Eigentlich hätte Deutschland die europäische NIS2-Richtlinie schon im Oktober 2024 umsetzen müssen. Ein Jahr später ist das NIS2-Gesetz nun auf der Zielgeraden: Die Bundesregierung hat den Entwurf des NIS2-Umsetzungsgesetzes im Sommer beschlossen, seit September berät der Bundestag. Viele Geschäftsführer im Rhein-Main-Gebiet fragen uns, ob sie betroffen sind und was sie jetzt tun sollten. Hier ist unser Überblick zum Stand Ende Oktober 2025.
Worum geht es beim NIS2-Gesetz?
NIS2 steht für die zweite Richtlinie der EU zur Netz- und Informationssicherheit. Sie verpflichtet deutlich mehr Unternehmen als bisher zu Maßnahmen für Cybersicherheit. Bisher betrafen vergleichbare Pflichten in Deutschland vor allem Betreiber kritischer Infrastrukturen, also etwa große Energieversorger, Wasserwerke oder Krankenhäuser. Mit dem NIS2-Umsetzungsgesetz werden es nach Schätzung der Bundesregierung knapp 30.000 Unternehmen, darunter viele Mittelständler, die sich bisher nie mit dem BSI-Gesetz beschäftigt haben.
Wichtig: Nach dem Entwurf ist keine Übergangsfrist für die meisten Pflichten vorgesehen. Sie gelten ab Inkrafttreten. Wann genau das sein wird, hängt vom weiteren parlamentarischen Verfahren ab. Erwartet wird ein Inkrafttreten noch zum Jahreswechsel.
Bin ich betroffen? Die Prüfung in drei Schritten
Schritt 1: Branche
Das Gesetz listet Sektoren in zwei Gruppen. Zu den Sektoren mit hoher Kritikalität gehören unter anderem Energie, Verkehr, Banken, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur und Teile der öffentlichen Verwaltung. Zu den sonstigen kritischen Sektoren zählen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe wie Maschinenbau, Elektronik und Fahrzeugbau sowie digitale Dienste. Prüfen Sie die Anlagen des Gesetzentwurfs genau, die Einordnung ist teilweise kleinteilig.
Schritt 2: Größe
| Kategorie | Faustregel nach Entwurf |
|---|---|
| Besonders wichtige Einrichtung | mindestens 250 Beschäftigte oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme |
| Wichtige Einrichtung | mindestens 50 Beschäftigte oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme |
| Nicht erfasst | kleinere Unternehmen, sofern keine Sonderregel greift |
Für einige Dienste, etwa bestimmte Anbieter digitaler Infrastruktur, gelten Sonderregeln unabhängig von der Größe.
Schritt 3: Lieferkette
Auch wenn Sie selbst nicht unter das Gesetz fallen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Wer als IT-Dienstleister, Zulieferer oder Wartungsfirma für ein betroffenes Unternehmen arbeitet, wird früher oder später Fragebögen, Vertragsklauseln und Nachweise vorgelegt bekommen.
Welche Pflichten auf betroffene Unternehmen zukommen
- Registrierung beim BSI: Betroffene Unternehmen müssen sich selbst registrieren. Eine Benachrichtigung durch eine Behörde ist nicht vorgesehen, Sie müssen also selbst prüfen und handeln.
- Risikomanagement: Angemessene technische und organisatorische Maßnahmen, unter anderem zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit in der Lieferkette, Zugriffskontrolle, Kryptografie und Schulungen.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden: eine erste Meldung innerhalb von 24 Stunden, eine ausführlichere innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
- Verantwortung der Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen drohen Haftung und Bußgelder.
Was droht bei Verstößen?
Die NIS2-Richtlinie gibt einen Bußgeldrahmen vor, den das deutsche Gesetz übernimmt: Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Betrag. Das sind Obergrenzen, keine Regelstrafen. Für die Praxis wichtiger ist oft etwas anderes: Nach einem schweren Vorfall wird gefragt, ob die Geschäftsleitung ihre Pflichten erfüllt hat. Wer dann nichts dokumentiert hat, steht schlecht da, gegenüber der Aufsicht, aber auch gegenüber Gesellschaftern, Versicherern und Kunden.
Und was ist mit kleinen Betrieben?
Ein Handwerksbetrieb mit zwölf Mitarbeitenden fällt in aller Regel nicht direkt unter das Gesetz. Er kann aber über die Lieferkette betroffen sein, etwa als Elektro- oder Wartungsdienstleister für ein Krankenhaus oder einen Versorger. Dann lohnt es sich, die eigenen Hausaufgaben gemacht zu haben, bevor der erste Fragebogen kommt.
Warum Sie jetzt handeln sollten
Natürlich ist es verlockend, auf den endgültigen Gesetzestext zu warten. Die Kernpflichten stehen aber seit der EU-Richtlinie von 2022 fest, und an ihnen wird sich im Bundestag wenig ändern. Ein Informationssicherheits-Managementsystem baut man nicht in zwei Wochen auf. Wer jetzt anfängt, hat zum Inkrafttreten zumindest die Grundlagen.
Und ganz ehrlich: Die meisten Maßnahmen aus NIS2 sind ohnehin das, was wir Unternehmen seit Jahren empfehlen. Funktionierende Datensicherungen, Mehr-Faktor-Anmeldung, ein Notfallplan und geschulte Mitarbeitende schützen auch dann, wenn kein Gesetz es verlangt.
Ihr Fahrplan für die nächsten Wochen
- Betroffenheit prüfen und das Ergebnis dokumentieren, auch wenn es „nicht betroffen“ lautet.
- Verantwortlichkeit festlegen: Wer kümmert sich intern um Informationssicherheit?
- Bestandsaufnahme: Welche Systeme, Daten und Dienstleister sind geschäftskritisch?
- Lücken bewerten: Wo stehen Sie bei Backup, Zugriffsrechten, Patchmanagement und Notfallplanung?
- Meldeprozess vorbereiten: Wer meldet einen Vorfall innerhalb von 24 Stunden, auch am Wochenende?
- Geschäftsleitung schulen: Die Schulungspflicht betrifft ausdrücklich die Leitung selbst.
- Lieferanten einbeziehen: Verträge und Anforderungen an IT-Dienstleister überprüfen.
Als Rahmen bietet sich ein Managementsystem nach ISO 27001 oder für kleinere Unternehmen ein schlankerer Ansatz an. Wichtig ist, dass am Ende nachvollziehbar dokumentiert ist, was Sie tun und warum.
Wir helfen Ihnen gerne
Sie möchten wissen, ob das NIS2-Gesetz Ihr Unternehmen betrifft, und brauchen einen realistischen Plan? Die Informationssicherheitsberatung der Mittelstandsoptimierer prüft mit Ihnen die Betroffenheit, bewertet den Stand Ihrer Maßnahmen und begleitet Sie beim Aufbau eines passenden Sicherheitsmanagements. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
