NIS2: Betrifft mich das?

Was ist NIS2 überhaupt?

NIS2 ist eine Richtlinie der EU für mehr Cybersicherheit. Sie verpflichtet bestimmte Unternehmen, ihre IT abzusichern und erhebliche Sicherheitsvorfälle an das BSI zu melden. Das BSI ist das Bundesamt für Sicherheit in der Informationstechnik. In Deutschland gilt die Umsetzung seit dem 06.12.2025 im BSI-Gesetz. Die Geschäftsführung ist dabei selbst in der Pflicht: Sie muss die Schutzmaßnahmen umsetzen und überwachen.

Quellen: BSI, NIS-2-regulierte Unternehmen (bsi.bund.de) und Infopaket Meldepflicht (bsi.bund.de).

Muss ich jetzt auch etwas tun? Meistens nicht direkt. Es kommt auf Ihre Größe, Ihre Branche und Ihre Kunden an.

Wer muss direkt ran?

Das Gesetz greift meist erst ab einer bestimmten Größe. Als Faustregel gelten Firmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Umsatz und Bilanzsumme, und zwar in bestimmten Branchen. Das Gesetz unterscheidet dabei „besonders wichtige“ und „wichtige Einrichtungen“. Welche Branchen das sind und wie Größen genau gezählt werden, regelt es im Detail.

Für viele Handwerksbetriebe, Praxen, Kanzleien und kleine Büros heißt das: Direkt unter NIS2 fallen sie häufig nicht. Das ist eine Faustregel, kein Freibrief. Eine erste Einschätzung bietet das BSI mit seiner anonymen Online-Betroffenheitsprüfung, die laut BSI aber nur der Orientierung dient. Wer betroffen ist, muss sich beim BSI registrieren, und die gesetzliche Frist dafür ist laut BSI bereits abgelaufen. Wer unsicher ist, sollte das also zügig klären lassen.

Quellen: BSI, NIS-2-Betroffenheitsprüfung (betroffenheitspruefung-nis-2.bsi.de); BSI, NIS-2-regulierte Unternehmen (bsi.bund.de).

Der Haken: Ihre großen Kunden

Auch wenn Sie selbst nicht unter das Gesetz fallen, kann es Sie treffen. Betroffene Unternehmen müssen laut BSI auf die Sicherheit ihrer Lieferkette achten und ihre Zulieferer zur Einhaltung entsprechender Sicherheitsanforderungen verpflichten. Das BSI nennt dafür Verträge.

Für Zulieferer kann das ernst werden. Nach Einschätzung des BSI können betroffene Unternehmen mit Zulieferern, die die Anforderungen nicht erfüllen, womöglich nicht mehr zusammenarbeiten, ohne selbst Pflichtverstöße zu riskieren. Im schlimmsten Fall steht also der Auftrag auf dem Spiel.

Quelle: BSI, NIS-2-Infopaket Sichere Lieferkette (bsi.bund.de).

In der Praxis kann das so aussehen: Ein Kunde schickt Ihnen einen Fragebogen oder ergänzt den Vertrag um Sicherheitsklauseln. Wer vorbereitet ist, antwortet in Ruhe.

Besonders im Blick sind Dienstleister mit Zugang zu fremden Systemen. Wer per Fernwartung in ein Kundennetz kommt, ist für den Kunden ein mögliches Einfallstor. Rechnen Sie also mit Fragen dazu, wie solche Zugänge gesichert sind.

Selbstcheck in zwei Minuten

Gehen Sie diese Punkte durch. Jedes Ja ist ein Grund, genauer hinzusehen.

• Haben wir 50 oder mehr Beschäftigte?
• Liegen Umsatz und Bilanzsumme über 10 Millionen Euro?
• Arbeiten wir in einer Branche, die das Gesetz als wichtig oder besonders wichtig einstuft?
• Beliefern wir Kunden, die selbst unter NIS2 fallen könnten, etwa größere Unternehmen?
• Hat uns ein Kunde schon einmal einen Sicherheitsfragebogen geschickt?
• Stehen in unseren Verträgen Klauseln zu IT-Sicherheit oder Meldepflichten?
• Haben wir Zugang zu den Systemen oder Daten unserer Kunden, zum Beispiel per Fernwartung?

Alles Nein? Dann sind Sie vermutlich nicht direkt betroffen, die Sicherheitsfrage bleibt trotzdem bestehen. Mindestens ein Ja? Dann lohnt sich ein Gespräch mit Ihrer Rechtsberatung und ein Blick auf Ihre IT.

Der Fragebogen kommt: Können Sie antworten?

Welche Fragen kommen, legt jeder Kunde selbst fest. Denkbar sind zum Beispiel diese:

• Ist Ihr Netz durch eine Firewall vom Internet getrennt, und wird sie gepflegt?
• Gibt es Updates für Rechner, Server und Geräte, und wer kümmert sich darum?
• Wie melden sich Mitarbeiter an: nur mit Passwort oder zusätzlich mit Zwei-Faktor-Anmeldung?
• Gibt es eine Datensicherung, und wurde das Zurückspielen schon einmal geprüft?
• Wie greifen Mitarbeiter von außen auf Firmendaten zu?
• Was tun Sie, wenn etwas passiert, und wer ist dann zuständig?

Das sind Beispiele, keine Fragen aus dem Gesetz. Gute Antworten schaffen Vertrauen.

Was der Schutzschild beiträgt, und was nicht

Der KI-Schutzschild deckt mehrere der typischen Fragen ab. Wir stellen ein eigenes Schutzgerät vor Ihr Netz, pflegen es jeden Monat und richten Zwei-Faktor-Anmeldung, getrennte Netze und einen sicheren Fernzugang per VPN ein. Außerdem prüfen wir Ihre Datensicherung.

Wichtig ist die Einordnung: Das Paket macht Ihren Betrieb nicht automatisch NIS2-konform und ersetzt keine rechtliche Prüfung. Es verbessert aber die technische Grundlage, über die Kunden Auskunft wollen. Das BSI empfiehlt kleinen und mittleren Unternehmen selbst, vorrangig zentrale Firewalls in Form spezieller Hardware einzusetzen, um die Verbindung zwischen IT-Systemen und Internet zu schützen.

Quelle: BSI, Broschüre „Cybersicherheit für kleine und mittlere Unternehmen“, 3. Auflage, Stand Juli 2024, Frage 6. bsi.bund.de

Ehrlich gesagt: Eine Firewall allein genügt nicht. Gegen täuschend echte Betrugsmails und gefälschte Anrufe hilft sie nur begrenzt. Dagegen helfen Zwei-Faktor-Anmeldung und klare Regeln, etwa der Rückruf auf eine bekannte Nummer und das Vier-Augen-Prinzip bei Überweisungen, dazu Updates und eine geprüfte Datensicherung. Ganz ausschließen kann einen Angriff niemand.

Sicherheit ist kein einmaliger Kauf. Geräte brauchen Updates, Schutzlizenzen laufen ab, Regeln müssen zu neuen Anforderungen passen. Deshalb pflegen wir das Gerät jeden Monat, statt es nach der Einrichtung zu vergessen.

Ihr Plan in vier Schritten

• Selbstcheck oben durchgehen und die Antworten notieren.
• Bei Unsicherheit die BSI-Betroffenheitsprüfung nutzen und die rechtliche Einordnung durch eine Fachperson klären lassen.
• Den kostenlosen Sicherheits-Check nutzen, um Ihren technischen Stand zu kennen.
• Lücken schließen und die Fragen Ihrer Kunden mit einem klaren Stand beantworten können.

Meldefristen und Bußgelder klären Sie bitte mit Ihrer Rechtsberatung oder auf den offiziellen Seiten des BSI. Wir nennen dazu bewusst keine Zahlen: Das wäre Rechtsberatung, und Details können sich ändern.