Stand: Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ist keine Rechtsberatung. Ob Ihr Unternehmen unter NIS-2 fällt, hängt vom Einzelfall ab. Lassen Sie die Einstufung im Zweifel rechtlich prüfen.
Seit dem 6. Dezember 2025 ist in Deutschland das NIS-2-Umsetzungsgesetz in Kraft. Es setzt eine europäische Richtlinie zur Cybersicherheit um und hat das zugrunde liegende Gesetz zur Informationssicherheit grundlegend neu gefasst. Deutlich mehr Unternehmen als früher müssen nun verbindliche Sicherheitsmaßnahmen umsetzen. Für Inhaber kleiner Betriebe stellt sich deshalb die Frage: Bin ich von NIS-2 betroffen, und was bedeutet das für mich?
Wer unter NIS-2 fällt: Sektor und Größe
Ob ein Unternehmen unmittelbar betroffen ist, ergibt sich im Wesentlichen aus zwei Fragen. Erstens: Ist es in einem der Sektoren tätig, die das Gesetz in seinen Anlagen aufzählt? Zweitens: Erreicht es bestimmte Größenschwellen? Nur wenn beides zutrifft, gilt es in aller Regel als „wichtige“ oder „besonders wichtige Einrichtung“.
Die Schwellenwerte orientieren sich an der europäischen Definition kleiner und mittlerer Unternehmen:
- Wichtige Einrichtung: mindestens 50 Beschäftigte oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro
- Besonders wichtige Einrichtung: mindestens 250 Beschäftigte oder ein Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro
- Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit des Unternehmens vernachlässigbar sind, bleiben bei der Einstufung unberücksichtigt
Für die meisten Kleinbetriebe mit weniger als 50 Beschäftigten und geringerem Umsatz bedeutet das: Sie sind in der Regel nicht unmittelbar betroffen. Es gibt allerdings Ausnahmen. Einige Anbieter fallen unabhängig von ihrer Größe unter das Gesetz, etwa bestimmte Vertrauensdiensteanbieter, Anbieter öffentlicher Telekommunikationsnetze oder Betreiber kritischer Anlagen.
Welche Sektoren erfasst sind
Das Gesetz unterscheidet zwei Gruppen von Sektoren. Zur ersten Gruppe gehören unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser und Abwasser, Informationstechnik und Telekommunikation sowie Weltraum. Die zweite Gruppe umfasst weitere Bereiche, deren Einrichtungen nur als „wichtig“ eingestuft werden können, darunter:
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Produktion, Herstellung und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Verarbeitendes Gewerbe, zum Beispiel Maschinenbau, Fahrzeugbau, Medizinprodukte sowie elektrische und elektronische Erzeugnisse
- Anbieter digitaler Dienste wie Online-Marktplätze, Suchmaschinen und soziale Netzwerke
- Forschung
Die genaue Zuordnung ergibt sich aus den Anlagen zum Gesetz und ist im Detail nicht immer eindeutig. Die zuständige Bundesbehörde stellt online eine Betroffenheitsprüfung bereit, mit der Sie eine erste Einschätzung vornehmen können.
Pflichten für betroffene Unternehmen
Wer betroffen ist, muss sich bei der zuständigen Bundesbehörde registrieren. Das Gesetz sieht dafür eine Frist von drei Monaten vor, nachdem ein Unternehmen erstmals als betroffene Einrichtung gilt. Für Unternehmen, die schon beim Inkrafttreten betroffen waren, endete diese Frist am 6. März 2026. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen. Hinzu kommen weitere Pflichten:
- Risikomanagement mit technischen und organisatorischen Sicherheitsmaßnahmen, etwa zu Zugriffskontrolle, Datensicherung, Notfallplanung, Verschlüsselung und Mehrfaktor-Anmeldung
- Meldung erheblicher Sicherheitsvorfälle in mehreren Stufen: eine frühe Erstmeldung spätestens nach 24 Stunden, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat später
- Verantwortung der Geschäftsleitung: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen
Bei Verstößen drohen Bußgelder. Die Geschäftsleitung kann zudem persönlich in der Verantwortung stehen.
Mittelbar betroffen: Zulieferer und Dienstleister
Auch wenn Ihr Betrieb selbst nicht unter NIS-2 fällt, kann das Gesetz Sie erreichen. Betroffene Unternehmen müssen nämlich auch die Sicherheit ihrer Lieferkette berücksichtigen, einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern. In der Praxis geben sie diese Anforderungen an ihre Partner weiter.
Für kleine Zulieferer, Handwerksbetriebe, Agenturen oder Dienstleister zeigt sich das zum Beispiel so: Ein Kunde schickt einen Fragebogen zur IT-Sicherheit, verlangt den Nachweis bestimmter Maßnahmen oder nimmt neue Sicherheitsklauseln in den Vertrag auf. Typische Fragen betreffen die Mehrfaktor-Anmeldung, die Datensicherung, den Umgang mit Sicherheitsvorfällen und die Aktualität der Geräte. Wer hier keine überzeugenden Antworten geben kann, riskiert im ungünstigsten Fall einen Auftrag.
Was Sie jetzt tun können
Prüfen Sie zunächst anhand von Sektor und Größe, ob Ihr Unternehmen unmittelbar betroffen sein könnte. Ist das wahrscheinlich, sollten Sie die Einstufung rechtlich klären lassen und die Registrierung nicht aufschieben. Sind Sie nicht unmittelbar betroffen, lohnt es sich trotzdem, die eigenen Sicherheitsmaßnahmen zu ordnen und zu dokumentieren. Das hilft bei Anfragen von Kunden und schützt Ihren Betrieb unabhängig von jeder gesetzlichen Pflicht.
Einen ersten Überblick über Ihren Stand gibt unser kostenloser IT-Sicherheits-Selbstcheck auf strategyc.de/downloads. Bei Fragebögen von Kunden oder der Frage nach Ihrer Betroffenheit unterstützen wir Sie gern in einem kostenlosen Erstgespräch, ohne Rechtsberatung zu ersetzen.
Rückruf
Möchten Sie das für Ihr Unternehmen klären?
Wir schauen gemeinsam auf Ihre Situation und sagen Ihnen ehrlich, wo Handlungsbedarf besteht.
Rückruf anfordern
