Am 6. Dezember 2025 trat das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft, ohne jede Übergangsfrist. Bis dahin galt ein belastbares IT-Sicherheitskonzept für kleine und mittlere Unternehmen als Gebot der Vernunft, vorgeschrieben war das Konzept nicht.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 7 Abschnitte
- NIS-2 in einem Satz: Was sich am 6. Dezember 2025 geändert hat
- Bin ich überhaupt betroffen? Schwellenwerte und ein blinder Fleck
- Der Lieferketten-Effekt: Warum auch kleine Betriebe liefern müssen
- Was ein IT-Sicherheitskonzept konkret enthält
- Selbst aufbauen oder auslagern?
- Meldepflicht und Haftung: Was bei einem Vorfall zu tun ist
- Häufige Fragen zu NIS-2 und zum IT-Sicherheitskonzept
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beziffert die Zahl der unmittelbar betroffenen Einrichtungen auf rund 29.500 in 18 Sektoren (Stand: Juni 2026). Zuvor standen nur etwa 2.000 Betreiber kritischer Infrastrukturen unter der Aufsicht des BSI. Der Kreis der beaufsichtigten Einrichtungen ist damit auf mehr als das Zehnfache gewachsen. Für den Mittelstand entscheidend ist aber die Lieferkette, denn über sie erreicht das Gesetz auch Betriebe, die sich bis dahin in Sicherheit gewähnt hatten.
Kernaussagen im Überblick
- NIS-2 ist in Deutschland seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist für die technischen und organisatorischen Maßnahmen.
- Direkt betroffen sind rund 29.500 Einrichtungen ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in 18 Sektoren.
- Die Geschäftsleitung haftet persönlich, Bußgelder reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
- Auch formal nicht betroffene KMU werden über die Lieferkette in die Pflicht genommen.
- Ein dokumentiertes IT-Sicherheitskonzept sichert die Compliance, schützt vor persönlicher Haftung und erhält die Lieferfähigkeit.
NIS-2 in einem Satz: Was sich am 6. Dezember 2025 geändert hat
NIS-2 steht für die europäische Richtlinie 2022/2555, die in der ganzen Union ein einheitlich hohes Cybersicherheitsniveau schaffen soll. Die Frist zur Umsetzung lief im Oktober 2024 ab. Deutschland verpasste diesen Termin deutlich und verabschiedete das nationale Gesetz erst gut ein Jahr später.
Mit der Verkündung im Bundesgesetzblatt gilt seit dem 6. Dezember 2025 ein grundlegend reformiertes BSI-Gesetz. Am 6. Januar 2026 schaltete das BSI sein Portal MUK für Registrierung und Vorfallsmeldungen frei, die Frist zur Registrierung endete am 6. März 2026. Elf Tage später, am 17. März 2026, trat zusätzlich das KRITIS-Dachgesetz in Kraft.
Viele Geschäftsführungen traf das Inkrafttreten ohne Übergangsfrist unvorbereitet, weil sie monatelang auf eine erneute Verschiebung gehofft hatten.
Die eigentliche Härte des Gesetzes liegt für uns im fehlenden Übergang: Eine Pflicht ohne Einführungsphase bestraft ausgerechnet die abwartenden Betriebe, die auf eine geordnete Frist gesetzt haben. Wer bereits ein solides IT-Sicherheitskonzept hat, steht besser da als jeder Wettbewerber, der das Thema auf die lange Bank geschoben hat.
Das reformierte BSI-Gesetz gilt ohne Übergangsfrist, gut ein Jahr nach Ablauf der EU-Frist im Oktober 2024.
Über das BSI-Portal registrieren sich die Einrichtungen und melden Sicherheitsvorfälle.
Bis zu diesem Tag mussten sich die betroffenen Einrichtungen beim BSI registrieren.
Elf Tage nach dem Ende der Registrierungsfrist kam das KRITIS-Dachgesetz hinzu.
Bin ich überhaupt betroffen? Schwellenwerte und ein blinder Fleck
Ob NIS-2 direkt greift, hängt von zwei Schwellen ab. Unter das Gesetz fällt ein Unternehmen, das in einem der 18 Sektoren tätig ist und mindestens 50 Beschäftigte zählt oder einen Jahresumsatz beziehungsweise eine Bilanzsumme von mindestens 10 Millionen Euro erreicht.
Das Gesetz unterscheidet zudem zwei Kategorien mit unterschiedlich strenger Aufsicht.
| Kriterium | Besonders wichtige Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Größe (Richtwert) | ab 250 Beschäftigten oder 50 Mio. € Umsatz | ab 50 Beschäftigten oder 10 Mio. € Umsatz |
| Beispielsektoren | Energie, Transport, Finanzen, Gesundheit | Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe |
| Aufsicht | proaktiv, auch ohne Anlass | reaktiv, nach Vorfällen oder Hinweisen |
| Bußgeldrahmen | bis 10 Mio. € oder 2 % Weltumsatz | bis 7 Mio. € oder 1,4 % Weltumsatz |
Im Zweifel hilft zuerst die offizielle NIS-2-Betroffenheitsprüfung des BSI, bevor ein Betrieb teure Beratungsleistungen einkauft. Unsere Cybersecurity-Grundlagen für KMU ordnen die Grundbegriffe von den Schutzzielen bis zur Bedrohungslage ausführlich ein.
Der blinde Fleck liegt unterhalb der Schwellen. Viele Geschäftsführungen lesen die Grenze von 50 Beschäftigten und atmen auf.
Die Erleichterung kommt zu früh, denn die Pflicht erreicht den kleinen Betrieb über die Lieferkette. Auf diesem Umweg wird ein IT-Sicherheitskonzept auch für sehr kleine Betriebe faktisch zur Voraussetzung, um Großkunden weiter zu beliefern.
So viele Unternehmen und Organisationen zählt das BSI zum Kreis der unmittelbar Betroffenen.
Die Sektoren reichen von Energie, Transport, Finanzen und Gesundheit bis zu Post, Chemie und Lebensmitteln.
Alternativ zählt ein Jahresumsatz beziehungsweise eine Bilanzsumme ab 10 Millionen Euro, sofern der Betrieb in einem der Sektoren tätig ist.
Für besonders wichtige Einrichtungen gilt alternativ die Marke von 2 Prozent des weltweiten Jahresumsatzes, für wichtige gelten bis 7 Mio. € oder 1,4 Prozent.
Der Lieferketten-Effekt: Warum auch kleine Betriebe liefern müssen
NIS-2 verpflichtet betroffene Unternehmen ausdrücklich zur Lieferkettensicherheit. Ein erfasster Konzern muss also die Cybersicherheit seiner Dienstleister und Zulieferer bewerten und einfordern. Die Anforderungen reicht der Konzern über Verträge, Audits und Sicherheitsfragebögen an die kleineren Partner weiter.
Ein Maschinenbauer mit 30 Beschäftigten etwa fällt nicht direkt unter das Gesetz, sein größter Kunde, ein Automobilzulieferer mit 4.000 Mitarbeitern, dagegen schon. Ein solcher Kunde würde sich vom Maschinenbauer nicht weiter beliefern lassen, ohne einen Nachweis über dessen Sicherheitsniveau zu verlangen.
So wird die Anforderung Glied für Glied bis zum letzten Zulieferer der Kette weitergereicht.
Warum greift der Gesetzgeber erst mit NIS-2 durch, obwohl Cyberangriffe seit Jahrzehnten zunehmen? Die europäische Wirtschaft ist so eng verflochten, dass ein einziger Mittelständler mit kompromittierten Systemen eine Kettenreaktion auslösen kann.
Beim Cyberangriff auf den Dienstleister Unimed, über den wir im Mai 2026 berichtet haben, flossen auf diesem Weg 120.000 Patientendatensätze ab.
Ein kleiner Zulieferer, der auf seine geringe Größe verweist, riskiert nach unserer Einschätzung Aufträge. Ob ein IT-Sicherheitskonzept nötig ist, steht damit nicht mehr zur Debatte. Offen ist nur, wer das Konzept als Erster vorlegen kann.
Die spannendste Zahl an NIS-2 sind nicht die 29.500 direkt betroffenen Einrichtungen, sondern die zehntausenden Zulieferer dahinter, die das Gesetz über Verträge erreicht. Genau dort, beim Maschinenbauer mit 30 Leuten, entscheidet sich, ob die Lieferkette hält.
Markus Seyfferth, Chefredakteur Dr. Web
Was ein IT-Sicherheitskonzept konkret enthält
Paragraf 30 BSIG in der Fassung des NIS2UmsuCG nennt zehn Bereiche, die ein angemessenes Risikomanagement abdecken muss. Diese zehn Bereiche bilden den inhaltlichen Kern jedes belastbaren IT-Sicherheitskonzepts.
- Risikoanalyse und Konzepte für die Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen samt Meldeprozessen
- Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
- Bewertung der Wirksamkeit der getroffenen Maßnahmen
- Schulung und grundlegende Cyberhygiene der Belegschaft
- Konzepte für Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Auf den ersten Blick wirkt die Liste technisch, zur Hälfte ist sie aber organisatorisch: Schulung, Verantwortlichkeiten und Krisenmanagement betreffen Prozesse, keine Hardware. Ein gutes IT-Sicherheitskonzept beschreibt deshalb neben Firewalls auch Zuständigkeiten und Abläufe.
Eine Zertifizierung nach ISO 27001 verfolgt ähnliche Ziele, ersetzt die gesetzlichen Pflichten aber nicht automatisch. Auf diesen Unterschied weist das Beratungshaus W+ST in seinem NIS-2-Leitfaden hin. Entscheidend ist, ob der Betrieb die Anforderungen aus dem Gesetz erfüllt, nicht, ob er ein Zertifikat besitzt.
Selbst aufbauen oder auslagern?
Jede Geschäftsführung steht vor derselben Grundsatzfrage: Lässt sich ein IT-Sicherheitskonzept intern stemmen, oder gehört die Aufgabe in externe Hände? Die Antwort hängt von Personaldecke, Branche und vorhandenem Fachwissen ab.
Der interne Weg lohnt sich für Betriebe mit eigener IT-Abteilung und klaren Zuständigkeiten. Ein praktischer Einstieg ist eine Gap-Analyse: Sie gleicht den Ist-Stand des IT-Sicherheitskonzepts mit den zehn Pflichtbereichen ab und macht die Lücken sichtbar. Aus dem Abgleich entsteht ein Fahrplan, der die dringendsten Maßnahmen an den Anfang stellt.
Ein externer Partner springt vor allem dort ein, wo eigenes Personal fehlt. Ein erfahrener Dienstleister bringt neben Werkzeugen auch die Dokumentationsroutine mit, die das Gesetz verlangt. Zur ersten Orientierung lohnt ein Blick in Übersichten wie die zur IT-Sicherheit für Unternehmen, die zentrale Begriffe und Schutzmaßnahmen kompakt einordnet.
Ein extern erstelltes IT-Sicherheitskonzept entlastet die Geschäftsführung organisatorisch, aber nicht haftungsrechtlich. Die Verantwortung bleibt bei der Geschäftsleitung, auch wenn ein Systemhaus den Auftrag übernimmt.
Meldepflicht und Haftung: Was bei einem Vorfall zu tun ist
Ein erheblicher Sicherheitsvorfall löst eine gestaffelte Meldekette an das BSI aus. Die Fristen sind knapp, und die Uhr tickt ab dem Moment, in dem das Unternehmen von dem Vorfall erfährt.
| Frist | Pflicht |
|---|---|
| 24 Stunden | Frühwarnung mit erster Einschätzung |
| 72 Stunden | ausführliche Meldung mit Bewertung und Schweregrad |
| 1 Monat | Abschlussbericht mit Ursachen und Gegenmaßnahmen |
Für tagelange Krisensitzungen bleibt bei diesem Takt keine Zeit. Ein vorbereiteter Notfallplan mit klaren Rollen gehört deshalb in jedes IT-Sicherheitskonzept. Ohne ihn ist die Frist von 24 Stunden kaum zu halten. Welche Folgen mangelnde Vorbereitung haben kann, beschreibt unser Beitrag darüber, welche Bedeutung IT-Sicherheit im Unternehmen tatsächlich hat.
Hinzu kommt die persönliche Haftung. Paragraf 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich selbst zu schulen. Diese Pflicht lässt sich nicht delegieren. Fehlen angemessene Schutzmaßnahmen, können Geschäftsführer und Vorstände persönlich in Anspruch genommen werden. Mit dieser Haftung wird Cybersicherheit endgültig zur Chefsache. Im Ernstfall ist ein dokumentiertes IT-Sicherheitskonzept der Nachweis, dass die Geschäftsleitung sorgfältig gehandelt hat.
Häufige Fragen zu NIS-2 und zum IT-Sicherheitskonzept
Für wen gilt die NIS-2-Richtlinie?
NIS-2 gilt für Unternehmen in 18 festgelegten Sektoren ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Das BSI beziffert die Zahl der unmittelbar betroffenen Einrichtungen auf rund 29.500. Ob ein Betrieb dazugehört, klärt die offizielle NIS-2-Betroffenheitsprüfung des BSI.
Was passiert, wenn ich die NIS-2-Pflichten nicht erfülle?
Verstöße können Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes nach sich ziehen, für wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent. Hinzu kommt die persönliche Haftung der Geschäftsleitung nach Paragraf 38 BSIG.
Brauche ich für mein IT-Sicherheitskonzept eine ISO-27001-Zertifizierung?
Nein, eine Zertifizierung ist nicht vorgeschrieben. ISO 27001 verfolgt ähnliche Ziele und erleichtert die Umsetzung, ersetzt die gesetzlichen Pflichten aber nicht automatisch. Entscheidend ist, ob der Betrieb die Anforderungen aus dem Gesetz tatsächlich erfüllt.
Bin ich als kleiner Zulieferer auch betroffen?
Indirekt sind kleine Zulieferer sehr wahrscheinlich betroffen. Betroffene Kunden müssen ihre Lieferkette absichern und reichen die Sicherheitsanforderungen über Verträge, Audits und Sicherheitsfragebögen an Dienstleister und Zulieferer weiter, auch an Betriebe unterhalb der gesetzlichen Schwellen.
Wie schnell muss ich einen Sicherheitsvorfall melden?
Die Meldung an das BSI erfolgt gestaffelt: eine Frühwarnung binnen 24 Stunden, eine ausführliche Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats, jeweils ab Kenntnis des Vorfalls.
Entlastet ein externer Dienstleister die Geschäftsführung von der Haftung?
Nein. Ein ausgelagertes IT-Sicherheitskonzept entlastet die Geschäftsführung organisatorisch, aber nicht haftungsrechtlich. Nach Paragraf 38 BSIG muss die Geschäftsleitung die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen; diese Pflicht lässt sich nicht delegieren.
