NIS2: Bin ich als kleines Unternehmen betroffen?

Ob NIS2 für kleine Unternehmen gilt, hängt von Branche und Größe ab. Das deutsche NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Es erfasst in der Regel erst Unternehmen ab 50 Mitarbeitenden oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme, und das nur in bestimmten Sektoren. Viele kleine Unternehmen erreicht NIS2 trotzdem, und zwar über ihre Kunden.

Wer unter NIS2 fällt

Zwei Fragen entscheiden. Erstens: Gehört Ihr Unternehmen zu einer der Einrichtungsarten, die in den Anlagen 1 und 2 des BSIG aufgeführt sind? Anlage 1 umfasst Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser und digitale Infrastruktur. Anlage 2 ergänzt Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel in Großhandel und Industrie sowie Teile des verarbeitenden Gewerbes wie Maschinenbau, Elektrotechnik und Fahrzeugbau. Zweitens: Erreicht es die Schwellenwerte für die Größe?

Gezählt wird nach der Definition der EU für kleine und mittlere Unternehmen. Partner- und verbundene Unternehmen können deshalb mitzählen, es sei denn, das Unternehmen ist mit seiner IT von ihnen unabhängig. Wer zu einer Unternehmensgruppe gehört, sollte also genauer hinsehen.

Eine erste Orientierung gibt die NIS-2-Betroffenheitsprüfung des BSI, ein anonymer Fragebogen entlang des Gesetzes. Das BSI weist selbst darauf hin, dass das Ergebnis rechtlich nicht bindend ist. Die eigene Prüfung ersetzt es nicht.

Was betroffene Unternehmen tun müssen

Das Gesetz nennt drei zentrale Pflichten:

• Registrieren: spätestens drei Monate, nachdem ein Unternehmen erstmals als wichtige oder besonders wichtige Einrichtung gilt, im BSI-Portal. Dafür braucht es zuerst ein Konto bei „Mein Unternehmenskonto“. Das Portal ist seit dem 6. Januar 2026 freigeschaltet. Für Unternehmen, die schon mit Inkrafttreten betroffen waren, ist die Frist laut BSI abgelaufen.
• Melden: erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden als frühe Erstmeldung, innerhalb von 72 Stunden mit einer ersten Bewertung und spätestens einen Monat danach mit einer Abschlussmeldung.
• Risikomanagement: geeignete technische und organisatorische Maßnahmen umsetzen und dokumentieren. Das Gesetz nennt unter anderem Risikoanalyse, den Umgang mit Sicherheitsvorfällen, Datensicherung und Wiederherstellung, die Sicherheit der Lieferkette, Schulungen, Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung.

Die Geschäftsleitung muss diese Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie nach den Regeln des Gesellschaftsrechts.

Warum NIS2 kleine Unternehmen trotzdem erreicht

Das größte Missverständnis, das mir begegnet, ist der Satz „NIS2 betrifft uns als kleines Unternehmen sowieso nicht“. Direkt stimmt das oft. Betroffene Unternehmen müssen aber die Sicherheit ihrer Lieferkette gewährleisten. Das schließt ihre unmittelbaren Lieferanten und Dienstleister ein. Das BSI schreibt ausdrücklich, dass sich das Gesetz über solche Geschäftsbeziehungen mittelbar auch auf nicht betroffene Unternehmen auswirken kann. Als Beispiele nennt die Gesetzesbegründung vertragliche Vereinbarungen zu Risikomanagement, zum Umgang mit Sicherheitsvorfällen und zum Einspielen von Updates.

Für ein kleines Unternehmen heißt das: Wenn ein größerer Kunde unter NIS2 fällt, kann er Anforderungen an IT-Sicherheit, Dokumentation und Risikomanagement in den Vertrag schreiben. Das BSI regt an, dass Zulieferer in dieser Lage ihre eigenen Maßnahmen an den Vorgaben des Gesetzes messen. Manche Unternehmen haben die Grundlagen schon umgesetzt: Multi-Faktor-Authentifizierung, getestete Datensicherung, regelmäßige Updates und eine aktuelle Dokumentation. Sie können solche Anforderungen meist ohne großes Projekt beantworten. Wer Microsoft 365 nutzt, hat einige Werkzeuge dafür womöglich schon im Paket, wie ich im Artikel über ungenutzte Sicherheitsfunktionen in Business Premium beschreibe.

Wie ich dabei unterstütze, und wo nicht

Kunden haben mich auf NIS2 schon angesprochen, und bei einem meiner Kunden ist das Gesetz nach meiner Einschätzung anwendbar. Auch die Lieferkette ist bei meinen Kunden ein Thema. Ich bin kein Jurist. Ob ein Unternehmen betroffen ist und welche Pflichten im Einzelnen gelten, ist eine Rechtsfrage. Die beantworte ich nicht.

In solchen Fällen hole ich NIS2-Spezialisten und Juristen dazu. Mit ihren Vorgaben entsteht ein Konzept, und ich setze die Maßnahmen daraus um, die die IT-Sicherheit betreffen: Zugänge absichern, Datensicherung und Wiederherstellung, Updates, Netzwerk und Dokumentation. So bleibt jeder bei dem, was er kann.

Häufige Fragen

Ab wie vielen Mitarbeitenden gilt NIS2?

In der Regel ab 50 Mitarbeitenden oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Außerdem muss das Unternehmen zu einer der Einrichtungsarten in den Anlagen 1 und 2 des BSIG gehören. Einige Einrichtungsarten, etwa DNS-Diensteanbieter oder Vertrauensdiensteanbieter, sind unabhängig von der Größe erfasst.

Muss ich mich als Zulieferer eines betroffenen Unternehmens beim BSI registrieren?

Nein, die Registrierungspflicht gilt nur für Unternehmen, die selbst als wichtige oder besonders wichtige Einrichtung gelten. Als Zulieferer können Sie aber vertraglich verpflichtet werden, Anforderungen an IT-Sicherheit, Dokumentation und Risikomanagement zu erfüllen.

Wie finde ich heraus, ob mein Unternehmen betroffen ist?

Eine erste Einschätzung gibt die NIS-2-Betroffenheitsprüfung des BSI, ein anonymer Fragebogen. Sie ist nicht rechtlich bindend. In Zweifelsfällen, etwa bei Unternehmensgruppen oder Randbereichen einer Branche, sollten Sie die Frage juristisch klären lassen.

Quellen

• Gesetz: Bundesgesetzblatt 2025 I Nr. 301 – Gesetz zur Umsetzung der NIS-2-Richtlinie, verkündet am 5. Dezember 2025
• Inkrafttreten und Pflichten: BSI – NIS-2-Umsetzungsgesetz ab morgen in Kraft (5. Dezember 2025)
• Schwellenwerte und Einrichtungsarten: § 28 BSIG, Anlage 1 und Anlage 2 BSIG
• Risikomanagement, Meldepflicht, Registrierung, Geschäftsleitung: § 30, § 32, § 33 und § 38 BSIG
• BSI-Portal: BSI – Zweiter Schritt zur NIS-2-Registrierung: BSI-Portal ab sofort freigeschaltet (6. Januar 2026), BSI – NIS-2-regulierte Unternehmen (Hinweis auf die abgelaufene Registrierungsfrist)
• Lieferkette und Unternehmensgruppen: BSI – Allgemeine FAQ zu NIS-2
• Selbsteinschätzung: BSI – NIS-2-Betroffenheitsprüfung
• Stand aller Angaben: 25. September 2026.