NIS2 in Deutschland: Umsetzungsfahrplan für betroffene KMU

Das lernen Sie in diesem Artikel:

• Welche Unternehmen in Deutschland unter die NIS2-Richtlinie fallen – Sektoren, Schwellenwerte und Kategorien
• Wie sich NIS2 von BSI-Grundschutz und KRITIS unterscheidet und ob Sie beides erfüllen müssen
• Welche konkreten Mindestmaßnahmen Sie umsetzen müssen: Risikomanagement, Meldepflichten, Lieferkette
• Warum die Geschäftsführung persönlich haftet und was das rechtlich bedeutet
• Ein pragmatischer 6-Monats-Fahrplan für die technische und organisatorische Umsetzung

Die NIS2-Richtlinie erweitert Cybersicherheitspflichten massiv

Seit Oktober 2024 gilt die NIS2-Richtlinie in Deutschland. Anders als die alte NIS-Richtlinie, die nur KRITIS-Betreiber betraf, weitet NIS2 die Pflichten auf Tausende mittelständische Unternehmen aus. Viele Geschäftsführer merken erst jetzt, dass ihr Unternehmen betroffen ist – oft durch einen Brief der zuständigen Aufsichtsbehörde oder im Zuge einer Branchenprüfung.

Das Problem: Die Anforderungen sind kein reines IT-Thema. NIS2 verlangt dokumentierte Prozesse, Meldeketten, Lieferantenaudits und eine Geschäftsführung, die persönlich für Verstöße haftet. Wer jetzt nicht handelt, riskiert Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, was höher ist.

Ein Beispiel aus der Praxis: Ein mittelständischer Logistikdienstleister aus Baden-Württemberg mit 120 Mitarbeitern fällt unter NIS2, weil er Paketdienste für Einzelhändler erbringt. Die IT-Infrastruktur war bislang pragmatisch gewachsen: Windows Server, ein NAS für Backups, keine strukturierte Patch-Verwaltung. Der Geschäftsführer erfuhr durch einen Branchen-Newsletter von NIS2 und stellte fest, dass sein Unternehmen nicht nur technische Lücken hat, sondern auch keine dokumentierten Incident-Response-Prozesse.

Genau für solche Situationen ist dieser Artikel gedacht. Wir zeigen Ihnen, wer konkret betroffen ist, was rechtlich gefordert wird und wie Sie die Umsetzung strukturiert angehen – ohne dass Sie zum Sicherheits-Spezialisten werden müssen.

Wichtiger Hinweis: Dieser Artikel bietet keine Rechtsberatung. Klären Sie Details zu Ihrer individuellen Betroffenheit und rechtlichen Verpflichtungen mit Ihrer Rechts- oder Steuerberatung.

Wer in Deutschland unter NIS2 fällt: Sektoren und Schwellenwerte

NIS2 unterscheidet zwischen wesentlichen Einrichtungen (essential entities) und wichtigen Einrichtungen (important entities). Die Einstufung hängt von der Branche, der Unternehmensgröße und der Kritikalität ab.

Betroffene Sektoren

Folgende Branchen fallen unter NIS2 in Deutschland:

Wesentliche Einrichtungen:

• Energie (Strom, Gas, Fernwärme, Wasserstoff)
• Verkehr (Luftfahrt, Bahn, Schifffahrt, Straßenverkehr)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheitswesen (Krankenhäuser, Labore, pharmazeutische Hersteller)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS, TLD-Register, Cloud-Anbieter, Rechenzentren)
• IKT-Dienstleistungsmanagement (Managed Service Provider)
• Öffentliche Verwaltung (Bund, Länder, bestimmte Kommunen)
• Raumfahrt

Wichtige Einrichtungen:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemie (Herstellung, Vertrieb)
• Lebensmittelproduktion und -vertrieb (ab bestimmter Größe)
• Verarbeitendes Gewerbe (z. B. Medizinprodukte, Elektronik, Maschinen, Fahrzeuge)
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungseinrichtungen

Schwellenwerte: Ab wann bin ich betroffen?

Als Faustregel gilt:

• Ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz oder 10 Millionen Euro Bilanzsumme – wenn Sie in einem der oben genannten Sektoren tätig sind.
• Unternehmen unter diesen Schwellenwerten können trotzdem betroffen sein, wenn sie von der Behörde als kritisch eingestuft werden (z. B. einziger Anbieter in einer Region).

Praxisszenario: Ein mittelständischer Hersteller von medizinischen Geräten in Bayern mit 65 Mitarbeitern und 12 Millionen Euro Umsatz fällt unter NIS2, weil er im Sektor "Verarbeitendes Gewerbe – Medizinprodukte" tätig ist. Ein reiner Handelsvertrieb mit 40 Mitarbeitern im selben Sektor fällt nicht automatisch darunter, kann aber von der Behörde als wichtige Einrichtung eingestuft werden, wenn er systemrelevant ist.

Wie erfahre ich, ob mein Unternehmen registriert werden muss?

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) und die jeweiligen Landesbehörden führen Register. Sie sind verpflichtet, sich selbst zu melden, wenn Sie unter die Kriterien fallen. Eine Nicht-Meldung kann bereits sanktioniert werden.

Abgrenzung: NIS2, BSI-Grundschutz und KRITIS

Viele Mittelständler fragen sich: "Reicht es, wenn wir schon nach BSI-Grundschutz arbeiten?"

Kurze Antwort: Nein, aber es hilft.

NIS2 vs. BSI-Grundschutz

• BSI-Grundschutz ist ein freiwilliger Standard für Informationssicherheit, der Bausteine und Maßnahmen beschreibt. Eine Zertifizierung ist optional.
• NIS2 ist eine rechtliche Verpflichtung mit Melde- und Nachweispflichten, Sanktionen und Geschäftsführerhaftung.

Wenn Sie bereits nach BSI-Grundschutz arbeiten, haben Sie viele der geforderten Maßnahmen schon umgesetzt – etwa Risikobewertung, Patch-Management, Zugriffskontrollen. Sie müssen aber zusätzlich:

• Meldeprozesse einrichten (Incident-Reporting an die Behörde binnen 24 Stunden)
• Lieferkettensicherheit dokumentieren und prüfen
• Geschäftsführung aktiv einbinden und Verantwortlichkeiten festlegen

NIS2 vs. KRITIS

KRITIS (Kritische Infrastrukturen) war die alte Kategorie, die nur wenige hundert Unternehmen in Deutschland betraf (Energieversorger, große Krankenhäuser, Telekommunikation). NIS2 weitet das auf mehrere Tausend Unternehmen aus.

Wenn Sie bereits KRITIS-Betreiber sind, fallen Sie automatisch unter NIS2 (als wesentliche Einrichtung), müssen aber zusätzliche NIS2-Anforderungen erfüllen – etwa die erweiterten Lieferkettenanforderungen.

Die konkreten Mindestmaßnahmen der NIS2-Richtlinie

NIS2 fordert einen Katalog von zehn Mindestmaßnahmen. Hier die wichtigsten, die technische Umsetzung erfordern:

1. Risikoanalyse und Informationssicherheitskonzept

Sie müssen dokumentieren:

• Welche Geschäftsprozesse sind kritisch?
• Welche IT-Systeme unterstützen diese Prozesse?
• Welche Bedrohungen existieren (Ransomware, DDoS, Insider-Threats)?
• Welche Maßnahmen sind getroffen, um Risiken zu mindern?

Technisch: Das bedeutet Asset-Inventar (Hardware, Software, Cloud-Services), Netzwerk-Segmentierung, dokumentierte Sicherheitsrichtlinien.

2. Incident-Management und Meldepflichten

Bei einem Sicherheitsvorfall müssen Sie:

• Binnen 24 Stunden eine Erstmeldung an das BSI (bzw. die zuständige Landesbehörde) absetzen
• Binnen 72 Stunden eine detaillierte Bewertung liefern
• Binnen einem Monat einen Abschlussbericht vorlegen

Technisch: Sie brauchen ein SIEM (Security Information and Event Management) oder zumindest strukturiertes Logging, Alerting und eine dokumentierte Eskalationskette.

3. Business Continuity und Backup

Sie müssen nachweisen, dass Sie kritische Systeme innerhalb definierter Zeiten wiederherstellen können.

Technisch: Automatisierte, verschlüsselte Backups mit Offline-Kopie (z. B. 3-2-1-Regel), regelmäßige Restore-Tests, dokumentierte Recovery-Prozesse.

4. Lieferkettenmanagement und Sicherheit in der Beschaffung

Sie müssen dokumentieren, welche Dienstleister Zugriff auf Ihre IT haben oder kritische Services liefern (Cloud-Provider, Managed Service Provider, Softwareanbieter) und deren Sicherheitsniveau bewerten.

Technisch: Verträge mit SLAs zu Sicherheit, regelmäßige Audits, Dokumentation der Anbieter.

5. Zugriffsmanagement und Multi-Faktor-Authentifizierung

Privilegierte Zugänge (Admin-Konten, Entwickler, externe Dienstleister) müssen mit MFA abgesichert sein.

Technisch: Einführung von Azure AD / Entra ID, Okta oder vergleichbaren Identity-Systemen, Role-Based Access Control (RBAC).

6. Verschlüsselung

Daten in Übertragung und Speicherung müssen verschlüsselt sein (soweit technisch machbar).

Technisch: TLS für Webservices, verschlüsselte Datenbanken, Festplattenverschlüsselung (BitLocker, LUKS).

Geschäftsführerhaftung: Was bedeutet das konkret?

Ein zentraler Unterschied zu bisherigen IT-Sicherheitspflichten: Die Geschäftsführung haftet persönlich.

Das bedeutet:

• Die Geschäftsführung muss die Umsetzung von NIS2 aktiv überwachen und Ressourcen bereitstellen.
• Bei Verstößen kann die Behörde Zwangsgelder gegen die Geschäftsführung verhängen.
• In schweren Fällen (grobe Fahrlässigkeit, Nicht-Meldung nach bekanntem Vorfall) drohen persönliche Bußgelder und strafrechtliche Konsequenzen.

Was Geschäftsführer jetzt tun sollten:

• Sich persönlich in die Risikoanalyse einbringen
• Budgets für IT-Sicherheit freigeben (Personal, Technologie, externe Berater)
• Quartalsweise Berichte zur IT-Sicherheit verlangen
• Incident-Response-Pläne kennen und freigeben

Praxisszenario: Ein Geschäftsführer eines Logistikunternehmens hat eine NIS2-Anfrage der Behörde erhalten, delegiert die Bearbeitung aber ausschließlich an den IT-Leiter – ohne Budget, ohne Follow-up. Sechs Monate später gibt es einen Ransomware-Angriff, die Meldung erfolgt verspätet. Die Behörde prüft die Unterlagen und stellt fest: keine dokumentierte Risikoanalyse, keine Backup-Tests, keine Geschäftsführungsfreigabe. Folge: Bußgeld gegen das Unternehmen und persönliche Sanktion gegen den Geschäftsführer wegen Verletzung der Aufsichtspflicht.

Pragmatischer 6-Monats-Fahrplan für die NIS2-Umsetzung

Die gute Nachricht: Sie müssen nicht alles auf einmal perfekt machen. Hier ein realistischer Umsetzungsplan für ein KMU mit 50–150 Mitarbeitern:

Monat 1–2: Bestandsaufnahme und Gap-Analyse

Ziel: Verstehen, wo Sie stehen.

• Woche 1–2: Klären, ob Ihr Unternehmen unter NIS2 fällt. Checkliste der Sektoren und Schwellenwerte durchgehen. Falls unklar: Rechtsberatung hinzuziehen.
• Woche 3–4: Asset-Inventar erstellen: Welche Server, welche Cloud-Services, welche Applikationen sind kritisch?
• Woche 5–6: Bestehende Sicherheitsmaßnahmen dokumentieren (Firewalls, Backups, Zugriffsrechte, Patch-Management).
• Woche 7–8: Gap-Analyse: Was fehlt laut NIS2-Katalog? Priorisieren nach Risiko.

Ergebnis: Ein Dokument mit Status quo, Lücken und Priorisierung.

Monat 3–4: Quick Wins und Incident-Response

Ziel: Die dringendsten Lücken schließen.

• MFA einführen für alle Admin-Zugänge und E-Mail-Konten (Azure AD, Google Workspace, Duo)
• Backup-Strategie überprüfen: Sind Backups verschlüsselt? Gibt es eine Offline-Kopie? Wann war der letzte Restore-Test?
• Incident-Response-Plan dokumentieren: Wer wird informiert? Wer meldet an die Behörde? Welche internen und externen Kontakte?
• Logging zentralisieren: Windows Event Log, Firewall-Logs, Linux-Syslog in ein zentrales System (z. B. Graylog, Splunk, ELK-Stack)

Ergebnis: Basis-Sicherheitsniveau und dokumentierter Meldeprozess.

Monat 5: Lieferkette und Verträge

Ziel: Dokumentieren, wer Zugriff hat.

• Liste aller IT-Dienstleister (Cloud-Provider, Managed Service, Softwareanbieter)
• Verträge prüfen: Gibt es Security-SLAs? Gibt es Zertifikate (ISO 27001, SOC 2)?
• Fehlende Vereinbarungen nachverhandeln
• Dokumentation der Lieferkette anlegen

Ergebnis: Transparenz über externe Risiken.

Monat 6: Dokumentation, Schulung, interne Freigabe

Ziel: Alles in ein nachweisfähiges Format bringen.

• Informationssicherheitskonzept schreiben (kann schlank sein: Risikoanalyse, Maßnahmen, Verantwortlichkeiten, Notfallplan)
• Geschäftsführung einbinden: Präsentation des Status, Freigabe der Maßnahmen, Budget für laufende Betreuung klären
• Mitarbeiter schulen: Phishing-Awareness, Umgang mit Sicherheitsvorfällen
• Erste interne Übung: Simulation eines Ransomware-Angriffs, Durchspielen der Meldekette

Ergebnis: Dokumentation liegt vor, Geschäftsführung hat unterschrieben, Team ist sensibilisiert.

Laufender Betrieb ab Monat 7

• Quartalsweise Reviews der Risikoanalyse
• Jährliche Penetrationstests oder externe Audits
• Regelmäßige Backup-Tests
• Patch-Management automatisieren (WSUS, Ansible, etc.)

Warum externe Unterstützung bei der Umsetzung sinnvoll ist

Viele KMU haben keine dedizierte IT-Sicherheitsabteilung. Der IT-Leiter oder ein externer IT-Dienstleister kümmert sich um den laufenden Betrieb, hat aber wenig Erfahrung mit Compliance-Anforderungen wie NIS2.

Hier kann ein Entwicklungspartner mit Compliance-Verständnis helfen:

• Technische Umsetzung: SIEM-Integration, MFA-Rollout, automatisiertes Logging, API-gestützte Lieferantenüberwachung
• Dokumentation: Strukturierte Vorlagen für Risikobewertung, Incident-Response, Geschäftsführungsberichte
• Nearshore-Vorteil: Deutschsprachige Projektführung, EU-Datenschutz-Verständnis, keine Zeitverschiebung – wichtig für vertrauliche Compliance-Projekte

D'Cloud Software hat mehrere mittelständische Unternehmen bei der technischen Umsetzung von Compliance-Anforderungen begleitet – von DSGVO-konformen Logging-Systemen bis zu Incident-Management-Plattformen. Unsere Entwickler verstehen sowohl die technischen als auch die rechtlichen Anforderungen und liefern Festpreis-Projekte mit 15 Tagen kostenloser Fehlerbehebung nach Übergabe.

Häufig gestellte Fragen zu NIS2 in Deutschland

Muss ich mich selbst melden, oder werde ich von der Behörde kontaktiert?

Sie müssen sich selbst melden, wenn Sie unter die Kriterien fallen. Die zuständige Behörde (BSI für wesentliche Einrichtungen, Landesbehörden für wichtige Einrichtungen) führt ein Register, aber die Meldepflicht liegt bei Ihnen. Eine Nicht-Meldung trotz Betroffenheit kann bereits sanktioniert werden. Im Zweifel: Rechtsberatung hinzuziehen und proaktiv klären.

Was kostet die Umsetzung von NIS2 für ein KMU?

Das hängt stark vom Status quo ab. Ein Unternehmen mit strukturierter IT und existierendem Backup kann mit 20.000–50.000 Euro für Gap-Analyse, technische Umsetzung (MFA, Logging, Dokumentation) und externe Beratung rechnen. Ein Unternehmen mit gewachsener, unstrukturierter IT kann 80.000–150.000 Euro investieren müssen (inkl. Netzwerk-Segmentierung, SIEM, Penetrationstests, externe Unterstützung). Konkrete Kosten klären Sie am besten in einem kostenlosen Erstgespräch mit einem Umsetzungspartner, der Ihre Infrastruktur kennenlernt.

Reicht eine ISO 27001-Zertifizierung, um NIS2 zu erfüllen?

Eine ISO 27001-Zertifizierung deckt viele der geforderten Maßnahmen ab (Risikomanagement, Zugriffskontrollen, Business Continuity). Aber: NIS2 fordert zusätzlich konkrete Meldeprozesse innerhalb fester Fristen, Lieferkettenmanagement mit Nachweispflichten und Geschäftsführerhaftung. Eine Zertifizierung allein reicht also nicht, hilft aber enorm bei der Umsetzung.

Was passiert, wenn ich NIS2 ignoriere?

Bei Verstößen drohen:

• Wesentliche Einrichtungen: Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist)
• Wichtige Einrichtungen: Bußgelder bis 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes
• Geschäftsführerhaftung: Persönliche Sanktionen bei Verletzung der Aufsichtspflicht
• Reputationsschaden: Veröffentlichung von Verstößen durch die Behörde

Ignorieren ist also keine Option.

Gilt NIS2 auch für meine Tochtergesellschaften im EU-Ausland?

Ja, wenn die Tochtergesellschaften in den betroffenen Sektoren tätig sind und die Schwellenwerte überschreiten, gelten die jeweiligen nationalen Umsetzungen von NIS2 in den anderen EU-Ländern. Sie müssen in jedem Land prüfen, ob eine Registrierungspflicht besteht. Für grenzüberschreitende Konzerne empfiehlt sich eine zentrale Compliance-Steuerung.

Wie oft muss ich die Risikoanalyse aktualisieren?

NIS2 schreibt keine feste Frequenz vor, aber Best Practice ist:

• Quartalsweise Review der kritischen Assets und Bedrohungslage
• Jährlich vollständige Aktualisierung der Risikoanalyse
• Ad hoc bei wesentlichen Änderungen (neue Systeme, neue Geschäftsprozesse, bekannt gewordene Sicherheitslücken, nach Incidents)

Dokumentieren Sie alle Reviews – die Behörde kann diese im Rahmen von Audits anfordern.

Fazit: NIS2 ist Pflicht – aber mit Struktur machbar

Die NIS2-Richtlinie ist kein IT-Projekt, sondern eine rechtliche Verpflichtung mit weitreichenden Konsequenzen. Tausende deutsche KMU fallen erstmals unter Cybersicherheitspflichten, die bislang nur für KRITIS-Betreiber galten. Die Geschäftsführung haftet persönlich, Verstöße werden mit empfindlichen Bußgeldern geahndet.

Die gute Nachricht: Mit einem strukturierten Fahrplan über sechs Monate können Sie die wesentlichen Anforderungen erfüllen – von der Gap-Analyse über Quick Wins (MFA, Backup-Tests, Incident-Response) bis zur Dokumentation und Geschäftsführungsfreigabe.

Wichtig ist, jetzt zu handeln. Je länger Sie warten, desto höher das Risiko – sowohl rechtlich als auch operativ. Ein Ransomware-Angriff ohne funktionierenden Backup- und Meldeplan kann Ihr Unternehmen wochenlang lahmlegen.

Wenn Sie unsicher sind, wie Sie die technische Umsetzung angehen sollen – von zentralisiertem Logging über MFA-Rollout bis zur Dokumentation –, lohnt sich ein Gespräch mit einem erfahrenen Umsetzungspartner. D'Cloud Software unterstützt mittelständische Unternehmen in Deutschland bei Compliance-Projekten mit Festpreis, deutschsprachiger Projektführung und 15 Tagen kostenloser Fehlerbehebung nach Übergabe.

Buchen Sie jetzt ein kostenloses Online-Erstgespräch mit D'Cloud Software, um Ihre individuelle Situation zu besprechen und ein konkretes Umsetzungsangebot zu erhalten. Wir helfen Ihnen, NIS2-Anforderungen technisch sauber und wirtschaftlich sinnvoll umzusetzen – damit Sie sich auf Ihr Kerngeschäft konzentrieren können.

---

Autor: Doğuhan Bulut, D'Cloud Software