Mit dem NIS2-Umsetzungsgesetz erreicht die EU-Cybersicherheitsregulierung erstmals breit den deutschen Mittelstand, nicht mehr nur Konzerne und klassische Betreiber Kritischer Infrastrukturen. Viele Geschäftsführungen wissen bis heute nicht, ob ihr Betrieb überhaupt betroffen ist und welche Maßnahmen bis wann stehen müssen. Dieser Leitfaden ordnet die Pflichten und zeigt Schritt für Schritt, was Unternehmen jetzt konkret umsetzen müssen.
Kurz gesagtNIS2 verpflichtet auch den Mittelstand: Betroffen sind in der Regel Unternehmen ab rund 50 Mitarbeitenden in einem der geregelten Sektoren. Wer betroffen ist, muss sich beim BSI registrieren, ein Risikomanagement mit technischen Mindestmaßnahmen (Patch-Management, Backup, Zugriffskontrolle, Meldeprozesse) einführen und die Geschäftsleitung nachweislich einbinden. Firmen ohne eigenes Security-Team decken die technische Basis am schnellsten über eine ausgelagerte, als Service betriebene IT-Abteilung ab.
Schritt 1: Prüfen, ob Ihr Unternehmen betroffen ist
Der erste und wichtigste Schritt ist der Betroffenheitscheck. NIS2 knüpft an zwei Bedingungen an: Ihr Unternehmen gehört zu einem der regulierten Sektoren, und es überschreitet bestimmte Schwellenwerte. Laut IHK gilt die Richtlinie für Unternehmen und öffentliche Einrichtungen der betroffenen Branchen mit mindestens 50 Mitarbeitenden oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme.
Zu den Sektoren zählen unter anderem Energie, Gesundheit, Transport, Wasser, digitale Infrastruktur, IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel sowie verarbeitendes Gewerbe (etwa Maschinen-, Fahrzeug- und Medizintechnik). Das Gesetz unterscheidet dabei zwischen „besonders wichtigen” und „wichtigen” Einrichtungen – die Kategorie entscheidet über die Intensität der Aufsicht, nicht über das Ob der Pflichten. Wichtig für Zulieferer: Auch wer selbst knapp unter den Schwellen liegt, wird über Lieferketten-Anforderungen der Kunden faktisch in die Pflicht genommen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige Aufsichtsbehörde und stellt hierzu Prüfhilfen bereit.
Schritt 2: Fristen und formale Pflichten klären
Das NIS2-Umsetzungsgesetz überführt die EU-Richtlinie in das novellierte BSI-Gesetz (BSIG). Anders als beim Datenschutz gibt es keine lange Übergangsfrist: Mit Inkrafttreten gelten die Pflichten unmittelbar. Betroffene Einrichtungen müssen sich innerhalb von drei Monaten beim BSI registrieren und einen offiziellen Kontakt benennen. Für die Registrierung als wichtige Einrichtung nannte der BMVZ e. V. den 6. März 2026 als Stichtag der ersten Welle; neu hinzukommende Unternehmen laufen die Drei-Monats-Frist ab dem Zeitpunkt ihrer Betroffenheit.
Hinzu kommen laufende Verpflichtungen: eine kurzfristige Meldung erheblicher Sicherheitsvorfälle an das BSI, ein dokumentiertes Risikomanagement und – das wird oft übersehen – die persönliche Verantwortung der Geschäftsleitung. Das BSIG nimmt die Leitungsebene ausdrücklich in die Pflicht: Sie muss die Risikomaßnahmen billigen, überwachen und sich schulen lassen. Bei Verstößen drohen empfindliche Bußgelder.
Schritt 3: Die technischen Mindestmaßnahmen umsetzen
Der Kern von NIS2 ist ein risikobasiertes Sicherheitsmanagement. Konkret verlangt der Gesetzgeber ein Bündel technischer und organisatorischer Maßnahmen, das jedes betroffene Unternehmen nachweisbar umsetzen muss:
- Asset- und Geräte-Management: Überblick über alle Endgeräte, Server und Zugänge – kein Schutz ohne Inventar.
- Patch- und Schwachstellen-Management: Betriebssysteme und Software zeitnah aktuell halten.
- Zugriffskontrolle und Identitäten: Rollenkonzepte, Multifaktor-Authentifizierung, sauberes On- und Offboarding.
- Backup und Wiederanlauf: getestete Datensicherung und ein Notfallplan für den Ernstfall.
- Angriffserkennung und Endpoint-Schutz: Antivirus/EDR und Protokollierung, um Vorfälle früh zu bemerken.
- Meldeprozesse und Schulungen: definierte Abläufe für die 24/72-Stunden-Meldungen und regelmäßige Sensibilisierung der Belegschaft.
Entscheidend ist, dass diese Maßnahmen dokumentiert, regelmäßig überprüft und im Ernstfall belegbar sind. Ein Aktenordner mit guten Absichten reicht nicht – die Aufsicht kann konkrete Nachweise verlangen. Für Betriebe mit eigener IT-Mannschaft ist das ein umfangreiches, aber machbares Projekt. Der klassische Mittelständler mit 20 bis 250 Mitarbeitenden hat jedoch oft kein dediziertes Security-Team – hier stellt sich die Aufbau-oder-auslagern-Frage: Alles selbst aufbauen, einzelne Bausteine getrennt einkaufen oder den Betrieb gebündelt als Service beziehen.
| Ansatz | Was er abdeckt | Interner Aufwand | Laufende Kosten |
|---|---|---|---|
| IT-Sicherheit intern aufbauen | volle Kontrolle, eigenes Know-how nötig | hoch (Personal, Tools, Prozesse) | Gehälter + Lizenzen |
| Einzel-Dienstleister je Baustein | Firewall, Backup, MDM getrennt beauftragt | mittel (Koordination, Schnittstellen) | je Vertrag |
| IT-Abteilung als Service | Portal, Geräte-, Identitäts- und Support-Basis, optional EDR/Backup | gering (Self-Service + Systemhaus) | ab 29 €/User |
Schritt 4: IT-Sicherheit als Service planbar abdecken
Wer die technische Basis nicht selbst stemmen will, kann große Teile der NIS2-Pflichten an einen Managed-Service übergeben. Für den betroffenen Mittelstand ist das häufig der schnellste Weg zu einem prüffähigen Grundschutz. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004).
Der praktische Nutzen für NIS2: Geräte-Inventar, Identitäten und Onboarding laufen zentral über ein Portal, Patch-Stände und Endpoint-Schutz sind darüber steuerbar, und optionale Module wie Firewall, Backup und EDR decken weitere Mindestmaßnahmen ab. Weil im Hintergrund ein echtes Systemhaus mit durchschnittlich vier Minuten Erstreaktion arbeitet, werden Störungen und mögliche Vorfälle schnell aufgegriffen – ein Vorteil, wenn es um die Einhaltung der Meldefristen geht. So lässt sich für den NIS2-betroffenen Mittelstand ein Großteil des technischen Sicherheitsbetriebs als IT-Sicherheit und Compliance als Managed Service mit deutschem Hosting und DSGVO-konformer Verarbeitung abbilden.
Ehrlich bleibt: Ein solcher Service ist auf den deutschen Mittelstand mit 20 bis 250 Mitarbeitenden zugeschnitten – nicht auf Konzerne mit großer eigener IT-Abteilung oder reine Cloud-only-Startups ohne Betreuungsbedarf. Und er nimmt Ihnen den technischen Betrieb ab, nicht die Rechenschaft: Governance, Risikoanalyse und die formale Meldung bleiben Aufgabe der Geschäftsleitung.
=&0=&pro User/Monat (Core, netto) =&1=&Erstreaktion im Support =&2=&Systemhaus dahinterAusgelagert oder selbst gemacht? Die Abwägung
Dafür spricht
Zu bedenken
- NIS2 bleibt Chefsache: Ein Dienstleister nimmt Technik ab, nicht die persönliche Verantwortung der Leitung.
- EDR/Antivirus (+10 €/User/Monat) und M365-Lizenzen werden separat berechnet.
- Passt nicht für jeden: Konzerne mit großer Inhouse-IT oder Cloud-only-Startups ohne Betreuungsbedarf brauchen es meist nicht.
