NIS2 für den Mittelstand: was die Richtlinie wirklich verlangt

NIS2 ist die europäische Richtlinie über die Sicherheit von Netz- und Informationssystemen (Richtlinie (EU) 2022/2555). Sie hat im Januar 2023 die erste NIS-Richtlinie abgelöst und musste bis Oktober 2024 in nationales Recht umgesetzt werden. In Deutschland geschah das mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist und das BSI-Gesetz (BSIG) neu fasst. Der Inhalt ist in allen Mitgliedstaaten derselbe; nationale Gesetze dürfen mehr verlangen, nie weniger.

Für ein Unternehmen mit fünfzig Beschäftigten lautet die Frage selten „Wie werden wir morgen konform?“, sondern „Betrifft uns das überhaupt, und wenn ja, was ist der erste sinnvolle Schritt?“. Dieser Leitfaden beantwortet beides.

Wer betroffen ist

Drei Bedingungen entscheiden, in dieser Reihenfolge.

Ihr Sektor. Die Richtlinie nennt achtzehn Sektoren in zwei Anhängen. Anhang I, „Sektoren mit hoher Kritikalität“: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur (Rechenzentren, Cloud, DNS, Content-Delivery-Netze, Telekommunikation, Vertrauensdienste), IKT-Dienste für andere Unternehmen (Managed Services und Managed Security Services), öffentliche Verwaltung und Weltraum. Anhang II, „sonstige kritische Sektoren“: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, die Herstellung von Medizinprodukten, Elektronik, elektrischen Ausrüstungen, Maschinen und Fahrzeugen, Online-Marktplätze, Suchmaschinen und soziale Netzwerke sowie Forschung.

Ihre Größe. Grundsätzlich sind nur Unternehmen erfasst, die nach EU-Definition mindestens mittelgroß sind: 50 Beschäftigte oder mehr, oder sowohl ein Jahresumsatz als auch eine Bilanzsumme von mehr als 10 Millionen Euro. Gezählt wird die ganze Gruppe, einschließlich Partner- und verbundener Unternehmen.

Einige Ausnahmen von der Größenregel. DNS-Diensteanbieter, TLD-Namenregister und qualifizierte Vertrauensdiensteanbieter sind unabhängig von ihrer Größe erfasst, ebenso Telekommunikationsanbieter. Ein Staat kann außerdem ein kleines Unternehmen bestimmen, das einziger Anbieter eines wesentlichen Dienstes im Land ist.

Die kostenlose NIS2-Betroffenheitsprüfung wendet diese Regeln für Sie an, nennt den maßgeblichen Artikel und zeigt die Rechtslage in Deutschland, Frankreich und Irland.

Besonders wichtig oder wichtig

Erfasste Einrichtungen fallen in zwei Kategorien. Große Unternehmen eines Sektors aus Anhang I sind besonders wichtige Einrichtungen (in der Richtlinie „wesentlich“); mittlere aus Anhang I und mittlere oder große aus Anhang II sind wichtige Einrichtungen.

Die Pflichten sind dieselben. Unterschiedlich sind Aufsicht und Bußgelder: Besonders wichtige Einrichtungen können jederzeit geprüft werden und riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes; wichtige Einrichtungen werden nachträglich beaufsichtigt, bei Hinweisen auf einen Verstoß, mit Bußgeldern bis zu 7 Millionen Euro oder 1,4 Prozent.

Die zehn Maßnahmen aus Artikel 21

Artikel 21 verlangt „geeignete und verhältnismäßige“ Maßnahmen und nennt das Minimum (im BSIG § 30):

1. Konzepte zur Risikoanalyse und Sicherheit der Informationssysteme.
2. Bewältigung von Sicherheitsvorfällen.
3. Aufrechterhaltung des Betriebs: Backups, Wiederherstellung, Krisenmanagement.
4. Sicherheit der Lieferkette, einschließlich der Sicherheitspraktiken Ihrer Lieferanten.
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit Schwachstellen.
6. Bewertung der Wirksamkeit der Maßnahmen.
7. Grundlegende Cyberhygiene und Schulungen.
8. Kryptografie und Verschlüsselung.
9. Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen.
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

„Verhältnismäßig“ zählt. Niemand erwartet von einem Lebensmittelgroßhändler mit 60 Beschäftigten ein eigenes Security Operations Center. Die Behörden erwarten Maßnahmen, die zum Risiko passen, und dass sie dokumentiert sind.

Meldepflicht: 24 Stunden, 72 Stunden, ein Monat

Artikel 23 (im BSIG § 32) setzt die Uhr für einen erheblichen Sicherheitsvorfall, der Ihre Dienste schwer stört oder anderen erheblichen Schaden zufügt:

• eine Frühwarnung binnen 24 Stunden, nachdem Sie davon erfahren haben, mit der Angabe, ob der Vorfall böswillig sein oder grenzüberschreitende Auswirkungen haben könnte;
• eine Meldung binnen 72 Stunden mit einer ersten Bewertung;
• einen Abschlussbericht binnen eines Monats.

An der 24-Stunden-Frist scheitern Unternehmen am häufigsten, weil niemand weiß, wer entscheidet, dass ein Vorfall erheblich ist, und wer die Warnung abschickt. Legen Sie es jetzt fest, auf einer Seite: wer meldet, wer benachrichtigt, wer mit den Kunden spricht.

Die Geschäftsleitung haftet

Artikel 20 (im BSIG § 38) verpflichtet die Geschäftsleitung, die Sicherheitsmaßnahmen zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. Wer das versäumt, kann persönlich haften. Für ein kleines Unternehmen ist das eine verkappte gute Nachricht: Sicherheit ist nicht mehr nur „Sache der IT“.

Wo Sie diesen Monat anfangen

1. Prüfen Sie, ob Sie betroffen sind, und registrieren Sie sich gegebenenfalls beim BSI (über das BSI-Portal mit einem ELSTER-Organisationszertifikat).
2. Listen Sie auf, was sichtbar ist. Was man nicht kennt, kann man nicht schützen: Domains, Subdomains, Mailserver, Zertifikate, offene Ports. Ein externes Audit liefert diese Liste in Minuten.
3. Beheben Sie zuerst das Einfache und Sichtbare. E-Mail, die jeder in Ihrem Namen fälschen kann (keine DMARC-Richtlinie, siehe SPF, DKIM und DMARC), bald ablaufende Zertifikate, Dienste mit bekannten, aktiv ausgenutzten Schwachstellen. Das probieren Angreifer zuerst, und das sieht ein Prüfer zuerst.
4. Schreiben Sie die oben beschriebene Seite zum Vorfall.
5. Listen Sie Ihre kritischen Lieferanten auf und wie Sie sie prüfen (siehe Lieferantensicherheit nach NIS2).
6. Bewahren Sie Nachweise auf. Datierte Berichte, die zeigen, dass Probleme gefunden und behoben wurden, sind mehr wert als eine Richtlinie, die niemand befolgt.

Nicht betroffen? Ihre Kunden vielleicht schon

Viele kleine Unternehmen begegnen NIS2, ohne selbst erfasst zu sein: Ein betroffener Kunde muss die Sicherheit seiner Lieferkette prüfen und schickt einen Fragebogen oder ergänzt den Vertrag. Ein aktueller externer Bericht und der Nachweis, wie Sie das Gefundene behoben haben, beantworten die meisten dieser Fragen.

Wie Perimetry hilft

Perimetry Cloud prüft Ihre Domains jede Woche von außen und ordnet jeden Befund der NIS2-Maßnahme zu, zu der er gehört, in einer exportierbaren Compliance-Ansicht. Die online überprüfbare Bescheinigung zeigt Kunden oder Prüfern, dass Sie Ihre Angriffsfläche laufend überwachen. Lieferanten werden genauso überwacht, nur mit öffentlichen Prüfungen.