NIS2 im Mittelstand: Richtlinie, Pflichten & Compliance

Die NIS2-Richtlinie hebt das Cybersicherheitsniveau in Europa deutlich an – und betrifft weit mehr Organisationen als ihre Vorgängerin. Auch viele mittelständische Unternehmen fallen erstmals in den Anwendungsbereich, oft ohne es zu wissen. Wer die Pflichten kennt und früh handelt, verschafft sich einen belastbaren Vorsprung – regulatorisch wie sicherheitstechnisch.

Was ist die NIS2-Richtlinie?

NIS2 (Richtlinie (EU) 2022/2555) ist der europäische Rechtsrahmen für ein einheitlich hohes Niveau der Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie von 2016 ab, erweitert den Kreis der betroffenen Sektoren erheblich und verschärft Anforderungen, Meldepflichten und Sanktionen. Als Richtlinie gilt NIS2 nicht unmittelbar, sondern muss von jedem EU-Mitgliedstaat in nationales Recht überführt werden. In Deutschland geschieht das über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das im Kern das BSI-Gesetz (BSIG) neu fasst.

Wer ist von NIS2 betroffen?

NIS2 unterscheidet zwei Kategorien regulierter Organisationen. Die deutsche Umsetzung spricht von besonders wichtigen Einrichtungen (entspricht den „wesentlichen" Einrichtungen der Richtlinie) und wichtigen Einrichtungen. Beide Kategorien unterliegen denselben Sicherheitspflichten; sie unterscheiden sich vor allem in der Aufsichtsintensität und der Höhe möglicher Bußgelder.

Sektoren

Der Anwendungsbereich umfasst 18 Sektoren, aufgeteilt in Sektoren mit hoher Kritikalität und weitere kritische Sektoren – darunter:

• Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen, Trinkwasser, Abwasser
• Digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum
• Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel
• Verarbeitendes Gewerbe/Herstellung, digitale Dienste (z. B. Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschung

Größen-Schwellen

Ob eine Organisation reguliert ist, ergibt sich aus Sektor und Größe:

• Besonders wichtige Einrichtungen: in der Regel ab 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz und 43 Mio. € Bilanzsumme.
• Wichtige Einrichtungen: in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme.

Unabhängig von der Größe fallen bestimmte Einrichtungen stets in den Anwendungsbereich – etwa qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Registries, Anbieter öffentlicher Telekommunikationsnetze sowie KRITIS-Betreiber. Ein Selbstcheck ist deshalb unerlässlich: Es gibt keine behördliche Einzelbenachrichtigung, jede Organisation muss ihre Betroffenheit selbst feststellen.

Wirkung auf die Lieferkette

NIS2 wirkt weit über den Kreis der direkt regulierten Unternehmen hinaus. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette in ihr Risikomanagement einbeziehen und Anforderungen an Dienstleister und Zulieferer stellen. In der Praxis bedeutet das: Auch kleinere Betriebe, die nicht selbst reguliert sind, werden vertraglich in die Pflicht genommen, wenn sie als Zulieferer eines betroffenen Unternehmens auftreten – etwa durch Sicherheitsklauseln, Audit-Rechte oder geforderte Nachweise in Ausschreibungen. Nachweisbare Informationssicherheit wird damit zum Wettbewerbs- und Vergabekriterium und entwickelt sich rasch vom „Nice-to-have" zur Grundvoraussetzung für Geschäftsbeziehungen.

Welche Pflichten bringt NIS2?

Risikomanagement und technisch-organisatorische Maßnahmen

Kern der Pflichten ist ein risikobasiertes Managementsystem mit einem Mindestkatalog technischer und organisatorischer Maßnahmen (TOM). Dazu zählen unter anderem:

• Risikoanalyse und Konzepte für die Sicherheit der Informationssysteme
• Bewältigung von Sicherheitsvorfällen (Incident Response)
• Business Continuity, Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Beschaffung, Entwicklung und Wartung
• Zugriffskontrolle, Asset-Management und Konzepte zur Kryptografie
• Cyberhygiene, Schulungen und der Einsatz von Multi-Faktor-Authentifizierung

Meldepflichten und Fristen

NIS2 führt ein gestuftes Meldeverfahren für erhebliche Sicherheitsvorfälle gegenüber dem BSI ein:

1. Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme
2. Vorfallsmeldung innerhalb von 72 Stunden mit erster Bewertung
3. Abschlussbericht innerhalb eines Monats

Die 24-Stunden-Frist stellt viele Organisationen vor Herausforderungen – sie setzt eingespielte Prozesse und klare Verantwortlichkeiten voraus.

Leitungsverantwortung und Haftung

NIS2 nimmt die Geschäftsleitung ausdrücklich in die Pflicht. Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Verstößen drohen empfindliche Bußgelder – für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Die Verantwortung ist nicht vollständig delegierbar.

Stand der deutschen Umsetzung: das NIS2UmsuCG

Deutschland hat die EU-Umsetzungsfrist (Oktober 2024) deutlich überschritten, das Verfahren aber inzwischen abgeschlossen. Der Bundestag verabschiedete das NIS2UmsuCG am 13. November 2025, der Bundesrat stimmte am 20. November 2025 zu. Nach der Verkündung im Bundesgesetzblatt (BGBl. 2025 I Nr. 301 vom 5. Dezember 2025) trat das Gesetz am 6. Dezember 2025 in Kraft – ohne allgemeine Übergangsfrist. Die Registrierungspflicht betroffener Einrichtungen beim BSI lief bis zum 6. März 2026; eine verspätete Registrierung bleibt möglich und ist dringend zu empfehlen. Nach Schätzungen fallen rund 29.500 Unternehmen in Deutschland neu unter die Regelung. Risikomanagement-, Melde- und Registrierungspflichten gelten damit unmittelbar – Handlungsbedarf besteht jetzt. Das BSI erhält erweiterte Aufsichts- und Durchsetzungsbefugnisse und kann Nachweise, Audits und Sicherheitsprüfungen verlangen. Wer die Umsetzung aufschiebt, riskiert nicht nur Bußgelder, sondern auch persönliche Haftung der Leitungsebene und Reputationsschäden im Schadensfall.

NIS2, ISO 27001 und IT-Grundschutz

NIS2 schreibt keinen bestimmten Standard vor, sondern fordert angemessene, dem Risiko entsprechende Maßnahmen. Ein etabliertes Informationssicherheits-Managementsystem (ISMS) ist der pragmatischste Weg dorthin: Wer nach ISO/IEC 27001 oder BSI IT-Grundschutz arbeitet, deckt den Großteil der NIS2-Anforderungen bereits strukturiert ab – von der Risikoanalyse über TOM bis zum kontinuierlichen Verbesserungsprozess. Ein ISMS liefert zudem die Nachweisführung, die Aufsichtsbehörden erwarten. So wird aus einer Compliance-Pflicht ein belastbares Sicherheitsfundament.

Konkrete Schritte zur NIS2-Compliance

1. Betroffenheit feststellen – Sektor, Größe und Sonderregelungen prüfen.
2. Status erheben – etwa mit einem Cyber-Risiko-Check nach DIN SPEC 27076 als schnellem Einstieg.
3. Gap-Analyse – Ist-Zustand gegen die NIS2-Pflichten und einen ISMS-Standard abgleichen.
4. Maßnahmen priorisieren – risikobasiert, pragmatisch und auditfest umsetzen.
5. Melde- und Governance-Prozesse etablieren – 24/72-Stunden-Fähigkeit und Leitungsverantwortung verankern.
6. Nachweise pflegen – Dokumentation und kontinuierliche Verbesserung sicherstellen.

Wie SECURITYSQUAD unterstützt

SECURITYSQUAD begleitet Sie von der Betroffenheitsanalyse bis zur nachweisbaren Umsetzung. Als nach ISO 27001 auf Basis IT-Grundschutz zertifiziertes Unternehmen und Mitglied der Allianz für Cyber-Sicherheit verbinden wir regulatorisches Wissen mit gelebter Praxis: ISMS- und ISO-27001-Beratung, IT-Grundschutz, NIS2- und KRITIS-Umsetzung, externer ISB bzw. CISO as a Service, Penetrationstests, Security Awareness sowie Managed-Security-Leistungen bis hin zu unserem Managed SIEM & SOC. So erreichen Sie NIS2-Compliance nicht als Papierübung, sondern als messbar höhere Widerstandsfähigkeit.

Weiterführend: Kompetenz & Services · Cyber-Risiko-Check · ISO 27001 & IT-Grundschutz