NIS2: Cybersicherheitspflichten für KMU im Überblick

NIS2 (Network and Information Security Directive 2) ist eine EU-Richtlinie, die in Deutschland seit dem 6. Dezember 2025 durch das NIS-2-Umsetzungsgesetz gilt und IT-Sicherheit zur gesetzlichen Pflicht macht. Sie erweitert den Geltungsbereich der ursprünglichen NIS-Richtlinie von 2016 erheblich und erfasst jetzt auch viele KMU.

Warum die EU IT-Sicherheit gesetzlich regelt

Digitale Infrastruktur ist Grundlage der europäischen Wirtschaft. Störungen durch Cyberangriffe auf kritische Systeme treffen nicht nur einzelne Unternehmen, sondern ganze Lieferketten und öffentliche Versorgung. Das deutsche IT-Sicherheitsgesetz 2.0 von 2021 hatte zuvor die Befugnisse des BSI ausgebaut und KRITIS-Betreiber zu Systemen zur Angriffserkennung verpflichtet.

Wer ist betroffen?

NIS2 gilt für Unternehmen und Organisationen in regulierten Sektoren, die mindestens 50 Mitarbeitende beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro haben (§ 28 Abs. 2 BSIG). Die folgenden Listen sind eine Auswahl, vollständig stehen die Sektoren in den Anlagen 1 und 2 zum BSIG.

Sektoren mit hoher Kritikalität:

• Energie (Strom, Gas, Öl, Fernwärme)
• Transport und Logistik
• Gesundheit
• Trinkwasser und Abwasser
• Digitale Infrastruktur (Rechenzentren, Cloud-Anbieter, DNS)
• Verwaltung von IKT-Diensten (Managed Service Provider und Managed Security Service Provider)
• Raumfahrt

Weitere regulierte Sektoren:

• Post- und Kurierdienste
• Chemische Industrie
• Lebensmittelverarbeitung
• Hersteller medizinischer Geräte, Fahrzeuge und Elektronik
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)

Was NIS2 konkret verlangt

NIS2 macht IT-Sicherheit zur Aufgabe der Geschäftsleitung, nicht nur der IT-Abteilung. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen.

Risikoanalyse und Sicherheitskonzept: Dokumentierte Bewertung der IT-Risiken und Maßnahmen zur Risikominimierung. Als Umsetzungshilfe eignet sich der BSI-Grundschutz oder ein vergleichbares Framework (Empfehlung, keine Gesetzesvorgabe).

Notfall- und Wiederherstellungsplan: Business-Continuity-Plan und Disaster-Recovery-Dokumentation, die im Ernstfall funktioniert. Planen allein genügt nicht, empfehlenswert ist ein regelmäßiger Wiederherstellungstest.

Meldepflicht: Nach § 32 BSIG folgt bei einem erheblichen Sicherheitsvorfall unverzüglich, spätestens binnen 24 Stunden nach Kenntnis eine frühe Erstmeldung an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), unverzüglich, spätestens binnen 72 Stunden nach Kenntnis eine Meldung mit erster Bewertung und spätestens einen Monat nach dieser Meldung eine Abschlussmeldung.

Technische Maßnahmen:

• Konzepte zur Zugriffskontrolle (etwa nach dem Least-Privilege-Prinzip) und Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung
• Netzwerksegmentierung (Empfehlung, keine Gesetzesvorgabe)
• Konzepte für den Einsatz von Kryptografie und Verschlüsselung
• Management und Offenlegung von Schwachstellen (etwa Patch-Management)

Sicherheitsprüfung der Lieferkette: Betroffene Unternehmen müssen unmittelbare Anbieter und Dienstleister auf IT-Sicherheitsrisiken bewerten.

Schulungen: § 30 Abs. 2 Nr. 7 BSIG nennt grundlegende Schulungen, § 38 Abs. 3 BSIG verpflichtet Geschäftsleitungen zu regelmäßigen Schulungen.

Spezialfall Gesundheitssektor

Unabhängig von NIS2 gilt für Arztpraxen und MVZ § 390 SGB V, der spezifische IT-Sicherheitsanforderungen in der vertragsärztlichen Versorgung regelt. Unter NIS2 fallen sie nur, wenn sie die Schwellen nach § 28 BSIG erreichen. Für Praxen und MVZ, die das umsetzen müssen, gibt es in der Markenfamilie mit medical-it.org einen Spezialisten für Praxis-IT, Telematikinfrastruktur und PVS-Betreuung.

Erste Schritte zur NIS2-Compliance

1. Betroffenheitsanalyse: Fällt das Unternehmen unter NIS2 (Sektor, Größe)?
2. Gap-Analyse: Welche Anforderungen sind bereits erfüllt, welche fehlen?
3. Schutzkonzept erstellen: Risikoanalyse, Sicherheitsmaßnahmen dokumentieren
4. Technische Umsetzung: Firewall, EDR, verschlüsselte Backups, MFA und Zugangskontrolle
5. Meldeprozesse definieren: Wer meldet was, an wen und in welchem Zeitfenster?
6. Mitarbeiter schulen: Phishing, Passworthygiene, Störungsmeldung

Für die Umsetzung von IT-Sicherheitsmaßnahmen nach NIS2 wenden Sie sich an unsere Schwestermarke Netzleiter.

Ab wann gilt NIS2? Die EU-Umsetzungsfrist endete im Oktober 2024, in Deutschland ist das NIS-2-Umsetzungsgesetz laut BSI seit dem 6. Dezember 2025 in Kraft. Unternehmen, die in den Geltungsbereich fallen, sind ab diesem Datum zur Umsetzung verpflichtet. Zentrale Aufsichtsbehörde ist in der Regel das BSI.

Was passiert bei Verstößen gegen NIS2? Für besonders wichtige Einrichtungen sind Bußgelder bis zu 10 Millionen Euro möglich, bei mehr als 500 Millionen Euro Gesamtumsatz bis zu 2 Prozent des Gesamtumsatzes (§ 65 Absatz 5 und 6 BSIG).

Muss ich als Kleinunternehmen nichts tun? Unternehmen mit weniger als 50 Mitarbeitenden, die nicht zugleich einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro haben, fallen in der Regel nicht direkt unter NIS2. Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Registries und Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze (§ 28 Abs. 1 und 2 BSIG). Für Telekommunikation und Teile der Energiewirtschaft gelten teils Sonderregeln im TKG und EnWG, für Finanzunternehmen die EU-Verordnung DORA (§ 28 Abs. 5 und 6 BSIG). Als Zulieferer größerer Unternehmen können jedoch indirekt Anforderungen entstehen (Lieferkettenpflicht).