# NIS2: Bin ich betroffen: und was ist technisch zu tun?

> Sektor, Größe, Zulieferer, und die Maßnahmen, die wirklich dahinterstehen. Ohne Rechtsberatung, mit Technik.

- Veröffentlicht: 2026-09-26
- Aktualisiert: 2026-09-27
- Quelle: https://art-kon-tor-digital.de/wissen/nis2-bin-ich-betroffen-und-was-ist-technisch-zu-tun/

---

Von NIS2 direkt betroffen bist du in der Regel, wenn dein Unternehmen in einem der im Gesetz genannten Sektoren arbeitet und mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz hat; indirekt betroffen bist du als Zulieferer solcher Unternehmen, weil sie ihre Anforderungen an dich weiterreichen. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Technisch verlangt es keine Produkte, sondern nachweisbare Grundlagen: Risikoanalyse, Backup, Mehrfaktor-Anmeldung, Protokollierung, Notfallplan und funktionierende Meldewege.

## Was NIS2 ist und seit wann es gilt

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet deutlich mehr Unternehmen als ihre Vorgängerin zu Sicherheitsmaßnahmen, zur Registrierung bei der Aufsicht und zur Meldung erheblicher Sicherheitsvorfälle. In Deutschland setzt sie das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz um, das am 6. Dezember 2025 in Kraft getreten ist, ohne allgemeine Übergangsfrist. Die Frist zur Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) endete am 6. März 2026. Schätzungen gehen von rund 30.000 direkt betroffenen Unternehmen in Deutschland aus, die Zulieferer nicht mitgerechnet.

Wichtig, weil es im Netz noch anders steht: Das Gesetz gilt nicht „seit Oktober 2024“. Das war der ursprüngliche EU-Termin, den Deutschland verpasst hat. Wer sich auf ältere Artikel stützt, rechnet mit falschen Fristen.

## Bin ich betroffen? Die zwei Prüffragen

Ob ein Unternehmen unter NIS2 fällt, hängt von zwei Dingen ab: dem Sektor und der Größe. Das Gesetz unterscheidet „besonders wichtige“ und „wichtige“ Einrichtungen, für die unterschiedlich strenge Aufsicht gilt.

### Frage 1: Der Sektor

Zu den Sektoren zählen unter anderem Energie, Verkehr, Gesundheit, Wasser und Abwasser, digitale Infrastruktur, IT-Dienstleister, Post und Kurier, Abfall, Chemie, Lebensmittel, Forschung sowie das verarbeitende Gewerbe, darunter Maschinenbau, Medizinprodukte, Elektronik und Optik, Fahrzeugbau. Gerade der letzte Punkt überrascht viele Betriebe in Jena und Umgebung, die sich nie als „kritische Infrastruktur“ verstanden haben.

### Frage 2: Die Größe

Die Schwelle liegt in der Regel bei 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Ab 250 Beschäftigten oder 50 Millionen Euro Umsatz gilt man in den meisten Sektoren als „besonders wichtig“. Für einige Bereiche, etwa Teile der digitalen Infrastruktur, gilt die Pflicht unabhängig von der Größe. Und weil verbundene Unternehmen zusammengerechnet werden können, ist eine kleine Tochter eines großen Konzerns nicht automatisch außen vor.

Ehrlich gesagt: Die verbindliche Einstufung ist eine Rechtsfrage. Das BSI bietet online eine Betroffenheitsprüfung an, die IHK Erfurt informiert zum Thema, und für Grenzfälle ist eine Kanzlei der richtige Ansprechpartner. Wir geben eine erste Einordnung und sagen, wo es eindeutig ist, die verbindliche Prüfung machen wir nicht.

### Die dritte Gruppe: Zulieferer

Im Gesetz steht sie nicht, in der Praxis ist sie die größte Gruppe: Unternehmen, die für NIS2-pflichtige Kunden arbeiten. Weil das Gesetz die Sicherheit der Lieferkette verlangt, reichen betroffene Unternehmen ihre Anforderungen weiter, als Fragebogen, Vertragsklausel oder Audit. Wer als Zulieferer keine glaubwürdigen Antworten hat, verliert im Zweifel den Auftrag, nicht wegen einer Behörde, sondern wegen des Kunden. In Thüringen betrifft das viele Betriebe aus Optik, Photonik, Halbleiter und Medizintechnik, die selbst unter der Größenschwelle liegen.

## Was das Gesetz von der Geschäftsführung verlangt

NIS2 richtet sich ausdrücklich an die Leitung. Sie muss die Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Die Verantwortung lässt sich nicht an die IT-Abteilung oder den Dienstleister delegieren. Praktisch heißt das: ein dokumentierter Maßnahmenplan mit Freigabe durch die Geschäftsführung, ein kurzes regelmäßiges Briefing zum Stand der Sicherheit und ein Nachweis über die Schulung. Das ist weniger Aufwand, als es klingt, aber es muss aufgeschrieben sein.

## Die technischen Maßnahmen im Einzelnen

Das Gesetz nennt einen Katalog von Maßnahmen, aber keine Produkte. Für ein KMU sind die meisten Punkte mit soliden IT-Grundlagen erfüllbar, die Arbeit steckt darin, sie vollständig, konsequent und dokumentiert umzusetzen.

| Anforderung | Typische Umsetzung im KMU | Nachweis |
| --- | --- | --- |
| Risikoanalyse und Sicherheitskonzept | Inventar der Systeme, Bewertung der Risiken, Maßnahmen je Risiko | Risikotabelle, Sicherheitsrichtlinie, Freigabe der Leitung |
| Umgang mit Sicherheitsvorfällen | Notfallplan mit Rollen und Kontakten, Protokollierung, die Vorfälle erkennbar macht | Notfallhandbuch, Übungsprotokoll, Logging-Konzept |
| Betriebskontinuität und Backup | Backup nach 3-2-1 mit einer vom Netz getrennten Kopie, Wiederherstellungszeiten festgelegt | Backup-Konzept, Protokolle der Restore-Tests |
| Sicherheit der Lieferkette | Liste aller Dienstleister mit Zugriff, Mindestanforderungen an sie, abgesicherte Fernzugänge | Dienstleisterverzeichnis, Verträge, Fernzugriffsregeln |
| Sichere Beschaffung, Entwicklung, Wartung | Patch-Management mit Fristen, sichere Grundkonfiguration, Trennung von Test und Produktion | Patch-Richtlinie, Änderungsprotokoll |
| Wirksamkeitsprüfung | Jährliche Überprüfung, Schwachstellenscans, Restore-Tests | Prüfberichte, Maßnahmenliste |
| Cyberhygiene und Schulung | Kurze regelmäßige Schulungen für alle, gesonderte für die Leitung | Teilnehmerlisten, Schulungsinhalte |
| Kryptografie und Verschlüsselung | Verschlüsselte Datenträger, TLS für alle Dienste, VPN für Fernzugriff | Konfigurationsdokumentation |
| Zugriffskontrolle und Asset-Management | Zentrale Benutzerverwaltung, Rechte nach Bedarf, Offboarding-Prozess, Geräteverzeichnis | Rechtekonzept, Asset-Liste |
| Mehrfaktor-Anmeldung und sichere Kommunikation | MFA für alle externen Zugänge und Administratoren, verschlüsselte Kommunikationswege | MFA-Abdeckung je System |

Stand: 09/2026. Zuordnung nach unserer Projektpraxis; der verbindliche Maßnahmenkatalog steht im Gesetz.

Der Punkt, den fast alle unterschätzen, ist die Dokumentation. Viele Unternehmen haben MFA, Backup und Firewall längst, aber nichts, was sie einem Prüfer oder Kunden vorlegen könnten. NIS2 verlangt nicht nur, dass Maßnahmen existieren, sondern dass sie nachweisbar sind und gehalten werden.

## Meldepflichten: Was im Ernstfall passieren muss

Erhebliche Sicherheitsvorfälle müssen dem BSI in einem gestuften Verfahren gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Das klappt nur, wenn vorher zwei Dinge stehen: eine Protokollierung, die einen Vorfall überhaupt sichtbar macht, und ein Notfallplan, in dem steht, wer entscheidet und wer meldet. Ein Ransomware-Angriff um drei Uhr nachts ist der falsche Zeitpunkt, um das zu klären. Die Meldung selbst gibt das Unternehmen ab, nicht der IT-Dienstleister, aber der Dienstleister sorgt dafür, dass die Informationen dafür da sind.

## Registrierung verpasst: was jetzt?

Nachholen, so schnell wie möglich, und dokumentieren, dass ihr an den Maßnahmen arbeitet. Ob und welche Folgen die Verspätung hat, ist eine rechtliche Frage, die eine Kanzlei beantworten sollte. Technisch ist die Reihenfolge klar: Gap-Analyse, Sofortmaßnahmen, Dokumentation. Wer bei einer Rückfrage der Behörde einen Maßnahmenplan mit Datum vorlegen kann, steht anders da als jemand, der erst dann anfängt. Die Pflicht zur Umsetzung läuft übrigens unabhängig von der Registrierung, wer nicht registriert ist, ist deshalb nicht befreit.

## Was du als Zulieferer tun solltest

- Den Fragebogen deines Kunden ernst nehmen und wahrheitsgemäß beantworten, ein geschöntes „ja“ fällt beim Audit auf.
- Die Maßnahmen aus der Tabelle oben umsetzen; sie sind dieselben, die ein direkt betroffenes Unternehmen braucht, nur ohne Registrierung und Meldepflicht.
- Eine kurze Sicherheitsdokumentation anlegen, die du Kunden auf Anfrage zeigen kannst: Backup, MFA, Patch-Prozess, Notfallkontakt.
- Eigene Dienstleister prüfen: Wer hat Fernzugriff auf deine Systeme, und wie ist er abgesichert?

## Reihenfolge, wenn du bei null anfängst

1. Betroffenheit klären, Sektor, Größe, Kundenanforderungen. Im Zweifel mit Kanzlei oder IHK.
2. Gap-Analyse: Ist-Zustand gegen den Maßnahmenkatalog, Ergebnis als Tabelle mit Lücken und Prioritäten.
3. Sofortmaßnahmen: MFA für alle externen Zugänge, Backup vom Netz trennen und Restore testen, Protokollierung einschalten.
4. Dokumentation und Prozesse: Notfallplan, Rechtekonzept, Dienstleisterverzeichnis, Schulung der Leitung.
5. Betrieb: jährliche Überprüfung, Restore-Tests, Aktualisierung der Dokumente. NIS2 ist ein Zustand, kein Projekt.

Wie wir diese Schritte umsetzen und was wir dabei bewusst nicht machen, keine Rechtsberatung, keine Zertifikate, steht auf der Seite [NIS2 technisch umsetzen](/it/cyber-security/nis2/). Die Grundlagen, auf denen alles aufbaut, beschreibt die Seite [Cyber Security für KMU](/it/cyber-security/).

## Fazit

Ob du unter NIS2 fällst, entscheiden Sektor und Größe, ob du dich damit beschäftigen musst, entscheiden oft deine Kunden. Die technischen Anforderungen sind für ein KMU erfüllbar und decken sich weitgehend mit dem, was eine solide IT ohnehin braucht; der Mehraufwand liegt in Dokumentation, Prozessen und dem Nachweis, dass alles gehalten wird. Unsere Empfehlung: nicht auf die Einstufung warten, sondern mit Gap-Analyse und Sofortmaßnahmen beginnen. Wer am Ende doch nicht betroffen ist, hat trotzdem eine sicherere IT.

## Häufige Fragen

Gilt NIS2 auch für Unternehmen mit weniger als 50 Mitarbeitern?
Direkt meist nicht, weil die Schwelle in der Regel bei 50 Beschäftigten oder 10 Millionen Euro Umsatz liegt. Ausnahmen gibt es für einige Bereiche wie Teile der digitalen Infrastruktur, und verbundene Unternehmen können zusammengerechnet werden. Indirekt betroffen sind kleine Betriebe oft als Zulieferer.

Muss ich mich beim BSI registrieren?
Wenn dein Unternehmen direkt unter NIS2 fällt, ja. Die Frist dafür endete am 6. März 2026; wer sie verpasst hat, sollte die Registrierung so schnell wie möglich nachholen. Welche Folgen eine Verspätung hat, beurteilt eine Kanzlei.

Wie schnell muss ein Sicherheitsvorfall gemeldet werden?
Erhebliche Vorfälle werden gestuft gemeldet: Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Das klappt nur mit einer Protokollierung, die den Vorfall sichtbar macht, und einem Notfallplan, der regelt, wer entscheidet und wer meldet.

Haftet die Geschäftsführung bei NIS2 persönlich?
NIS2 nimmt die Leitung ausdrücklich in die Pflicht: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen, und sie kann diese Verantwortung nicht an die IT delegieren. Wie weit die Haftung im Einzelfall reicht, ist eine Rechtsfrage für eine Kanzlei.

Womit fange ich bei NIS2 an?
Mit der Klärung der Betroffenheit und einer Gap-Analyse: Ist-Zustand gegen den Maßnahmenkatalog, Ergebnis als Liste mit Prioritäten. Parallel lohnen sich Sofortmaßnahmen wie MFA für alle externen Zugänge, ein vom Netz getrenntes Backup mit Restore-Test und eingeschaltete Protokollierung. Danach folgen Dokumentation und Prozesse.

*Stand: September 2026, wir aktualisieren diesen Artikel, wenn sich Rechtslage oder Technik ändern.*