NIS2: Betrifft mich das? Was das Cybersicherheitsgesetz für kleine und mittlere Firmen heißt

Hast du in den letzten Monaten eine Mail bekommen, in der „NIS2“ fett gedruckt stand und das Wort „Bußgeld“ nicht weit entfernt war? Atme kurz durch.

NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit. In Deutschland gilt sie seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz, das vor allem das BSI-Gesetz (BSIG) neu gefasst hat. Eine Übergangsfrist gab es nicht. Viele kleine Firmen fragen sich seitdem: Bin ich dabei? Die ehrliche Antwort lautet für die meisten: wahrscheinlich nicht direkt – aber vielleicht über ihre Kunden.

Wer direkt betroffen ist

Das Gesetz unterscheidet „besonders wichtige“ und „wichtige Einrichtungen“. Ob du dazugehörst, hängt vor allem von zwei Dingen ab:

• Branche: Erfasst sind bestimmte Sektoren, etwa Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen für Unternehmen, Post und Kurier, Abfall, Chemie, Lebensmittel, Teile der Industrie und digitale Anbieter.
• Größe: In der Regel geht es um mittlere und große Unternehmen – grob ab 50 Beschäftigten oder ab mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Das BSI bewertet die Größe nach der Empfehlung 2003/361/EG der EU. Für einige Dienste gilt das Gesetz unabhängig von der Größe.

Das BSI bietet online eine unverbindliche Betroffenheitsprüfung an. Sie ersetzt keine Rechtsberatung, gibt dir aber in wenigen Minuten eine erste Richtung.

Was Betroffene tun müssen

• Registrieren: spätestens drei Monate, nachdem man als betroffen gilt, über das gemeinsame Portal von BSI und BBK (§ 33 BSIG).
• Vorsorgen: angemessene Maßnahmen für Informationssicherheit umsetzen – vom Notfallplan über Backups bis zur Zugangskontrolle (§ 30 BSIG).
• Melden: Erhebliche Sicherheitsvorfälle gehen in drei Stufen an das BSI (§ 32 BSIG).
• Leitung einbinden: Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).

Wie viele es wirklich sind

Bis zum 30. September 2026 hatten sich laut BSI 20.141 Einrichtungen registriert: 6.837 besonders wichtige und 13.252 wichtige Einrichtungen, dazu einige Sonderfälle. Im gleichen Zeitraum gingen 1.272 Erstmeldungen zu Sicherheitsvorfällen ein. Das zeigt: Es betrifft viele – aber bei Weitem nicht jeden Betrieb.

Der indirekte Weg: Wenn dein Kunde betroffen ist

Hier wird es für kleine Firmen interessant. Betroffene Unternehmen müssen auch die Sicherheit ihrer Lieferkette im Blick haben. Lieferst du IT-Dienstleistungen, Software, Wartung oder Bauteile an ein betroffenes Unternehmen, kann es gut sein, dass dein Kunde Fragen stellt oder Nachweise sehen möchte. Habt ihr einen Notfallplan? Wie sichert ihr Zugänge ab? Gibt es Backups, die getestet werden?

Das ist keine Schikane, sondern der Weg, auf dem das Gesetz in die Breite wirkt. Wer diese Fragen ruhig und ehrlich beantworten kann, hat einen Vorteil – auch bei neuen Aufträgen.

Gute Grundsicherheit, die immer hilft

Ob betroffen oder nicht: Was NIS2 verlangt, sind im Kern vernünftige Hausaufgaben. Ein Notfallplan auf einer Seite. Zwei-Faktor-Anmeldung für E-Mail und wichtige Konten. Backups, die getrennt liegen und getestet sind. Updates, die nicht monatelang warten. Und ein Team, das weiß, wen es anruft, wenn etwas komisch ist. Wie das mit den Backups geht, steht in Das Backup, das dich wirklich rettet.

Was wir in Gesprächen am häufigsten hören

„Wir sind ein Handwerksbetrieb mit zwölf Leuten. Sind wir dabei?“ In aller Regel nicht. Handwerk gehört meist nicht zu den erfassten Sektoren, und die Größe liegt unter den Schwellen. Ausnahmen gibt es etwa, wenn ihr Teil der Energieversorgung seid.

„Wir sind ein kleines IT-Systemhaus.“ Hier lohnt ein genauerer Blick. Verwaltete IT-Dienste für Unternehmen sind ein erfasster Sektor. Ob ihr betroffen seid, entscheidet dann vor allem die Größe. Und selbst wenn nicht: Eure Kunden werden fragen.

„Unser Kunde will eine Selbstauskunft. Was schreiben wir da hinein?“ Die Wahrheit, in ruhigen Worten. Was ihr schon tut, was ihr plant und bis wann. Niemand erwartet von einem Zehn-Personen-Betrieb die Sicherheitsabteilung eines Konzerns. Erwartet wird, dass ihr wisst, wo eure Risiken liegen, und dass ihr daran arbeitet.

Du willst wissen, wo du stehst? Das Audit-Monster prüft mit dir, ob NIS2 dich betrifft, und schreibt verständlich auf, was sinnvoll ist. Für Notfallplan, Meldewege und Schulung ist das Cyber-Monster da.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick (Stand: 22.10.2026) und ist keine Rechtsberatung. Für deinen Einzelfall frag bitte eine Rechtsanwältin oder einen Rechtsanwalt.