NIS2 in der Praxis: Was seit 2025 für den deutschen Mittelstand gilt

Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland geltendes Recht, ohne Übergangsfrist. Wer zu den rund 29.500 betroffenen Unternehmen zählt, musste seine Pflichten ab dem ersten Tag erfüllen. Die Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik lief am 6. März 2026 ab. Wer heute, im August 2026, eigentlich unter das Gesetz fällt und sich noch nicht registriert hat, handelt bereits gesetzeswidrig. Nach Regierungsschätzung hatten zum Zeitpunkt der Gesetzgebung rund 83 Prozent der betroffenen Unternehmen noch Nachholbedarf bei der IT-Sicherheit, ein Hinweis darauf, dass ein großer Teil des Mittelstands diese Arbeit noch vor sich hat.

Eine EU-Richtlinie wird zu deutschem Recht

NIS2 ist die gängige Kurzform für die EU-Richtlinie 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, verabschiedet 2022 als Nachfolgerin der ersten NIS-Richtlinie von 2016. Ihr Ziel: das Sicherheitsniveau von Netz- und Informationssystemen in der gesamten Union anheben, weil Cyberangriffe längst nicht mehr nur Konzerne treffen. Jeder Mitgliedstaat musste die Vorgaben in nationales Recht überführen. In Deutschland geschah das über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG, das die Regelungen in das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, kurz BSIG, einbaut.

Der Zeitplan verzögerte sich deutlich. Die EU-Frist zur Umsetzung war eigentlich der 17. Oktober 2024. Deutschland brauchte mehr als ein Jahr länger, mehrere Referentenentwürfe scheiterten am Ende der letzten Legislaturperiode, das Gesetz musste neu aufgesetzt werden. Verkündet wurde es am 5. Dezember 2025 im Bundesgesetzblatt, in Kraft getreten am Tag darauf. Anders als bei vielen neuen Gesetzen gab es keine Schonfrist zum Reinwachsen. Die Pflichten galten sofort.

Der Vorgänger dieser Regulierung, das bisherige KRITIS-Regime, betraf in Deutschland etwa 4.500 Einrichtungen, vor allem Betreiber kritischer Infrastruktur wie Energieversorger oder Krankenhäuser oberhalb bestimmter Versorgungsschwellen. NIS2 vervielfacht diesen Kreis auf das rund Sechsfache. Genau das trifft jetzt den Mittelstand, der bislang dachte, Cybersicherheitsgesetze seien etwas für Konzerne und Stadtwerke.

Zwei Kategorien, zwei Schwellenwerte

Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Die Einstufung entscheidet, wie streng die Aufsicht ausfällt und wie hoch mögliche Bußgelder liegen können.

Als besonders wichtige Einrichtung gilt ein Unternehmen ab 250 Beschäftigten oder einem Jahresumsatz über 50 Millionen Euro, sofern gleichzeitig die Bilanzsumme 43 Millionen Euro übersteigt. In diese Gruppe fallen außerdem Betreiber kritischer Anlagen unabhängig von ihrer Größe sowie einige besondere Anbieter, etwa DNS-Diensteanbieter, TLD-Registrierungsstellen oder qualifizierte Vertrauensdiensteanbieter. Rund 2.950 Unternehmen dieser Kategorie hatten laut Regierungsschätzung noch erheblichen Nachholbedarf bei der IT-Sicherheit.

Als wichtige Einrichtung gilt, wer ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz liegt und dabei die Schwellen der ersten Kategorie nicht erreicht. Das ist die Gruppe, in der sich der klassische Mittelstand wiederfindet, ein Maschinenbauer mit 80 Mitarbeitern etwa oder ein regionaler Lebensmittelverarbeiter. Rund 17.900 Unternehmen dieser Kategorie gelten als noch nicht ausreichend vorbereitet.

Die Größe allein entscheidet nicht. Ein Unternehmen muss zusätzlich einem von 18 regulierten Sektoren angehören. Zur ersten Gruppe mit hoher Kritikalität zählen Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung und Weltraum. Zur zweiten Gruppe mit sonstiger Kritikalität gehören Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe wie Maschinenbau oder Medizinprodukte, digitale Dienste wie Onlinemarktplätze und Forschungseinrichtungen. Wer außerhalb dieser Liste wirtschaftet, ein Handwerksbetrieb etwa oder eine klassische Werbeagentur, bleibt in der Regel außen vor. Wer als Zulieferer für ein betroffenes Unternehmen arbeitet, kann trotzdem indirekt in die Pflicht geraten, weil die Lieferkettensicherheit selbst Teil der Anforderungen ist.

Wer unsicher ist, muss nicht raten. Das BSI stellt auf seiner Website eine offizielle Betroffenheitsprüfung samt Entscheidungsbaum bereit, mit der sich die eigene Einstufung in wenigen Schritten klären lässt.

Ein Detail sorgt derzeit noch für Streit unter Juristen: Das Gesetz erlaubt, untergeordnete Geschäftstätigkeiten bei der Einstufung außer Acht zu lassen, wenn deren Ausfall die Erbringung der eigentlichen kritischen Dienstleistung nicht beeinträchtigen würde. Was als untergeordnet gilt, ist im Gesetzestext nicht abschließend definiert und wird sich erst durch Behördenpraxis und im Zweifel durch Gerichte klären. Wer knapp an einer Schwelle liegt oder nur mit einem Randbereich seines Geschäfts in einen regulierten Sektor fällt, sollte diese Grauzone nicht allein bewerten, sondern rechtlich absichern lassen.

Was konkret verlangt wird

Das Gesetz schreibt in Paragraf 30 BSIG zehn Bereiche vor, in denen Unternehmen „geeignete, verhältnismäßige und wirksame“ technische und organisatorische Maßnahmen nachweisen müssen. Dazu zählen:

• Risikoanalyse und Konzepte für die Sicherheit der Systeme
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, einschließlich Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette, auch gegenüber Dienstleistern und Zulieferern
• Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
• Konzepte zur Bewertung der Wirksamkeit der eigenen Maßnahmen
• Grundlegende Verfahren der Cyberhygiene und Schulungen für Mitarbeitende
• Konzepte für den Einsatz von Kryptografie und Verschlüsselung
• Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen
• Einsatz von Mehrfaktorauthentifizierung und sicherer Sprach-, Video- und Textkommunikation

Diese Liste liest sich abstrakt, ist in der Praxis aber der Kern der Arbeit. Für die meisten Mittelständler bedeutet sie: eine strukturierte Bestandsaufnahme, wer im Unternehmen worauf Zugriff hat, wie Passwörter und Berechtigungen verwaltet werden, ob es einen Notfallplan für den Ausfall der IT gibt und ob Mitarbeitende wissen, wie eine Phishing-Mail aussieht.

Hinzu kommt die Meldepflicht nach Paragraf 32 BSIG, gestuft in drei Fristen. Binnen 24 Stunden nach Bekanntwerden eines erheblichen Sicherheitsvorfalls muss eine Frühwarnung an das BSI gehen. Binnen 72 Stunden folgt eine ausführlichere Meldung mit erster Einschätzung von Schwere und Auswirkungen. Spätestens einen Monat nach dem Vorfall ist ein Abschlussbericht fällig. Für ein Unternehmen ohne etablierten Prozess ist allein die 24-Stunden-Frist eine Herausforderung, ein Cyberangriff meldet sich selten am Montagmorgen um neun.

Was genau als erheblich gilt, ist im Gesetz nicht über eine feste Kennzahl definiert, sondern über eine Reihe von Anhaltspunkten. Eine wesentliche Betriebsunterbrechung zählt dazu, ebenso der Verlust oder unbefugte Zugriff auf personenbezogene oder geschäftskritische Daten, ein erheblicher finanzieller Schaden auch ohne bezifferte Endsumme sowie Auswirkungen auf Kunden, Lieferanten oder andere Organisationen. Kein einzelnes dieser Merkmale entscheidet für sich allein, es zählt die Gesamtschau. Genau diese Unschärfe sorgt in der Praxis für Unsicherheit: Wer im Zweifel zu spät meldet, riskiert ein Bußgeld, wer jeden kleinen Vorfall meldet, bindet unnötig Ressourcen. Ein internes Kriterium, ab wann eskaliert wird, gehört deshalb in jeden Notfallplan.

Die Geschäftsführung selbst ist nicht außen vor. Nach Paragraf 38 müssen Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen zu Cybersicherheit teilnehmen. Wer diese Pflichten verletzt, kann persönlich haftbar gemacht werden, unabhängig von einer möglichen Haftung des Unternehmens.

Bußgelder ohne Kulanz

Bei Verstößen unterscheidet das Gesetz wieder nach Einstufung. Besonders wichtige Einrichtungen und Betreiber kritischer Anlagen riskieren Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt. Bei wichtigen Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Für ein mittelständisches Unternehmen mit 15 Millionen Euro Umsatz sind das rechnerisch bis zu 210.000 Euro, für die meisten eine Summe, die im Ernstfall wehtut, aber das Unternehmen nicht zwangsläufig existenziell bedroht. Anders sieht es aus, wenn zusätzlich Anordnungen des BSI missachtet werden oder ein Vorfall Kunden schädigt, hier drohen zusätzliche zivilrechtliche Ansprüche.

Was die Umsetzung wirklich kostet

Die Bundesregierung bezifferte den Aufwand für die gesamte deutsche Wirtschaft in ihrem Referentenentwurf auf rund 2,1 Milliarden Euro einmalig sowie noch einmal etwa 2,1 Milliarden Euro an laufenden jährlichen Kosten, verteilt auf rund 30.000 Unternehmen. Umgelegt ergibt das im Durchschnitt etwa 70.000 Euro einmaligen und eine ähnliche Größenordnung an jährlichem Aufwand pro Unternehmen, wobei dieser Durchschnitt durch große und bereits stark regulierte Betriebe nach oben verzerrt wird.

Für einen typischen Mittelständler zwischen 50 und 250 Beschäftigten sehen Berater in der Praxis andere Größenordnungen: einmalige Kosten zwischen 20.000 und 60.000 Euro, laufende Kosten zwischen 15.000 und 40.000 Euro pro Jahr, abhängig davon, wie viel IT-Sicherheit bereits vorhanden ist. Externe Beratungstage kosten üblicherweise zwischen 1.000 und 2.000 Euro, eine interne Fachkraft für Informationssicherheit schlägt mit 60.000 bis 100.000 Euro Jahresgehalt zu Buche, wobei diese Rolle in kleineren Betrieben oft nebenamtlich besetzt wird statt als eigene Stelle. Nach Regierungsschätzung hatten rund 83 Prozent der betroffenen Unternehmen zum Zeitpunkt der Gesetzgebung noch Nachholbedarf. Wer also noch ganz am Anfang steht, ist in guter, wenn auch zahlreicher Gesellschaft.

Der Fahrplan für die nächsten Monate

Wer die Frist im März verpasst hat, sollte nicht abwarten, bis das BSI von sich aus anklopft. Der erste Schritt bleibt die Betroffenheitsprüfung, entweder über das BSI-Tool oder mit rechtlicher Beratung, wenn die Einordnung unklar ist. Fällt das Unternehmen unter das Gesetz, folgt die Registrierung im BSI-Portal, das seit dem 6. Januar 2026 unter dem Namen „Mein Unternehmenskonto“ für die Anmeldung bereitsteht.

Der Ablauf ist zweistufig und braucht mehr Vorlauf, als man denkt. Zuerst wird ein ELSTER-Organisationszertifikat benötigt, viele Unternehmen besitzen bereits eines aus dem Steuerverfahren, andernfalls muss es neu beantragt werden. Damit meldet sich das Unternehmen im Unternehmenskonto an, erst danach lässt sich die eigentliche NIS2-Registrierung im BSI-Portal ausfüllen, mit Angaben zu Sektor, Unternehmensgröße, Rechtsform und einer benannten Kontaktstelle. Weil ein Teil der Freischaltdaten auf dem Postweg verschickt wird, sollte für den gesamten Vorgang eher mit ein bis zwei Wochen gerechnet werden als mit einem Nachmittag. Wer registriert ist, signalisiert der Behörde zumindest, dass am Thema gearbeitet wird.

Danach folgt die eigentliche Arbeit: eine Gap-Analyse gegen die zehn Maßnahmenbereiche aus Paragraf 30, um zu sehen, wo der größte Rückstand liegt. Sinnvoller als der Versuch, alle zehn Bereiche gleichzeitig auf ein Zielniveau zu heben, ist es meist, mit den größten Lücken zu beginnen, oft ist das der Zugriffsschutz oder das Fehlen eines dokumentierten Notfallplans. Wer bereits nach ISO 27001 oder einem vergleichbaren Standard arbeitet, hat einen großen Teil der Arbeit ohnehin schon erledigt, die Nachweispflicht für Betreiber kritischer Anlagen sieht ohnehin ein Audit alle drei Jahre vor, orientiert an etablierten Managementsystemen.

Wer als Zulieferer für ein größeres, NIS2-pflichtiges Unternehmen arbeitet, sollte sich auf Nachfragen einstellen. Die Lieferkettensicherheit ist einer der zehn Pflichtbereiche, größere Auftraggeber werden ihre Zulieferer zunehmend nach Sicherheitsnachweisen fragen, unabhängig davon, ob der Zulieferer selbst unter die Schwellenwerte fällt.

Ein Punkt wird in vielen Beratungsgesprächen unterschätzt: die Schulung der Belegschaft. Cyberhygiene und Sensibilisierung stehen ausdrücklich im Gesetz, und in der Praxis beginnt ein Großteil erfolgreicher Angriffe nach wie vor mit einer angeklickten E-Mail, nicht mit einer ausgeklügelten technischen Lücke.

Die Registrierungspflicht ist kein einmaliges Ereignis aus dem Frühjahr 2026, das mit Ablauf der Frist erledigt wäre. Jedes Unternehmen, das die Schwellenwerte künftig durch Wachstum, eine Übernahme oder den Eintritt in einen regulierten Sektor erstmals erreicht, muss sich binnen drei Monaten nach diesem Zeitpunkt registrieren. Für Mittelständler mit Wachstumsplänen lohnt sich deshalb, die eigene Einstufung nicht nur einmal zu prüfen, sondern bei jeder größeren Umsatz- oder Personalveränderung erneut.

Die Frist ist verstrichen, das Gesetz gilt trotzdem weiter, jeden Tag. Für Unternehmen, die bislang nichts unternommen haben, zählt jetzt vor allem eines: wie schnell sich der Rückstand aufholen lässt, bevor eine Behörde oder ein Sicherheitsvorfall die Entscheidung übernimmt.