zum Risikomanagement umzusetzen und ihre Umsetzung zu überwachen. Für schuldhaft verursachte Schäden haftet sie dem Unternehmen nach dem jeweiligen Gesellschaftsrecht. Außerdem muss sie regelmäßig an Schulungen teilnehmen.

Praktisch heißt das: Die Geschäftsführung muss wissen, welche Maßnahmen es gibt, wer sie verantwortet und ob sie funktionieren. Ein Bericht des IT-Dienstleisters, den niemand liest, reicht dafür nicht. Ob und wie Ihr Unternehmen im Einzelnen betroffen ist, klären Sie im Zweifel mit Ihrer Anwältin oder Ihrem Anwalt.

4. Wenn Sie nicht betroffen sind

Für die meisten kleinen Unternehmen gilt NIS2 nicht. Angegriffen werden sie trotzdem. Das BSI hat deshalb Unterlagen veröffentlicht, die sich ausdrücklich auch an kleine und mittlere Unternehmen richten. Drei davon lohnen sich für jeden Betrieb:

• Die IT-Notfallkarte „Verhalten bei IT-Notfällen“: eine Seite, die neben jeden Rechner gehört.
• Die TOP 12 Maßnahmen bei Cyber-Angriffen: was in den ersten Stunden zu tun ist.
• Die Top 10 Ransomware-Maßnahmen: wie Sie sich gegen Erpressungstrojaner schützen, bevor etwas passiert.

Alle drei finden Sie kostenlos auf der Website des BSI.

5. Drei Fragen, die Sie heute klären können

Unabhängig von NIS2 sollte jede Geschäftsführung diese Fragen beantworten können:

• Wer ist bei einem Angriff zuerst anzurufen, auch abends und am Wochenende, und steht die Nummer irgendwo auf Papier?
• Wann wurde zuletzt geprüft, ob sich die Datensicherung wirklich zurückspielen lässt?
• Laufen die wichtigen Zugänge (Microsoft 365, Domain, Firewall) auf Ihr Unternehmen oder nur auf den Dienstleister?

Wer im Ernstfall nicht weiterweiß, erreicht das Service-Center des BSI kostenlos unter 0800 274 1000, montags bis donnerstags von 8 bis 17 Uhr und freitags von 8 bis 16 Uhr.

Und dann?

Ich bin keine Notfall-IT und ersetze weder Ihren IT-Dienstleister noch eine Rechtsberatung. Ich sorge dafür, dass die Fragen oben eine Antwort haben: Im Digital Check sehen wir uns an einem halben Tag an, wie Ihr Unternehmen bei Datensicherung, Zugängen und Dienstleistern aufgestellt ist. Im Monatspaket halte ich mit Ihrem IT-Dienstleister nach, dass die Maßnahmen umgesetzt werden und die Geschäftsführung den Überblick behält. Für eine einzelne Frage reicht eine Einzelberatung.