Rund 30.000 Unternehmen in Deutschland fallen direkt unter NIS2 — die Registrierungsfrist lief am 31. Juli 2026 ab. Die meisten kleinen Betriebe sind dabei nicht selbst betroffen. Und trotzdem landet NIS2 gerade reihenweise auf ihren Schreibtischen: als Fragebogen vom größten Kunden, als neue Klausel im Rahmenvertrag, als Bedingung für die Auftragsverlängerung. Genau dieser indirekte Weg ist für den Mittelstand der praktisch relevante — und in den meisten NIS2-Artikeln kommt er nicht vor.
Wer direkt betroffen ist
NIS2 gilt für mittlere und große Unternehmen in 18 definierten Sektoren. Die Schwellen sind alternativ zu lesen — es genügt, wenn eine davon überschritten wird:
| Kategorie | Schwellenwerte | Folge |
|---|---|---|
| Wichtige Einrichtung | ab 50 Beschäftigte oder 10 Mio. € Umsatz/Bilanzsumme | Registrierung, Risikomanagement, Meldepflichten |
| Besonders wichtige Einrichtung | ab 250 Beschäftigte oder 50 Mio. € Umsatz | zusätzlich strengere Aufsicht und Nachweispflichten |
Zu den Sektoren gehören unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelproduktion und verarbeitendes Gewerbe. Wenn Sie unter 50 Beschäftigten liegen und nicht in einem dieser Sektoren tätig sind, sind Sie nicht direkt betroffen. Das ist der Punkt, an dem die meisten Betriebe aufatmen und weiterblättern — zu früh.
Der eigentliche Hebel für kleine Betriebe: die Lieferkette
NIS2 verpflichtet betroffene Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette zu steuern. Ein Krankenhaus, ein Energieversorger oder ein mittelständischer Produzent muss also nachweisen können, dass auch seine Dienstleister ein angemessenes Sicherheitsniveau haben. Er gibt die Anforderung weiter — an den IT-Dienstleister, das Ingenieurbüro, die Agentur, den Wartungsbetrieb.
In der Praxis kommt das in drei Formen an: als Sicherheitsfragebogen mit 20 bis 80 Fragen, als neue Vertragsklausel mit Meldepflichten und Nachweisen, oder als Anforderung, ein Zertifikat oder eine dokumentierte Sicherheitsleitlinie vorzulegen. Wer darauf nicht antworten kann, verliert im Zweifel den Auftrag — ganz ohne behördliche Sanktion.
Was betroffene Unternehmen leisten müssen
- Registrierung beim BSI — die Frist dafür lief am 31. Juli 2026 ab.
- Risikomanagement mit dokumentierten technischen und organisatorischen Maßnahmen: Zugriffskontrolle, Verschlüsselung, Backup, Notfallpläne, Sicherheit in der Lieferkette.
- Dreistufige Meldepflicht bei erheblichen Sicherheitsvorfällen (siehe unten).
- Schulung und Verantwortung der Geschäftsleitung. Das ist der Punkt, der oft untergeht: Nach § 38 BSIG haftet die Leitung persönlich — mit dem Privatvermögen. Delegieren an die IT befreit nicht.
Die Meldefristen: 24 Stunden, 72 Stunden, ein Monat
| Frist | Was | Inhalt |
|---|---|---|
| 24 Stunden | Frühwarnung | Dass etwas passiert ist — keine Analyse nötig |
| 72 Stunden | Erstmeldung | Erste Bewertung, Art des Vorfalls, betroffene Systeme |
| 1 Monat | Abschlussbericht | Ursache, Ablauf, ergriffene Maßnahmen |
Entscheidend ist der Startpunkt: Die 24 Stunden laufen ab Kenntnis des Vorfalls, nicht ab Abschluss der Analyse. Wer erst untersucht und dann meldet, ist zu spät. Genau deshalb gehört die Meldekette in den Notfallplan und nicht in den Kopf einer einzelnen Person.
Meldepflichtig ist ein Vorfall unter anderem bei einem direkten finanziellen Schaden über 500.000 Euro oder fünf Prozent des Jahresumsatzes, bei Auswirkungen auf mehr als fünf Millionen Nutzer oder bei einem Dienstausfall von über einer Stunde mit erheblicher Reichweite. Bußgelder reichen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Was ein kleiner Betrieb konkret tun sollte
- Betroffenheit prüfen und dokumentieren. Beschäftigtenzahl, Umsatz, Sektor — schriftlich festhalten, auch und gerade wenn das Ergebnis „nicht betroffen" lautet. Genau dieses Blatt brauchen Sie, wenn ein Kunde fragt.
- Kundenliste durchgehen. Ist einer Ihrer größeren Kunden in einem der 18 Sektoren und über den Schwellen? Dann kommt der Fragebogen, wenn er nicht schon da ist.
- Die Basis sauber aufsetzen. Die typischen Fragebögen fragen nach Mehrfaktor-Authentifizierung, Zugriffsrechten, Backup mit getesteter Wiederherstellung, Patch-Stand, Notfallkontakten und Offboarding-Prozess. Das ist keine NIS2-Spezialität, sondern das, was ohnehin sitzen sollte — siehe Cybersecurity-Checkliste für KMU.
- Zwei Seiten Sicherheitsleitlinie schreiben. Wer ist verantwortlich, welche Maßnahmen sind umgesetzt, wie läuft die Meldung eines Vorfalls, wann wurde das zuletzt geprüft. Mehr braucht es für die Auskunftsfähigkeit meist nicht.
- Backup-Wiederherstellung einmal echt testen und das Datum notieren. Die Frage „Wann haben Sie zuletzt eine Wiederherstellung geprüft?" steht in fast jedem Fragebogen — und wird fast nie beantwortet. Wie das geht, steht in der Backup-Strategie für kleine Unternehmen.
Was in den Kundenfragebögen tatsächlich abgefragt wird
Die Bögen unterscheiden sich im Detail, kreisen aber fast immer um dieselben acht Punkte. Wer diese Antworten einmal schriftlich vorliegen hat, beantwortet jeden weiteren Bogen in einer halben Stunde statt in zwei Tagen:
- Wer ist bei Ihnen für Informationssicherheit verantwortlich? Ein Name genügt. „Der Geschäftsführer" ist eine zulässige Antwort, „niemand" nicht.
- Wie sind Zugänge zu unseren Systemen abgesichert? Hier wird Mehrfaktor-Authentifizierung erwartet, nicht diskutiert.
- Wie regeln Sie Zugriffsrechte und Offboarding? Also: Was passiert am letzten Arbeitstag eines Mitarbeiters mit seinen Zugängen — und wie schnell.
- Wann haben Sie zuletzt eine Wiederherstellung aus dem Backup getestet? Ein Datum. Diese Frage entlarvt mehr Betriebe als jede andere.
- Wie halten Sie Systeme aktuell? Gemeint ist ein beschriebener Ablauf, kein „automatisch".
- Wie melden Sie uns einen Sicherheitsvorfall — und in welcher Frist? Der Kunde braucht Ihre Meldung, um seine eigene 24-Stunden-Frist zu halten. Rechnen Sie mit der Forderung, binnen 24 Stunden zu informieren.
- Setzen Sie Subunternehmer ein? Wenn ja, wie stellen Sie deren Sicherheitsniveau sicher? Die Kette geht weiter.
- Werden Ihre Mitarbeitenden geschult, und wie oft? Ein jährlicher Termin mit Teilnehmerliste reicht in aller Regel.
Auffällig daran: Keine dieser Fragen verlangt ein teures Werkzeug. Sie verlangen, dass jemand die Antwort kennt und belegen kann. Genau deshalb ist der Aufwand für einen kleinen Betrieb überschaubar — und genau deshalb scheitern trotzdem so viele daran.
Die Chance dahinter
Für kleine Dienstleister ist das kein reines Ärgernis. Wer als Erster in seiner Nische einen Fragebogen sauber und schnell beantworten kann, gewinnt Aufträge gegen Wettbewerber, die drei Wochen brauchen und dann Lücken einräumen müssen. Auskunftsfähigkeit ist inzwischen ein Verkaufsargument — sie kostet einmal ein bis zwei Tage und trägt danach jahrelang.
Wenn Sie den Ist-Stand strukturiert erheben wollen, ist das genau der Umfang eines IT-Sicherheitsaudits. Für das Team gibt es begleitend die Schulung Cybersecurity-Awareness.
