NIS2 im Mittelstand: Wer ist betroffen – und was jetzt zu tun ist
Die NIS2-Richtlinie verpflichtet deutlich mehr Unternehmen zu IT-Sicherheit als bisher. Wir erklären verständlich, wer betroffen ist, welche Pflichten gelten und wie Sie NIS2 pragmatisch umsetzen.
- ✓NIS2 ist eine EU-Richtlinie für Cybersicherheit, in Deutschland umgesetzt über das NIS2-Umsetzungsgesetz (NIS2UmsuCG).
- ✓Betroffen sind „wichtige" und „besonders wichtige" Einrichtungen – in der Regel ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz in bestimmten Sektoren.
- ✓Auch kleinere Unternehmen sind indirekt betroffen, wenn sie Zulieferer betroffener Firmen sind.
- ✓Kernpflichten: Risikomanagement, Meldepflichten (24 h / 72 h), Nachweise und persönliche Haftung der Geschäftsleitung.
- ✓Bußgelder können bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes betragen.
Was ist NIS2?
NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie löst die erste NIS-Richtlinie ab und weitet den Kreis der verpflichteten Unternehmen erheblich aus. In Deutschland wird sie über das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt.
Ziel ist ein einheitlich hohes Sicherheitsniveau für Netz- und Informationssysteme in der EU – gerade weil Angriffe auf Lieferketten und Mittelstand stark zunehmen.
Ist mein Unternehmen von NIS2 betroffen?
NIS2 unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Maßgeblich sind Unternehmensgröße und Sektor.
- Größenschwelle: in der Regel ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz bzw. Bilanzsumme.
- Sektoren: u. a. Energie, Verkehr, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienstleister, Post, Chemie, Lebensmittel und verarbeitendes Gewerbe.
- Lieferkette: Auch nicht direkt betroffene KMU müssen Sicherheitsanforderungen erfüllen, wenn sie Zulieferer oder Dienstleister betroffener Unternehmen sind.
Unser Tipp: Prüfen Sie Ihre Betroffenheit früh – oft ergibt sie sich erst über Kunden und Auftraggeber. Ein IT-Sicherheitsaudit schafft Klarheit.
Welche Pflichten bringt NIS2 mit sich?
Der Kern steht in Artikel 21: ein Risikomanagement mit technischen und organisatorischen Maßnahmen. Dazu gehören unter anderem:
- Risikoanalyse und Sicherheitskonzepte
- Vorfallsbehandlung (Incident Response)
- Business Continuity, Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette
- Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung
- Awareness-Schulungen für Mitarbeitende
Hinzu kommen Meldepflichten: eine Erstmeldung erheblicher Vorfälle binnen 24 Stunden, eine Bewertung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Die Geschäftsleitung haftet persönlich für die Umsetzung.
Fristen und Bußgelder
Die EU-Frist zur Umsetzung ist bereits abgelaufen; das deutsche Gesetz tritt zeitversetzt in Kraft. Unternehmen sollten die Pflichten daher nicht aufschieben – Registrierung und Nachweise werden verpflichtend.
Bei Verstößen drohen Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
In 5 Schritten NIS2-konform
- 1. Betroffenheit prüfen – Größe, Sektor und Lieferkette bewerten.
- 2. Ist-Zustand erheben – Sicherheitsaudit nach ISO 27001 / DIN SPEC 27076.
- 3. Maßnahmen umsetzen – Firewall, MFA, Backup, Monitoring, Notfallplan.
- 4. Prozesse etablieren – Meldewege, Verantwortlichkeiten, Schulungen.
- 5. Nachweisen & dokumentieren – kontinuierlich prüfen und aktuell halten.
Wir begleiten Sie von der NIS2-Analyse und Einführung bis zur laufenden Überwachung im Managed SOC.