NIS2 · ORIENTIERUNG
Bin ich von NIS2 betroffen? Der Wegweiser für den Mittelstand
Lesezeit etwa 6 Minuten · Stand Juli 2026
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es verpflichtet rund 29.500 Unternehmen zu mehr Cybersicherheit. Die erste Frage, die sich jede Geschäftsführung stellt, ist denkbar einfach: Gehöre ich überhaupt dazu? Dieser Beitrag hilft Ihnen, Ihre Lage in wenigen Minuten einzuordnen. Ohne Paragraphendschungel und ohne Panik.
Worum es bei NIS2 eigentlich geht
NIS2 ist eine europäische Richtlinie für ein einheitliches Mindestniveau an Cybersicherheit. Deutschland hat sie spät umgesetzt, am Ende aber mit einer deutlichen Verschärfung. Das deutsche Gesetz ist kein eigenes Werk neben dem bisherigen Recht, sondern eine tiefgreifende Novelle des BSI-Gesetzes. Wer also intern noch nach einem „kommenden NIS2-Gesetz“ fragt, sollte präziser werden. Relevant ist das bereits geltende Recht im novellierten BSIG.
Der entscheidende Unterschied zur Vergangenheit ist der Kreis der Betroffenen. Das alte IT-Sicherheitsgesetz richtete sich vor allem an Betreiber kritischer Infrastrukturen. NIS2 zieht den Kreis viel weiter und nimmt erstmals auch klassische Mittelstandsbranchen in die Pflicht, die mit IT-Sicherheitsregulierung bisher wenig zu tun hatten.
Die zwei Fragen, die über Ihre Betroffenheit entscheiden
Ob Ihr Unternehmen in den Anwendungsbereich fällt, lässt sich auf zwei Fragen herunterbrechen. Beide müssen zutreffen.
Frage 1: Erreichen Sie die Größenschwelle?
Maßgeblich ist eine von zwei Grenzen. Entweder Sie beschäftigen mindestens 50 Mitarbeiter oder Sie erzielen mindestens 10 Millionen Euro Jahresumsatz beziehungsweise eine entsprechende Bilanzsumme. Wichtig ist, dass sich diese Werte auf das gesamte Unternehmen beziehen und nicht nur auf einen einzelnen Geschäftsbereich. Wer als Gruppe größer ist, prüft genauer.
Frage 2: Sind Sie in einem der regulierten Sektoren tätig?
Das Gesetz benennt 18 Sektoren in zwei Anlagen. Dazu gehören die erwartbaren Bereiche wie Energie, Wasser, Gesundheit, Finanzen und digitale Infrastruktur. Neu und für viele überraschend sind die ergänzten Branchen. Maschinenbau, Lebensmittelproduktion, Chemie, Abfallwirtschaft, Post- und Kurierdienste sowie ein breites Feld digitaler Dienste fallen nun ebenfalls darunter. Gerade die Aufnahme von Maschinenbau und Lebensmittelproduktion schließt eine lange offene Lücke, weil moderne Produktionsanlagen hochgradig vernetzt sind.
Unsicher bei der Einordnung?
In der Compliance Sprechstunde ordnen wir Ihre Situation gemeinsam ein und zeigen Ihnen die nächsten sinnvollen Schritte. Persönlich, konkret und ohne Verkaufsdruck.
Besonders wichtig oder wichtig: warum die Einordnung zählt
Trifft beides zu, teilt das Gesetz Ihr Unternehmen in eine von zwei Kategorien ein. Es gibt besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Zuordnung hängt erneut von Größe und Sektor ab und entscheidet über die Intensität der Aufsicht sowie über die Höhe möglicher Bußgelder. Für besonders wichtige Einrichtungen prüft das BSI strenger und greift früher ein. Bei wichtigen Einrichtungen ist die Aufsicht stärker an konkrete Anhaltspunkte geknüpft.
Für die eigentliche Sacharbeit ändert die Kategorie wenig. Die Kernpflichten zum Risikomanagement und zur Meldung von Sicherheitsvorfällen gelten für beide Gruppen. Der Unterschied liegt im Risiko, wenn etwas schiefgeht.
Der unterschätzte Fall: Betroffenheit über die Lieferkette
Jetzt kommt der Punkt, den viele kleinere Unternehmen übersehen. Vielleicht liegen Sie unter den Schwellenwerten und sind formal nicht direkt verpflichtet. Das heißt nicht, dass NIS2 Sie nichts angeht. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette absichern und reichen diese Anforderung an ihre Dienstleister und Zulieferer weiter. Ein IT-Dienstleister mit zehn Mitarbeitern, der einen Energieversorger betreut, ist gesetzlich nicht verpflichtet. Über die Verträge seines Kunden wird er es trotzdem.
Dieser indirekte Pfad ist für den Mittelstand oft die eigentlich relevante Größe. Wir haben ihm einen eigenen Beitrag gewidmet, weil daran für viele Zulieferer der Zugang zu wichtigen Aufträgen hängt.
Was Betroffenheit konkret bedeutet
Wer in den Anwendungsbereich fällt, hat vier Pflichtenblöcke vor sich. Die Registrierung beim BSI nach Paragraph 33. Die Umsetzung von Risikomanagementmaßnahmen nach Paragraph 30. Ein gestuftes Verfahren zur Meldung erheblicher Sicherheitsvorfälle nach Paragraph 32 mit einer ersten Meldung binnen 24 Stunden. Und die persönliche Verantwortung der Geschäftsleitung nach Paragraph 38, die sich nicht wegdelegieren lässt. Eine allgemeine Schonfrist gibt es nicht.
So gehen Sie jetzt vor
Einen ersten Anhaltspunkt liefert die NIS2-Betroffenheitsprüfung des BSI. Sie ist eine Orientierung und kein rechtsverbindlicher Bescheid. Für ein belastbares Bild lohnt sich danach ein strukturierter Blick auf Sektor, Größe und Lieferkette. Genau hier setzen wir an. Sie müssen das nicht allein und nicht in zwanzig Excel-Tabellen lösen.
In wenigen Minuten zur Selbsteinschätzung
Mit dem NIS2-Check ordnen Sie Ihre Lage ein, inklusive der Frage nach Großkunden in kritischen Sektoren. Das Ergebnis erhalten Sie als persönliches PDF.
Häufige Fragen zu NIS2
Seit wann gilt NIS2 in Deutschland?
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Eine allgemeine Übergangsfrist gibt es nicht, die Pflichten gelten seit Inkrafttreten.
Ab welcher Größe ist mein Unternehmen betroffen?
Ab mindestens 50 Mitarbeitern oder mindestens 10 Millionen Euro Jahresumsatz, sofern Sie in einem der 18 Sektoren tätig sind. Maßgeblich ist das gesamte Unternehmen.
Was unterscheidet besonders wichtige von wichtigen Einrichtungen?
Größe und Sektor bestimmen die Einordnung. Besonders wichtige Einrichtungen unterliegen einer strengeren Aufsicht und einem höheren Bußgeldrahmen. Die Kernpflichten gelten für beide Gruppen.
Bin ich auch ohne KRITIS-Status betroffen?
Häufig ja. NIS2 reicht weit über klassische kritische Infrastrukturen hinaus und erfasst auch Maschinenbau, Lebensmittelproduktion, Chemie, Logistik und digitale Dienste.
NIS2-Betroffenheit: Die Fakten im Überblick
| Frist/Kriterium | Was gilt |
|---|---|
| Inkrafttreten | Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 – ohne allgemeine Übergangsfrist, als Novelle des BSI-Gesetzes (BSIG). |
| Betroffene Unternehmen | Rund 29.500 Unternehmen in Deutschland werden zu mehr Cybersicherheit verpflichtet. |
| Größenschwelle | Mindestens 50 Mitarbeiter oder mindestens 10 Millionen Euro Jahresumsatz bzw. entsprechende Bilanzsumme – maßgeblich ist das gesamte Unternehmen, nicht ein einzelner Geschäftsbereich. |
| Regulierte Sektoren | 18 Sektoren in zwei Anlagen, u. a. Energie, Wasser, Gesundheit, Finanzen, digitale Infrastruktur sowie neu Maschinenbau, Lebensmittelproduktion, Chemie, Abfallwirtschaft und Post- und Kurierdienste. |
| Kategorien | Zwei Gruppen: besonders wichtige und wichtige Einrichtungen. Die Kernpflichten gelten für beide; besonders wichtige Einrichtungen unterliegen strengerer Aufsicht und höherem Bußgeldrahmen. |
| Pflichtenblöcke | Registrierung beim BSI (§ 33), Risikomanagementmaßnahmen (§ 30), Meldung erheblicher Sicherheitsvorfälle (§ 32) und persönliche, nicht delegierbare Verantwortung der Geschäftsleitung (§ 38). |
| Meldefrist bei Vorfällen | Gestuftes Meldeverfahren mit einer ersten Meldung binnen 24 Stunden bei erheblichen Sicherheitsvorfällen. |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX – als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.