NIS2 ist Pflicht: Was Mittelstand und Zulieferer jetzt wissen müssen

Seit Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Die Registrierungsfristen beim BSI sind inzwischen abgelaufen – trotzdem haben viele betroffene Unternehmen ihre Pflichten noch nicht vollständig umgesetzt. Und auch wer selbst nicht unter NIS2 fällt, bekommt die neuen Anforderungen zunehmend über Kunden und Auftraggeber zu spüren.

Wir fassen zusammen, wer betroffen ist, welche Pflichten gelten und welche Schritte mittelständische Unternehmen jetzt angehen sollten.

Was ist NIS2?

NIS2 ist eine EU-Richtlinie, die ein einheitlich hohes Niveau an Cybersicherheit in Europa schaffen soll. In Deutschland wurde sie mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das vor allem das BSI-Gesetz (BSIG) neu fasst. Das Gesetz ist Anfang Dezember 2025 in Kraft getreten – eine Übergangsfrist für die Sicherheitsanforderungen gibt es nicht.

Gegenüber der bisherigen KRITIS-Regulierung wächst der Kreis der betroffenen Unternehmen deutlich: Nach Schätzungen der Bundesregierung fallen rund 29.500 Unternehmen und Einrichtungen in Deutschland unter die neuen Regeln.

Wer ist betroffen?

Betroffen sind Unternehmen aus 18 Sektoren – darunter Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Abfallwirtschaft, Lebensmittel, Chemie und das verarbeitende Gewerbe. Maßgeblich ist außerdem die Unternehmensgröße: In der Regel greift NIS2 ab 50 Beschäftigten oder ab mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Für einige Bereiche gelten die Pflichten unabhängig von der Größe.

Ob Ihr Unternehmen betroffen ist, müssen Sie selbst prüfen. Das BSI bietet dafür online eine kostenlose NIS-2-Betroffenheitsprüfung an.

Die wichtigsten Pflichten im Überblick

• Registrierung beim BSI: Betroffene Unternehmen müssen sich über das BSI-Portal registrieren. Die gesetzliche Frist endete am 6. März 2026, das BSI hat Nachzüglern noch bis Ende Juli 2026 Zeit gegeben. Wer sich bis heute nicht registriert hat, sollte das umgehend nachholen.
• Meldepflicht bei Sicherheitsvorfällen: Erhebliche Vorfälle müssen gestuft gemeldet werden – eine Erstmeldung innerhalb von 24 Stunden, eine ausführlichere Meldung nach 72 Stunden und ein Abschlussbericht nach einem Monat.
• Risikomanagement: Unternehmen müssen angemessene technische und organisatorische Sicherheitsmaßnahmen umsetzen und dokumentieren – von Backup und Notfallplanung über Zugriffskontrolle und Verschlüsselung bis zur Sicherheit in der Lieferkette.
• Verantwortung der Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen kann sie persönlich haften.

Bei Verstößen drohen empfindliche Bußgelder – je nach Einstufung des Unternehmens bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Nicht direkt betroffen? Dann vermutlich indirekt

NIS2 verpflichtet betroffene Unternehmen ausdrücklich, auch die Sicherheit ihrer Lieferanten und Dienstleister zu berücksichtigen. In der Praxis heißt das: Viele kleinere Zulieferer, Handwerksbetriebe und Dienstleister erhalten derzeit Fragebögen, Vertragsklauseln oder Nachweisanforderungen ihrer Kunden – etwa zu Backup, Zugriffsschutz, Notfallplänen oder einer Zertifizierung.

Wer hier gut vorbereitet ist, verschafft sich einen echten Wettbewerbsvorteil. Wer keine Antworten hat, riskiert im schlimmsten Fall, als Lieferant aussortiert zu werden.

Was Sie jetzt tun sollten

• Betroffenheit klären – mit der BSI-Betroffenheitsprüfung, und das Ergebnis dokumentieren.
• Registrierung nachholen, falls Ihr Unternehmen betroffen und noch nicht registriert ist.
• Ist-Stand erheben: Wo steht Ihre IT-Sicherheit heute? Eine strukturierte Analyse – etwa nach DIN SPEC 27076 für kleine Unternehmen – zeigt schnell die größten Lücken.
• Meldewege festlegen: Wer erkennt einen Vorfall, wer entscheidet, wer meldet? 24 Stunden sind im Ernstfall sehr wenig Zeit.
• Lieferkette im Blick behalten: Prüfen Sie Ihre wichtigsten IT-Dienstleister – und bereiten Sie sich auf Nachweisanfragen Ihrer eigenen Kunden vor.
• Geschäftsleitung einbinden und die vorgeschriebenen Schulungen einplanen.

ISO 27001 als solide Grundlage

Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 deckt einen großen Teil der NIS2-Anforderungen an das Risikomanagement ab. NIS2-spezifische Pflichten wie die BSI-Registrierung und die Meldefristen ersetzt es allerdings nicht – sie müssen zusätzlich umgesetzt werden.

Wir bei edvXpert sind selbst nach ISO/IEC 27001 zertifiziert und unterstützen Unternehmen auf dem Weg zu mehr Informationssicherheit: von der IT-Sicherheitsanalyse nach DIN SPEC 27076 über den Aufbau eines ISMS bis zum Monitoring und Notfallmanagement im laufenden Betrieb. Sprechen Sie uns an – wir klären gemeinsam, was NIS2 für Ihr Unternehmen konkret bedeutet.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.