nis2 für kmu: sind sie betroffen und was müssen sie tun?

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es betrifft deutlich mehr Unternehmen als bisher, aber nicht jedes KMU. Hier steht, wie Sie prüfen, ob Sie dazugehören, welche Pflichten es gibt und was auch für nicht betroffene Betriebe wichtig ist.

aktualisiert: 1. Oktober 2026 · 8 Min. lesezeit

was seit dem 6. dezember 2025 gilt

Das Gesetz zur Umsetzung der NIS-2-Richtlinie wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und trat am Tag danach in Kraft. Es ersetzt das bisherige BSI-Gesetz. Betroffene Einrichtungen müssen sich beim BSI registrieren, die Frist beträgt drei Monate ab Beginn der Betroffenheit. Das BSI zählte zum 30. Juni 2026 17.729 registrierte Einrichtungen und erwartet insgesamt rund 29.500.

bin ich betroffen?

Das Gesetz unterscheidet „besonders wichtige“ und „wichtige“ Einrichtungen. Ob Sie dazugehören, hängt von Branche und Größe ab (§ 28 BSIG):

Branche: Gelistet sind Sektoren mit hoher Kritikalität (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum) und sonstige kritische Sektoren (unter anderem Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung). Auch Managed Service Provider zählen dazu.
Größe, besonders wichtig: mindestens 250 Beschäftigte, oder mehr als 50 Mio. € Umsatz und zugleich mehr als 43 Mio. € Bilanzsumme.
Größe, wichtig: mindestens 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. €.
Unabhängig von der Größe betroffen sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter.

Die Größe wird nach der EU-Empfehlung 2003/361/EG berechnet. Daten von Partner- und verbundenen Unternehmen zählen mit, sofern die Einrichtung nicht IT-seitig unabhängig ist. Ein Betrieb mit weniger als 50 Beschäftigten ist in der Regel nicht direkt betroffen, außer er gehört zu den Einrichtungsarten ohne Größenschwelle. Das BSI bietet dazu eine Betroffenheitsprüfung an.

welche pflichten gelten

Risikomanagement (§ 30): geeignete und verhältnismäßige Maßnahmen, dokumentiert. Dazu zählen unter anderem Risikoanalyse, Vorfallbewältigung, Backup-Management und Wiederherstellung, Sicherheit der Lieferkette, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Meldepflicht (§ 32): Erhebliche Sicherheitsvorfälle sind spätestens innerhalb von 24 Stunden nach Kenntnis zu melden. Nach 72 Stunden folgt eine erste Bewertung, spätestens einen Monat nach dieser Meldung die Abschlussmeldung. Die Meldung geht an die gemeinsame Meldestelle von BSI und BBK, über das BSI-Portal.
Registrierung (§ 33): über das BSI-Portal, spätestens drei Monate nach Beginn der Betroffenheit. Änderungen sind innerhalb von zwei Wochen zu melden.
Pflichten der Geschäftsleitung (§ 38): Sie muss die Maßnahmen umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet ihrer Einrichtung für schuldhaft verursachte Schäden.

bußgelder

Für Verstöße gegen Risikomanagement, Dokumentation oder Meldepflichten sieht § 65 BSIG bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen vor. Wer sich nicht oder nicht rechtzeitig registriert, riskiert bis zu 500.000 €. Die in der Presse oft genannten Prozentwerte (2 % und 1,4 % des Umsatzes) gelten nur bei einem Gesamtumsatz von mehr als 500 Mio. €. Für KMU zählen die festen Höchstbeträge.

auch ohne direkte betroffenheit: die lieferkette

Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette sicherstellen (§ 30 Abs. 2 Nr. 4). Das BSI weist darauf hin, dass sich die Regeln mittelbar auch auf Unternehmen auswirken können, die selbst nicht betroffen sind. In der Praxis fragen Kunden nach Maßnahmen und Nachweisen oder vereinbaren Pflichten zu Risikomanagement, Vorfallmeldung und Patch-Management im Vertrag. Wer seine IT auslagert, bleibt laut BSI trotzdem selbst verantwortlich.

was sie jetzt tun können

Betroffenheit prüfen: Branche, Beschäftigte, Umsatz, Bilanzsumme und verbundene Unternehmen zusammentragen, zum Beispiel mit dem BSI-Tool.
Bestandsaufnahme: Welche Systeme, Daten und Dienstleister sind für den Betrieb kritisch?
Grundschutz sichern: aktuelle Firewall, Updates, Multi-Faktor-Authentifizierung, Backup mit getesteter Wiederherstellung, geschulte Mitarbeitende. Das sind genau die Punkte, die § 30 nennt.
Notfallplan: Wer meldet was an wen? Eine Anleitung finden Sie im Ratgeber Cyberangriff: was tun?
Nachweise bereithalten: Backup-Konzept, Patchstand und Schulungen lassen sich auf Kundenfragebögen belegen.

Wir unterstützen Sie bei der technischen Umsetzung: Firewall, Monitoring, Backup und Awareness für Ihre Mitarbeitenden. Eine Rechtsberatung zur Betroffenheit ersetzt das nicht.

Stand: 1. Oktober 2026. Das Gesetz wurde seit Dezember 2025 geändert, zuletzt am 21. Juli 2026, vor allem bei den Regeln für kritische Anlagen. Dieser Text ist keine Rechtsberatung. Prüfen Sie Ihre Betroffenheit im Zweifel mit einer Rechtsberatung oder dem BSI-Tool.