NIS2 für KMU: Wer betroffen ist und was jetzt zu tun ist

Dominik Zumstrull • 13. Juli 2026 • 5 Min. Lesezeit

NIS2 für KMU: IT-Sicherheitsspezialist arbeitet konzentriert an Security-Dashboards im dunklen Büro mit orangen Akzenten

IT-Sicherheit-Experte

OIT GmbH

NIS2 ist in Deutschland seit dem 6. Dezember 2025 geltendes Recht: Rund 29.500 Unternehmen müssen seitdem verschärfte Cybersicherheits-Pflichten erfüllen – darunter viele Mittelständler ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen; wer noch nicht registriert ist, sollte das umgehend nachholen, denn eine fehlende Registrierung ist ein eigenständiger Bußgeldtatbestand.

Was ist NIS2 und seit wann gilt die Richtlinie in Deutschland?

NIS2 (Network and Information Security Directive 2) ist die EU-Richtlinie 2022/2555 für ein einheitlich hohes Cybersicherheitsniveau. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt: am 13. November 2025 vom Bundestag verabschiedet, am 20. November 2025 vom Bundesrat bestätigt und am 6. Dezember 2025 in Kraft getreten. Damit wurde das BSI-Gesetz grundlegend überarbeitet – statt einiger hundert KRITIS-Betreiber sind nun rund 29.500 Einrichtungen reguliert. Cybersicherheit ist damit endgültig kein reines Konzernthema mehr, sondern Pflichtprogramm für den Mittelstand.

Ist mein Unternehmen von NIS2 betroffen?

NIS2 unterscheidet zwei Kategorien von Einrichtungen in 18 Sektoren. Entscheidend sind Mitarbeiterzahl, Umsatz und Branche:

Kategorie	Schwellenwerte	Typische Sektoren
Besonders wichtige Einrichtungen	ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz	Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastruktur
Wichtige Einrichtungen	ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz	u. a. verarbeitendes Gewerbe, Chemie, Lebensmittel, Abfall, Post, digitale Dienste

Wichtig: Auch wer unter den Schwellenwerten liegt, spürt NIS2 – große Kunden geben die Anforderungen über die Lieferkette an ihre Dienstleister und Zulieferer weiter. Das BSI bietet online eine kostenlose Betroffenheitsprüfung an, mit der du deine Einstufung in wenigen Minuten checken kannst.

Welche Pflichten bringt NIS2 mit sich?

Betroffene Unternehmen müssen sich über das BSI-Portal MUK registrieren (Voraussetzung ist ein ELSTER-Organisationszertifikat) und Risikomanagementmaßnahmen in zehn Bereichen umsetzen. Dazu gehören unter anderem:

Risikoanalyse und Sicherheitskonzepte für IT-Systeme
Backup-Management und Wiederherstellung – Stichwort 3-2-1-Regel – sowie Krisenmanagement
Multi-Faktor-Authentifizierung (MFA) und sichere Kommunikation
Sicherheit der Lieferkette und der Beschaffung
Cyberhygiene und regelmäßige Schulungen der Mitarbeitenden

Dazu kommen strenge Meldepflichten bei erheblichen Sicherheitsvorfällen: Frühwarnung an das BSI innerhalb von 24 Stunden, ausführliche Meldung innerhalb von 72 Stunden, Abschlussbericht nach spätestens einem Monat. Und: Die Geschäftsleitung muss die Maßnahmen selbst überwachen und regelmäßig geschult werden – sie haftet persönlich für Verstöße.

Welche Bußgelder drohen bei Verstößen?

Kategorie	Maximales Bußgeld
Besonders wichtige Einrichtungen	10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtungen	7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Auch Versicherer ziehen nach: Ohne nachweisbare Grundmaßnahmen wie MFA und getestete Backups gibt es kaum noch bezahlbaren Cyber-Schutz – warum das viele Mittelständler gerade jetzt beschäftigt, liest du in unserem Artikel zu Cyber-Versicherung und Audit-Anforderungen.

Was solltest du jetzt konkret tun?

Fünf Schritte bringen dich auf die sichere Seite: Erstens Betroffenheit prüfen (BSI-Betroffenheitsprüfung, im Zweifel juristisch absichern). Zweitens die Registrierung im MUK-Portal nachholen, falls noch nicht geschehen – verspätet registrieren ist deutlich besser als gar nicht. Drittens eine Gap-Analyse durchführen: Wo stehen MFA, Patch-Management, Backups und E-Mail-Sicherheit heute? Viertens einen Meldeprozess definieren, damit die 24-Stunden-Frist im Ernstfall haltbar ist. Fünftens Schulungen für Geschäftsleitung und Mitarbeitende aufsetzen.

Wie unterstützt dich OIT bei der NIS2-Umsetzung?

Als IT-Dienstleister aus Osnabrück begleiten wir Mittelständler von der Betroffenheitsanalyse über die technische Umsetzung bis zum laufenden Betrieb – zum Beispiel mit sauber abgesicherten Microsoft-365-Umgebungen oder einer komplett verwalteten M365-Infrastruktur.

IT-SicherheitFirewall, Endpoint-Schutz, MFA und Security-Konzepte für NIS2 Cloud & Microsoft 365Sichere Tenant-Konfiguration, Conditional Access und Backup IT-Support & BetreuungLaufender Betrieb, Patch-Management und Dokumentation

Jetzt NIS2-Check anfragen

Häufige Fragen zu NIS2

Gilt NIS2 auch für Unternehmen mit weniger als 50 Mitarbeitenden?

In der Regel nicht direkt – Ausnahmen gelten für bestimmte kritische Dienste wie Vertrauensdienste oder DNS-Anbieter, die unabhängig von der Größe reguliert sind. Indirekt trifft NIS2 aber viele kleine Firmen über die Lieferkette: Regulierte Kunden verlangen Sicherheitsnachweise von ihren Dienstleistern.

Was passiert, wenn wir die Registrierungsfrist am 6. März 2026 verpasst haben?

Die Registrierung beim BSI ist weiterhin über das MUK-Portal möglich und dringend ratsam. Eine verspätete Registrierung zeigt dem BSI, dass dein Unternehmen reagiert – gar nicht registriert zu sein, ist dagegen ein eigenständiger Bußgeldtatbestand.

Was muss innerhalb von 24 Stunden gemeldet werden?

Bei einem erheblichen Sicherheitsvorfall muss innerhalb von 24 Stunden eine Frühwarnung an das BSI erfolgen. Innerhalb von 72 Stunden folgt die ausführliche Meldung mit erster Bewertung, nach spätestens einem Monat der Abschlussbericht.

Reicht eine Cyber-Versicherung als Absicherung aus?

Nein. Eine Cyber-Versicherung ersetzt keine NIS2-Pflichten – im Gegenteil: Versicherer verlangen inzwischen selbst nachweisbare Maßnahmen wie MFA, getestete Backups und Patch-Management, bevor sie überhaupt Policen ausstellen oder im Schadensfall zahlen.