NIS2 für KMU: Wer betroffen ist und was jetzt zu tun ist
🇩🇪 Made in Germany · 💻 100 % remote · 🔒 DSGVO-konform · 🤝 Fester Ansprechpartner
Inhaltsverzeichnis
NIS2 für KMU in Kürze: Das Gesetz gilt in Deutschland seit dem 06.12.2025 (NIS2-Umsetzungsgesetz). Betroffen sind Unternehmen aus den regulierten Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme – rund 29.500 Einrichtungen. Sie müssen sich beim BSI registrieren, Sicherheitsvorfälle binnen 24 Stunden melden und zehn Mindestmaßnahmen umsetzen. Kleinere Zulieferer trifft NIS2 indirekt über die Lieferkette.
⚖️ Gesetz: NIS2UmsuCG, BGBl. 2025 I Nr. 301, in Kraft seit 06.12.2025
🏢 Betroffen: ca. 29.500 Einrichtungen (vorher rund 4.500)
📝 Registriert: 17.945 Einrichtungen (BSI, Stand 30.06.2026)
💶 Bußgelder: bis 10 Mio. € oder 2 % des weltweiten Umsatzes
🗓️ Stand: September 2026
Mit NIS2 hat die EU die Cybersicherheitspflichten deutlich ausgeweitet. In Deutschland wurde die Richtlinie über ein neues BSI-Gesetz (BSIG) umgesetzt, das seit Dezember 2025 ohne Übergangsfrist gilt. Viele mittelständische Unternehmen sind erstmals direkt reguliert – und noch mehr sind über ihre Kunden indirekt betroffen. Dieser Ratgeber zu NIS2 für KMU erklärt, wer betroffen ist, welche Pflichten gelten und wie KMU pragmatisch vorgehen.
Ist mein Unternehmen von NIS2 betroffen?
Betroffen ist, wer in einem der regulierten Sektoren tätig ist und die Größenschwellen erreicht. Das BSIG unterscheidet zwei Kategorien:
Einige Einrichtungen fallen unabhängig von ihrer Größe darunter, etwa KRITIS-Betreiber und qualifizierte Vertrauensdiensteanbieter. Nach der EU-Richtlinie zählen auch Managed-Service-Provider zu den regulierten Sektoren. Ob Ihr Unternehmen betroffen ist, klärt die kostenlose, anonyme NIS-2-Betroffenheitsprüfung des BSI.
Welche Pflichten haben NIS2-Unternehmen?
1. Registrierung beim BSI
Betroffene Einrichtungen müssen sich spätestens drei Monate nach Eintritt der Betroffenheit registrieren – zuerst über „Mein Unternehmenskonto“ (ELSTER-Organisationszertifikat), dann im BSI-Portal, das seit 06.01.2026 freigeschaltet ist. Für Unternehmen, die schon bei Inkrafttreten betroffen waren, ist diese Frist abgelaufen. Änderungen sind binnen zwei Wochen zu melden.
2. Meldepflichten bei Sicherheitsvorfällen
3. Risikomanagement nach § 30 BSIG
Das Gesetz verlangt mindestens diese zehn Maßnahmen:
4. Verantwortung der Geschäftsleitung
Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen; Delegieren entlastet sie nicht. Sie haftet nach gesellschaftsrechtlichen Regeln und muss regelmäßig an Schulungen teilnehmen – laut Gesetzesbegründung mindestens alle drei Jahre.
Welche Bußgelder drohen bei Verstößen?
NIS2 für KMU: Warum auch kleinere Unternehmen betroffen sind
§ 30 BSIG verpflichtet betroffene Einrichtungen, die Sicherheit ihrer Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern zu gewährleisten. In der Praxis geben große Kunden diese Pflicht per Vertrag, Fragebogen oder Audit an ihre Zulieferer weiter – auch an Betriebe mit 10 oder 20 Mitarbeitenden. Wer MFA, Backups, Patch-Management und einen Notfallplan nachweisen kann, bleibt lieferfähig – das ist der praktische Kern von NIS2 für KMU.
NIS2 für KMU: So gehen Sie pragmatisch vor
Betroffenheit klären
BSI-Prüfung durchführen, Ergebnis dokumentieren.
Registrieren
, falls betroffen – die Frist läuft bereits.
Gap-Analyse
die zehn Maßnahmen mit dem Ist-Zustand abgleichen.
Quick Wins zuerst
MFA, Backup-Test, E-Mail-Sicherheit, Geräteverwaltung.
Dokumentieren und schulen
Richtlinien, Notfallplan, Schulungsnachweise für Geschäftsleitung und Team.
Häufige Fragen zu NIS2 für KMU
Seit wann gilt NIS2 in Deutschland?
Das NIS2-Umsetzungsgesetz wurde am 05.12.2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und gilt seit 06.12.2025 ohne Übergangsfrist.
Wie viele Unternehmen sind in Deutschland betroffen?
Das BSI rechnet mit rund 29.500 Einrichtungen. Bis zum 30.06.2026 hatten sich 17.945 registriert, davon 6.215 besonders wichtige und 11.501 wichtige Einrichtungen.
Wir haben unter 50 Mitarbeitende – müssen wir etwas tun?
Direkt meist nicht, sofern Sie nicht zu den größenunabhängigen Einrichtungen gehören. Indirekt ja, wenn Kunden NIS2-pflichtig sind und Sicherheitsnachweise verlangen.
Hilft Microsoft 365 bei NIS2?
Ja, als technischer Baustein: Business Premium enthält MFA, Conditional Access, Geräteverwaltung und EDR. Organisatorische Pflichten wie Risikoanalyse, Notfallplan und Registrierung ersetzt es nicht.
Fazit
NIS2 für KMU heißt: für viele die erste echte Cybersicherheits-Pflicht – und für noch mehr eine Anforderung ihrer Kunden. Mit einer strukturierten Gap-Analyse und den technischen Quick Wins ist ein Großteil in wenigen Wochen umsetzbar. Newmountains.IT unterstützt mit dem NIS2-Readiness-Check, der Umsetzung der Maßnahmen und laufender Betreuung. Mehr auf IT-Sicherheit für KMU oder im kostenlosen IT-Sicherheits-Check.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung.
Quellen
- BSI: NIS-2-Umsetzungsgesetz in Kraft (05.12.2025)
- BSI: NIS-2-Pflichten
- BSI: NIS-2 in Zahlen (Stand 30.06.2026)
- BSI: BSI-Portal für NIS-2-Registrierung freigeschaltet (06.01.2026)
- Bundesgesetzblatt: BGBl. 2025 I Nr. 301
- BTL Rechtsanwälte: NIS-2 im BSIG: Wer verpflichtet ist (30.01.2026)
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Beitrag teilen über
Verwandte Beiträge
Raphael Neuberger
Das könnte Sie auch interessieren
Sind noch Fragen offen?
Im kostenlosen Erstgespräch finden wir die passende Lösung für Ihr Unternehmen.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
