NIS2 Umsetzung KMU: Was Du 2026 wirklich wissen musst

Vielleicht hast Du bisher gedacht, NIS2 betrifft nur Energiekonzerne und Krankenhäuser. Diese Annahme kann teuer werden. Seit Dezember 2025 ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in Deutschland geltendes Recht, und es trifft deutlich mehr mittelständische Unternehmen, als viele Geschäftsführer erwartet haben.

Rund 29.500 Unternehmen in Deutschland sind direkt betroffen. Ein großer Teil davon sind klassische KMU, die die Schwellenwerte nur knapp überschreiten. Wenn Du einen Betrieb mit 50 oder mehr Mitarbeitenden oder 10 Millionen Euro Jahresumsatz führst und in einem der 18 regulierten Sektoren tätig bist, betrifft Dich die NIS2 Umsetzung KMU vermutlich schon jetzt.

In diesem Leitfaden erfährst Du, wer betroffen ist, welche Fristen bereits gelaufen sind, welche Pflichten auf Dich zukommen und wie Du die Umsetzung in Deinem Betrieb praktisch angehst.

Was ist NIS2 und warum betrifft sie auch Dich?

NIS2 steht für die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie soll ein einheitlich hohes Cybersicherheitsniveau in der gesamten EU schaffen. Die Richtlinie ist seit 2023 in Kraft, Deutschland hat sie mit Verzögerung erst Ende 2025 in nationales Recht überführt.

Das NIS2-Umsetzungsgesetz reformiert das BSI-Gesetz grundlegend. Wichtige Paragraphen sind § 28 zur Betroffenheit, § 30 zum Risikomanagement, § 32 zu den Meldepflichten, § 38 zu den Pflichten der Geschäftsleitung und § 65 zu den Bußgeldern.

Anders als bei der Vorgängerrichtlinie NIS1 sind jetzt nicht mehr nur Betreiber kritischer Infrastrukturen gemeint. Auch IT-Dienstleister, produzierende Unternehmen, Logistikbetriebe, Energie-Zulieferer und Gesundheitsdienstleister fallen darunter. Selbst wenn Dein Betrieb nicht direkt reguliert ist, kannst Du über die Lieferkette Deiner Kunden betroffen sein.

Wer zählt zu den betroffenen Unternehmen?

Die Betroffenheit hängt von zwei Faktoren ab: dem Sektor und der Unternehmensgröße. Die grundsätzliche Schwelle liegt bei 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz. Mikro- und Kleinunternehmen unterhalb dieser Grenze sind grundsätzlich befreit, auch wenn sie in einem regulierten Sektor arbeiten.

Zu den 18 Sektoren gehören unter anderem digitale Infrastruktur, Gesundheitswesen, Energie, Verkehr, Wasserversorgung, Abfallwirtschaft und bestimmte Zulieferbereiche der Industrie. Ein Maschinenbauer mit 80 Mitarbeitenden und 15 Millionen Euro Umsatz gilt beispielsweise als wichtige Einrichtung. Ein Cloud-Anbieter ab 50 Mitarbeitenden zählt sogar zu den besonders wichtigen Einrichtungen mit strengeren Auflagen.

Das Gesetz unterscheidet zwischen "wichtigen" und "besonders wichtigen" Einrichtungen. Die Einstufung beeinflusst sowohl den Umfang der Pflichten als auch die Höhe möglicher Bußgelder.

Auch wenn Du selbst nicht in die Kategorien fällst, solltest Du prüfen, ob Deine Kunden Dich als Zulieferer künftig zu NIS2-konformen Standards verpflichten. Diese vertragliche Lieferkettensicherheit betrifft zunehmend auch kleinere Betriebe.

NIS2 umsetzen

IT-Berater anfragen →

✓ Kostenlos ✓ Unverbindlich ✓ In 2 Minuten

Welche Fristen hast Du schon verpasst und welche stehen noch an?

Das Gesetz trat am 6. Dezember 2025 in Kraft, eine Übergangsfrist gibt es nicht. Betroffene Unternehmen mussten sich innerhalb von drei Monaten beim BSI registrieren. Diese Registrierungsfrist lief am 6. März 2026 ab.

Falls Du diesen Termin verpasst hast, ist das kein Grund für Panik, aber ein Grund zum schnellen Handeln. Das BSI hat eine Nachfrist bis zum 31. Juli 2026 gesetzt. Eine verspätete Registrierung ist weiterhin möglich und wird positiv bewertet, weil sie zeigt, dass Dein Unternehmen aktiv reagiert. Nicht registriert zu sein, ist dagegen ein eigenständiger Bußgeldtatbestand.

Die Registrierung erfolgt über das Melde- und Unterrichtungskanal-Portal des BSI, kurz MUK. Für den Zugang brauchst Du ein ELSTER-Organisationszertifikat. Falls Dein Unternehmen das noch nicht hat, solltest Du es umgehend bei der Finanzverwaltung beantragen, denn die Ausstellung dauert einige Werktage.

Die zehn Mindestmaßnahmen nach § 30 BSIG

Das Herzstück der praktischen Umsetzung ist das Risikomanagement nach § 30 BSIG. Das Gesetz schreibt zehn konkrete Mindestmaßnahmen vor, die Du dokumentiert nachweisen musst. Dazu gehören unter anderem Konzepte zur Risikoanalyse, Vorfallbewältigung, Backup-Management, Lieferkettensicherheit, Zugriffskontrolle und Verschlüsselung.

Ohne eine vollständige Übersicht über Deine IT-Systeme ist kein wirksames Risikomanagement möglich. Der erste Schritt ist daher immer eine strukturierte Identifikation aller relevanten Assets: Server, Clients, Netzwerkkomponenten, Cloud-Dienste, SaaS-Anwendungen, Identitäten, APIs und externe Dienstleister.

Grundlegende technische Bausteine wie eine saubere Netzwerksicherheit und eine konsequente Passwortverwaltung bilden dabei das Fundament. Viele KMU haben diese Basis bereits, ohne es zu wissen. Die Aufgabe besteht dann vor allem darin, das Vorhandene zu dokumentieren und lückenhafte Bereiche gezielt zu schließen.

So gehst Du die Umsetzung strukturiert an

NIS2 ist kein einmaliges Projekt, sondern ein dauerhafter Governance-Prozess. Statt Dich von der Komplexität überwältigen zu lassen, hilft ein schrittweises Vorgehen.

Beginne mit der Registrierung beim BSI, falls noch nicht geschehen. Verschaffe Dir anschließend Transparenz über Deine IT-Landschaft. Bewerte die Risiken systematisch und leite daraus konkrete Schutzmaßnahmen ab. Dokumentiere jeden Schritt revisionssicher, denn im Ernstfall zählt vor allem, was Du nachweisen kannst.

Ein Informationssicherheits-Managementsystem nach ISO 27001 oder dem einfacheren VdS 10000 vereinfacht die Umsetzung erheblich. Solche Systeme geben Dir eine bewährte Struktur an die Hand, statt dass Du alles von Grund auf neu entwickelst.

Wichtig ist auch die enge Verzahnung mit dem allgemeinen Datenschutz im Unternehmen. Viele technische und organisatorische Maßnahmen, die Du bereits für die DSGVO umgesetzt hast, lassen sich für NIS2 weiterverwenden. Ähnliches gilt für Datenschutz im Homeoffice, falls Deine Mitarbeitenden teilweise remote arbeiten.

Was passiert bei einem Sicherheitsvorfall?

Eine der praxisrelevantesten Neuerungen ist die 24-Stunden-Meldepflicht. Erkennst Du einen erheblichen Sicherheitsvorfall, musst Du diesen innerhalb von 24 Stunden dem BSI melden. Innerhalb von 72 Stunden folgt eine detailliertere Einschätzung, nach einem Monat ein Abschlussbericht.

Diese kurzen Fristen setzen voraus, dass Du intern klare Zuständigkeiten definiert hast. Wer erkennt einen Vorfall zuerst? Wer entscheidet, ob er meldepflichtig ist? Wer übernimmt die Kommunikation mit dem BSI? Ohne einen vorbereiteten Incident-Response-Plan wird die Frist schnell zum Stressfaktor.

Warum haftet die Geschäftsleitung persönlich?

NIS2 macht Geschäftsführer und Vorstände nach § 38 BSIG persönlich verantwortlich für die Umsetzung der Cybersicherheitsmaßnahmen. Das bedeutet konkret: Bei groben Verstößen haftest Du mit Deinem Privatvermögen. Zusätzlich besteht die Pflicht, mindestens alle drei Jahre an Cybersicherheitsschulungen teilzunehmen.

Die Delegation an die IT-Abteilung entbindet Dich nicht von dieser Verantwortung. Du musst zwar nicht selbst jede Firewall konfigurieren, aber Du musst nachweisen können, dass Du die Umsetzung überwacht und ausreichend priorisiert hast. Diese persönliche Haftung ist einer der Hauptgründe, warum sich viele Führungskräfte jetzt intensiver mit dem Thema beschäftigen als noch vor zwei Jahren.

Wie wirkt sich NIS2 in der Praxis auf Deinen Betrieb aus?

Viele Fragen zur NIS2 Umsetzung KMU lassen sich am besten anhand konkreter Alltagssituationen beantworten.

Ich habe mich noch nicht beim BSI registriert. Was jetzt? Registriere Dich so schnell wie möglich über das MUK-Portal. Die Nachfrist läuft bis Ende Juli 2026. Eine verspätete, aber aktiv nachgeholte Registrierung wird von den Behörden deutlich milder bewertet als anhaltende Untätigkeit.

Wie finde ich heraus, ob mein Unternehmen wirklich unter NIS2 fällt? Prüfe zunächst, ob Du die Schwellenwerte von 50 Mitarbeitenden oder 10 Millionen Euro Umsatz erreichst. Prüfe anschließend, ob Dein Sektor zu den 18 regulierten Bereichen zählt. Bei Unsicherheit hilft eine kurze rechtliche oder IT-sicherheitstechnische Einschätzung.

Was passiert, wenn ich als kleiner Zulieferer nicht direkt betroffen bin? Auch wenn Du unterhalb der Schwellenwerte liegst, verlangen viele größere Kunden inzwischen vertraglich Nachweise über Deine IT-Sicherheit. Es lohnt sich, präventiv grundlegende Schutzmaßnahmen umzusetzen, bevor ein Kunde danach fragt.

Wie lange dauert eine vollständige Umsetzung? Ein erstes Assessment lässt sich oft innerhalb weniger Wochen durchführen. Bis zur vollständigen Compliance mit dokumentiertem Risikomanagement vergehen in der Regel drei bis sechs Monate, abhängig von der Ausgangssituation Deines Unternehmens.

Häufig gestellte Fragen zur NIS2 Umsetzung

Muss ich als Handwerksbetrieb NIS2 umsetzen? Nur, wenn Du die Schwellenwerte erreichst und in einem der 18 Sektoren tätig bist. Die meisten klassischen Handwerksbetriebe fallen nicht direkt darunter, können aber über Kundenbeziehungen indirekt betroffen sein.

Was kostet die NIS2-Umsetzung für ein mittelständisches Unternehmen? Die Kosten hängen stark von der Ausgangslage ab. Ein erstes Assessment liegt oft im niedrigen vierstelligen Bereich, während die vollständige Compliance-Betreuung je nach Umfang deutlich höher ausfallen kann.

Was passiert, wenn ich die Vorschriften ignoriere? Neben Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes drohen auch persönliche Haftungsrisiken für die Geschäftsleitung sowie ein Vertrauensverlust bei Kunden und Geschäftspartnern.

Reicht eine bestehende DSGVO-Compliance für NIS2 aus? Nein, aber sie ist eine gute Grundlage. NIS2 verlangt zusätzlich spezifische Maßnahmen wie ein dokumentiertes Risikomanagement, Meldeprozesse und Lieferkettensicherheit, die über den reinen Datenschutz hinausgehen.

Brauche ich zwingend eine externe Beratung? Nicht immer, aber bei komplexeren IT-Landschaften oder fehlenden internen Kapazitäten beschleunigt externe Unterstützung die Umsetzung erheblich und reduziert das Risiko von Lücken in der Dokumentation.

Deinen Betrieb sicher und NIS2-konform aufstellen

Die NIS2 Umsetzung KMU wirkt auf den ersten Blick komplex, lässt sich aber mit einem strukturierten Vorgehen gut bewältigen. Der wichtigste Schritt ist, jetzt zu beginnen, statt auf den nächsten Prüfungsbescheid zu warten. Nutze die Nachfrist für die Registrierung, verschaffe Dir Transparenz über Deine Systeme und dokumentiere Deine Maßnahmen von Anfang an sauber.

Mit anyhelpnow findest Du erfahrene Computer & Technik Experten, die Dich bei der technischen Umsetzung Deiner IT-Sicherheitsmaßnahmen unterstützen, von der Firewall-Konfiguration bis zur sicheren Backup-Strategie. Für die organisatorische Seite der Umsetzung, etwa bei der Betriebsprüfung oder beim Aufbau Deiner Dokumentation, helfen Dir Fachleute aus dem Bereich Beratung weiter. Wenn Du zusätzlich Deine gesamte digitale Aufstellung modernisieren möchtest, lohnt sich ein Blick auf die Digitalisierung im Handwerk, da viele Digitalisierungsschritte gleichzeitig Deine NIS2-Compliance verbessern.

Je früher Du startest, desto entspannter läuft die Umsetzung. NIS2 ist kein Sprint, sondern ein dauerhafter Prozess, der Deinen Betrieb langfristig widerstandsfähiger gegen digitale Bedrohungen macht.