IT-SICHERHEIT & COMPLIANCE
NIS2 für KMU: betroffen oder nicht?
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Direkt betroffen sind vor allem Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Umsatz in einem von 18 Sektoren, rund 30.000 in Deutschland. Viele kleinere Betriebe fallen nicht direkt darunter, geraten aber über die Lieferkette unter Druck, weil größere Kunden Sicherheitsnachweise verlangen. Wir helfen einzuschätzen, ob Sie betroffen sind, und setzen die nötigen Maßnahmen um.
DIE AUSGANGSLAGE
Warum NIS2 auch kleine Unternehmen betrifft
Aus der Richtlinie wurde ein Gesetz
Seit Dezember 2025 ist NIS2 in Deutschland geltendes Recht. Cybersicherheit ist damit für viele Unternehmen erstmals Pflicht und Chefsache, nicht mehr Kür.
Die Lieferkette zieht Sie mit hinein
Auch wer nicht direkt betroffen ist, bekommt Fragebögen und Sicherheitsanforderungen von größeren Kunden, die NIS2 erfüllen müssen und ihre Dienstleister absichern.
Die Geschäftsleitung haftet
NIS2 nimmt ausdrücklich die Leitungsebene in die Pflicht. Wer Maßnahmen versäumt, trägt persönliche Verantwortung, das lässt sich nicht vollständig delegieren.
LEISTUNGSUMFANG
Womit wir bei NIS2 unterstützen
Betroffenheit einschätzen
Wir prüfen mit Ihnen Größe, Sektor und Lieferkette und ordnen ein, ob und wie NIS2 Sie betrifft.
Schutzmaßnahmen umsetzen
Zugriffskontrolle, MFA, Endpoint-Schutz und sichere Konfiguration, technisch sauber umgesetzt und betreut.
Backup & Wiederanlauf
Geprüfte Datensicherung und ein Plan, wie der Betrieb nach einem Vorfall schnell wieder läuft.
Erkennung & Reaktion
Monitoring und ein geregelter Ablauf für den Ernstfall, damit Vorfälle früh auffallen und gemeldet werden können.
Awareness
Sensibilisierung der Mitarbeitenden, weil der Mensch bei Sicherheitsvorfällen der häufigste Faktor ist.
Nachweise & Doku
Verständliche Dokumentation der Maßnahmen, die Sie gegenüber Kunden und Behörden vorzeigen können.
UNSER ANSATZ
Erst Klarheit, dann Umsetzung
Der erste Schritt ist die Betroffenheit: Fallen Sie über Größe und Sektor direkt unter NIS2, oder betrifft es Sie indirekt über Ihre Kunden? Beides hat Folgen, aber unterschiedliche. Wir ordnen Ihre Situation sachlich ein. Die rechtlich verbindliche Bewertung im Grenzfall klären Sie mit Ihrem Anwalt, die technische und organisatorische Grundlage dafür liefern wir.
Steht die Einschätzung, geht es an die Maßnahmen: NIS2 verlangt ein angemessenes Risikomanagement, darunter Zugriffskontrolle und Mehr-Faktor-Anmeldung, Backup und Wiederanlauf, Erkennung und Reaktion auf Vorfälle, Mitarbeitersensibilisierung und ein geregeltes Meldewesen. Vieles davon ist solide IT-Sicherheit, die wir ohnehin umsetzen, jetzt mit klarer Struktur und Nachweis.
Betroffenheits-Einschätzung: direkt oder über die Lieferkette
Technische Maßnahmen nach Stand der Technik (MFA, Backup, EDR, Monitoring)
Nachweise und Dokumentation für Kunden und Behörden
Rechtliche Einzelfragen mit Ihrem Anwalt, die Technik von uns
GUT ZU WISSEN
NIS2 kompakt: betroffen, Pflichten, Fristen.
Wer direkt betroffen ist
NIS2 unterscheidet 'wichtige' und 'besonders wichtige' Einrichtungen. Wichtig: ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Umsatz in einem von 18 Sektoren, etwa Energie, Gesundheit, Transport, Lebensmittel oder digitale Dienste. Besonders wichtig: ab 250 Mitarbeitenden oder über 50 Millionen Euro Umsatz. In Deutschland gelten dadurch rund 30.000 Unternehmen als direkt betroffen (Schätzung des BSI). Die Schwellenwerte selbst ergeben sich aus dem NIS2-Umsetzungsgesetz.
Warum auch Kleine handeln sollten
Betroffene Unternehmen sind verpflichtet, ihre Lieferkette abzusichern. Sie geben Anforderungen an Dienstleister weiter, oft per Fragebogen oder Vertragsklausel. Wer hier vorbereitet ist, bleibt lieferfähig, statt im Vergabeprozess auszufallen.
Was jetzt zu tun ist
Registrierungs- und Meldepflichten beim BSI laufen bereits, eine Übergangsfrist für die Sicherheitsmaßnahmen gibt es nicht. Sinnvoll ist, zuerst die Betroffenheit zu klären, dann die wichtigsten Maßnahmen umzusetzen, also Zugänge absichern, Backup und Erkennung, und alles nachvollziehbar zu dokumentieren.
FAQ
Häufige Fragen zu NIS2 für KMU.
Seit wann gilt NIS2 in Deutschland?+
Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten und setzt eine EU-Richtlinie in nationales Recht um. Für die geforderten Sicherheitsmaßnahmen gibt es keine Übergangsfrist.
Ist mein Unternehmen von NIS2 betroffen?+
Direkt betroffen sind vor allem Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Umsatz, die in einem der 18 erfassten Sektoren tätig sind. Ab 250 Mitarbeitenden oder über 50 Millionen Euro Umsatz gilt die strengere Stufe 'besonders wichtige Einrichtung'. Ob Sie im Einzelfall darunterfallen, sollten Sie rechtlich prüfen lassen, bei der ersten Einschätzung helfen wir.
Wir sind klein, betrifft uns NIS2 trotzdem?+
Möglicherweise indirekt. Betroffene Unternehmen müssen ihre Lieferkette absichern und geben Sicherheitsanforderungen an Dienstleister und Zulieferer weiter. In der Praxis erreichen Fragebögen und Vertragsklauseln deshalb auch kleinere Betriebe, die selbst nicht direkt unter NIS2 fallen.
Welche Pflichten bringt NIS2 mit?+
Im Kern ein angemessenes Risikomanagement: unter anderem Zugriffskontrolle und Mehr-Faktor-Anmeldung, Datensicherung und Wiederanlauf, Erkennung und Behandlung von Vorfällen, Lieferkettensicherheit, Mitarbeitersensibilisierung sowie Melde- und Registrierungspflichten beim BSI. Die Geschäftsleitung ist ausdrücklich verantwortlich.
Was passiert bei Verstößen?+
Das Gesetz sieht spürbare Bußgelder und eine persönliche Verantwortung der Leitungsebene vor. Konkrete Höhe und Folgen hängen vom Einzelfall ab, das ist eine rechtliche Frage für Ihren Anwalt. Wichtiger als die Strafe ist ohnehin, dass die Maßnahmen Ihr Unternehmen wirklich schützen.
Müssen wir dafür alles neu aufbauen?+
Selten. Vieles, was NIS2 verlangt, ist solide IT-Sicherheit, die gut betreute Unternehmen ohnehin haben: aktuelle Systeme, MFA, Backup, Endpoint-Schutz. Wir schauen, was vorhanden ist, schließen Lücken gezielt und sorgen für die nötige Dokumentation.
Mehr Antworten finden Sie in den häufigen Fragen und im Cybersecurity-Lexikon.
PASST DAZU
Das greift ineinander.
Ratgeber: Wer ist betroffen?
Ausführlicher Artikel, welche KMU NIS2 betrifft und was jetzt zu tun ist.
Mehr erfahrenRatgeber: Lieferketten-Fragebogen
Wenn der Großkunde einen Sicherheitsfragebogen schickt, so gehen Sie vor.
Mehr erfahrenIT-Sicherheitsanalyse
Den Ist-Stand prüfen, bevor Sie Maßnahmen umsetzen.
Mehr erfahrenMFA & Identitätsschutz
Eine der zentralen NIS2-Maßnahmen, sauber umgesetzt.
Mehr erfahrenSO STARTEN WIR
Der Weg zu uns ist kurz.
Kostenloses Erstgespräch
30 Minuten am Telefon oder bei Ihnen: Wir hören zu und sagen ehrlich, ob und wie wir helfen können.
Konzept & Angebot
Sie erhalten eine klare Empfehlung mit planbaren Kosten, verständlich begründet statt seitenlang.
Umsetzung & Betreuung
Wir richten ein, übernehmen den Betrieb und bleiben Ihr fester Ansprechpartner.
Lassen Sie uns sprechen.
30 Minuten, unverbindlich, wir klären, ob und wie wir Sie unterstützen können.