Zum Inhalt springen
MARCODES
Abstraktes Relief aus dunklem Papier: ein Weg teilt sich zweimal, ein Endstück leuchtet orange

NIS2 im Mittelstand: So prüfen Sie, ob Ihr Unternehmen betroffen ist

Ob Ihr Unternehmen von NIS2 betroffen ist, entscheiden zwei Fragen: Gehört Ihre Tätigkeit zu einem der Sektoren in Anlage 1 oder 2 des BSI-Gesetzes, und haben Sie mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme? Treffen beide zu, gelten Registrierung, Meldepflichten und Risikomanagement seit dem 06.12.2025.

9 min Lesezeit Beratung und Digitalisierung

Seit dem 06.12.2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es hat das BSI-Gesetz (BSIG) neu gefasst und den Kreis der beaufsichtigten Einrichtungen stark erweitert: Nach Angaben des BSI sind es rund 29.500 statt bisher etwa 4.500. Viele davon sind mittelständische Hersteller, Logistiker oder IT-Dienstleister, die mit kritischen Infrastrukturen bisher nichts zu tun hatten. Eine Mitteilung vom BSI bekommen sie nicht. Das Gesetz verlangt, dass jedes Unternehmen selbst prüft, ob es betroffen ist.

Diese Prüfung dauert nach unserer Schätzung einen halben Tag, wenn Handelsregisterauszug, Jahresabschluss und eine Liste der Tätigkeiten vorliegen. Schwierig wird sie bei Unternehmensgruppen und Nebentätigkeiten; für beides gibt es Regeln, die weiter unten stehen.

Rechtsrahmen

Was NIS2 und das deutsche Umsetzungsgesetz regeln

NIS2 ist die europäische Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau. Deutschland hat sie mit dem NIS2UmsuCG umgesetzt, das am 05.12.2025 verkündet wurde und am Folgetag in Kraft trat. Die Pflichten für Unternehmen stehen im neuen BSIG, vor allem in den §§ 28 bis 40.

Das Gesetz unterscheidet zwei Gruppen:

  • Besonders wichtige Einrichtungen: größere Unternehmen in den Sektoren der Anlage 1 sowie einige Anbieter unabhängig von ihrer Größe, etwa qualifizierte Vertrauensdiensteanbieter und DNS-Dienstanbieter.

  • Wichtige Einrichtungen: mittlere Unternehmen in den Sektoren der Anlage 1 und Unternehmen ab mittlerer Größe in den Sektoren der Anlage 2.

Beide Gruppen haben dieselben Grundpflichten: registrieren, erhebliche Sicherheitsvorfälle melden, Risikomanagement umsetzen. Unterschiede gibt es bei der Aufsicht und bei der Höhe der Bußgelder. Betreiber kritischer Anlagen (das frühere KRITIS) haben zusätzliche Pflichten, um die es hier nicht geht.

Wer Produkte mit digitalen Elementen herstellt, hat mit dem Cyber Resilience Act eine zweite, eigene Regelung zu beachten. NIS2 betrifft den Betrieb des eigenen Unternehmens, der CRA das Produkt. Die Meldepflichten für Hersteller nach dem CRA beschreibt ein eigener Beitrag.

Prüfschritte

Größenschwellen und Sektoren

Die Betroffenheit prüfen Sie in zwei Schritten, und zwar in dieser Reihenfolge: erst der Sektor, dann die Größe. Ein Unternehmen mit 2.000 Beschäftigten außerhalb der Sektoren ist nicht betroffen.

Schritt 1: Gehört Ihre Tätigkeit zu einem Sektor?

Anlage 1 des BSIG nennt Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 nennt unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Forschung, Online-Marktplätze und Suchmaschinen sowie Teile des verarbeitenden Gewerbes. Für den Mittelstand sind zwei Einträge besonders wichtig:

  • Verarbeitendes Gewerbe (Anlage 2): Hersteller von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, von elektrischen Ausrüstungen, Maschinenbau sowie Kraftwagen und sonstiger Fahrzeugbau; maßgeblich sind hier die Abteilungen 26 bis 30 der Wirtschaftszweig-Klassifikation NACE. Hersteller von Medizinprodukten und In-vitro-Diagnostika stehen als eigener Eintrag in derselben Anlage. Sie werden nicht über eine NACE-Abteilung bestimmt, sondern über die Begriffe der Medizinprodukte-Verordnung (EU) 2017/745 und der IVD-Verordnung (EU) 2017/746.

  • Digitale Infrastruktur (Anlage 1): Dazu zählen Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten sowie Managed Service Provider, also Unternehmen, die für Kunden IT-Systeme betreiben oder verwalten. Viele IT-Systemhäuser fallen genau hierunter.

Tätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, bleiben bei der Zuordnung außer Betracht (§ 28 Abs. 3 BSIG). Ein Großhändler, der nebenbei eine kleine Menge eigener Ware herstellt, wird dadurch nicht zum Hersteller im Sinne der Anlage 2. Wo die Grenze liegt, sagt das Gesetz nicht. Halten Sie die Begründung schriftlich fest.

Schritt 2: Erreichen Sie die Größenschwelle?

Für die meisten Sektoren gelten die Schwellen aus § 28 Abs. 1 und 2 BSIG:

  • Wichtige Einrichtung: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Jahresbilanzsumme.

  • Besonders wichtige Einrichtung (nur Anlage 1): mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme.

Bei der zweiten Bedingung zählt das „und“. Ein Maschinenbauer mit 45 Beschäftigten, 12 Millionen Euro Umsatz und 8 Millionen Euro Bilanzsumme ist nicht betroffen: Er liegt unter 50 Beschäftigten, und die Bilanzsumme liegt nicht über 10 Millionen Euro. Steigt die Bilanzsumme im nächsten Jahr auf 11 Millionen Euro, ist er wichtige Einrichtung.

Gezählt wird nach der EU-Empfehlung 2003/361/EG zur Definition kleiner und mittlerer Unternehmen. Daraus ergeben sich drei Punkte, die bei der Prüfung oft falsch laufen:

  • Teilzeit zählt anteilig. Beschäftigte werden in Jahresarbeitseinheiten gerechnet. Zwei Halbtagskräfte zählen als eine Einheit. Auszubildende werden nicht mitgezählt.

  • Verbundene Unternehmen zählen mit. Gehört Ihr Unternehmen zu einer Gruppe, werden Beschäftigte und Zahlen von Partner- und verbundenen Unternehmen grundsätzlich hinzugerechnet. Nach § 28 Abs. 4 BSIG entfällt das, wenn Ihr Unternehmen bei seinen IT-Systemen, Komponenten und Prozessen unabhängig von diesen Unternehmen ist. Teilen sich die Gesellschaften Server, Mailsystem oder IT-Abteilung, ist diese Unabhängigkeit schwer zu begründen.

  • Maßgeblich sind die Zahlen des letzten Abschlusses, nicht eine Prognose.

Die Online-Betroffenheitsprüfung des BSI gibt eine erste, nach Angabe des BSI nicht rechtsverbindliche Einschätzung.

Drei Stufen steigen nach hinten an, auf jeder liegt eine Meldung, die erste Stufe ist orange.

Melden

Registrierung und Meldepflichten

Betroffene Unternehmen müssen sich beim BSI registrieren, spätestens drei Monate nachdem sie erstmals als Einrichtung gelten (§ 33 BSIG). Für alle, die schon am 06.12.2025 betroffen waren, endete diese gesetzliche Frist am 06.03.2026. Verspätete Registrierungen hat das BSI nach Angaben mehrerer IHKs noch bis zum 31.07.2026 hingenommen. Das war eine Duldung, keine Verlängerung der gesetzlichen Frist, und sie ist zum Datum dieses Beitrags abgelaufen. Wer betroffen ist und sich noch nicht registriert hat, ist verspätet; das BSI fordert auf seiner Seite zu NIS-2 dazu auf, die Registrierung umgehend nachzuholen. Fehlende Registrierungsangaben können ein Bußgeld bis zu 500.000 Euro kosten (§ 65 BSIG). Wer die Schwelle erst später überschreitet, hat wieder drei Monate.

Die Registrierung läuft in zwei Stufen. Zuerst braucht das Unternehmen ein Konto bei „Mein Unternehmenskonto“ (MUK) mit einem ELSTER-Organisationszertifikat. Danach folgt die Anmeldung im BSI-Portal, das seit dem 06.01.2026 freigeschaltet ist. Planen Sie dafür Vorlauf ein: Die Zugangsdaten für das ELSTER-Zertifikat kommen per Post.

Zu den Pflichtangaben gehören neben Name, Rechtsform und Kontaktdaten auch die öffentlichen IP-Adressbereiche des Unternehmens. Ändert sich eine Angabe, müssen Sie das innerhalb von zwei Wochen nachtragen (§ 33 Abs. 5 BSIG). Bei einem Wechsel des Hosting-Anbieters oder des Internetanschlusses geht das schnell unter. Nehmen Sie die Meldung deshalb in die Checkliste für Umzüge auf.

Erhebliche Sicherheitsvorfälle melden Sie in festen Stufen (§ 32 BSIG):

  1. Frühe Erstmeldung spätestens 24 Stunden, nachdem Sie vom Vorfall erfahren haben.

  2. Meldung mit einer ersten Bewertung spätestens nach 72 Stunden.

  3. Zwischenmeldung, wenn das BSI darum bittet.

  4. Abschlussmeldung spätestens einen Monat nach der Meldung, bei laufenden Vorfällen zunächst eine Fortschrittsmeldung.

Die 24-Stunden-Frist läuft auch am Wochenende; wer erst am Montag die Geschäftsführung erreicht, ist zu spät. Legen Sie vorher fest, wer meldet, wer vertritt und wo die Zugangsdaten für das Portal liegen.

Leitung

Pflichten der Geschäftsleitung

Die Geschäftsleitung muss die Maßnahmen zum Risikomanagement umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Delegieren kann sie die Arbeit, nicht die Verantwortung. Verletzt sie diese Pflicht, haftet sie dem Unternehmen für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts, bei einer GmbH also nach dem GmbH-Gesetz.

Dazu kommt eine persönliche Schulungspflicht: Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagement in der Informationssicherheit beurteilen zu können (§ 38 Abs. 3 BSIG). Wie oft und wie lange, legt das Gesetz nicht fest. Dokumentieren Sie Datum, Inhalt und Teilnehmer.

Welche Maßnahmen gemeint sind, zählt § 30 Abs. 2 BSIG auf. Darunter sind:

  • Konzepte für Risikoanalyse und Informationssicherheit

  • Bewältigung von Sicherheitsvorfällen

  • Aufrechterhaltung des Betriebs, Backup-Management und Wiederherstellung nach einem Notfall

  • Sicherheit der Lieferkette, also auch der Beziehungen zu direkten Dienstleistern

  • Schulungen und Sensibilisierung

  • Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung

Damit die Überwachung nachweisbar ist, hilft eine Form aus regulierten Branchen: zu jeder Maßnahme die Vorschrift, aus der sie folgt, die verantwortliche Person und der Nachweis. Für einen großen deutschen Versicherer haben wir so über rund zehn Monate Prozesse in BPMN dokumentiert, im stärksten Quartal mit 235 Stunden; fast jeder Schritt verwies dort auf ein Gesetz, eine Aufsichtsregel oder eine Konzernrichtlinie.

Die Bußgelder richten sich nach der Gruppe: bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz sind es bis zu 2 beziehungsweise 1,4 Prozent des weltweiten Umsatzes (§ 65 BSIG). Fehlende oder verspätete Registrierungsangaben können bis zu 500.000 Euro kosten.

Die EU-Kommission hat im Januar 2026 Änderungen an der NIS2-Richtlinie vorgeschlagen, unter anderem für Unternehmen zwischen mittlerer und großer Größe. Bis zum Stand dieses Beitrags ist daraus kein geltendes Recht geworden. Für die Prüfung zählt das BSIG in seiner jetzigen Fassung.

Ohne Pflicht

Was auch nicht betroffene Unternehmen übernehmen sollten

Auch wer unter den Schwellen liegt, bekommt NIS2 zu spüren, und zwar über die Kunden. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis landen Fragebögen zur Informationssicherheit bei Zulieferern, Softwarehäusern und Agenturen, und neue Verträge enthalten Klauseln zu Meldewegen und Mindeststandards.

Vier Maßnahmen bringen Sie dabei weit, ohne dass Sie den vollen Katalog umsetzen müssen:

  1. Ein Ansprechpartner für Sicherheitsfragen mit Vertretung, erreichbar über eine feste Adresse.

  2. Ein kurzer Notfallplan: wer entscheidet, wer informiert Kunden, wo liegen Backups, wie lange dauert eine Wiederherstellung. Testen Sie die Wiederherstellung einmal im Jahr.

  3. Multi-Faktor-Anmeldung für E-Mail, Fernzugriff und alle Verwaltungsoberflächen.

  4. Eine Liste Ihrer eigenen Dienstleister mit Serverstandort, Vertrag und Ansprechpartner. Wo Ihre Daten liegen und warum der Standort mehr ist als eine Datenschutzfrage, beschreibt der Beitrag EU-Hosting: mehr als Schrems II.

Wie wir Anwendungen mit Schutzbedarfsanalyse und dokumentierten Maßnahmen bauen, steht auf unserer Seite zu Sicherheit und Compliance.

Oft gefragt

Häufige Fragen

  • Nicht durch das Gesetz selbst, wenn Sie die Schwellen nicht erreichen oder in keinem Sektor tätig sind. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen über Verträge und Fragebögen weiter. Was dort vereinbart wird, ist für Sie dann vertraglich bindend.

  • Das BSIG sieht Bußgelder bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen vor, bei sehr großen Unternehmen umsatzabhängig mehr. Für fehlende oder falsche Registrierungsangaben sind bis zu 500.000 Euro möglich. Daneben kann die Geschäftsleitung dem Unternehmen gegenüber für Schäden haften, wenn sie ihre Pflichten verletzt.

Anforderungen aus NIS2 in Ihrer Software

Wir bauen Anwendungen mit Schutzbedarfsanalyse, Protokollierung relevanter Aktionen und dokumentierten Maßnahmen, die Sie in Kunden-Fragebögen und Audits vorlegen können.

Sicherheit und Compliance bei MARCODES

Nachweise

Quellen und Stand

Stand: 21.09.2026. Der Beitrag beschreibt die Rechtslage nach BSIG und NIS-2-Richtlinie zu diesem Datum und ist keine Rechtsberatung. Ob Ihr Unternehmen betroffen ist, klären Sie im Zweifel mit einem Anwalt.

Artikel teilen