NIS-2 für deutsche KMU: Ein Leitfaden zu Anforderungen, Pflichten und Vorbereitung

Fazit:

NIS-2 ist mehr als eine neue Vorschrift – es ist ein Weckruf. Nutzen Sie die verbleibende Zeit, um Cybersicherheit als strategischen Erfolgs- und Wettbewerbsfaktor in Ihrem Unternehmen zu verankern.

• Große Reichweite: Rund 30 000 deutsche Unternehmen, auch viele KMU, fallen künftig unter verpflichtende Cybersicherheits-Regeln.
• Kernpflichten: Zehn Mindestmaßnahmen (u. a. MFA, Backups, Lieferkettensicherheit) plus 24-Stunden-Meldepflicht bei Vorfällen.
• Haftung & Strafen: Geschäftsleitungen haften persönlich; Bußgelder bis 10 Mio. € / 2 % Umsatz.
• Zeitplan: Deutsches Umsetzungsgesetz soll im Oktober 2025 ohne Übergangsfristen greifen, Vorbereitung jetzt starten.
• Nutzen: Frühzeitige Compliance stärkt Resilienz, Kundentrust und Wettbewerbsfähigkeit.

Dieser Leitfaden soll deutschen KMU einen klaren Überblick über NIS-2 geben und praktische Schritte zur Vorbereitung aufzeigen.

1. Einleitung: NIS-2 kommt – Warum deutsche KMU jetzt handeln müssen

Die digitale Transformation schreitet unaufhaltsam voran, doch mit ihr wächst auch die Bedrohung durch Cyberangriffe. Kleine und mittlere Unternehmen (KMU) rücken dabei zunehmend ins Visier von Angreifern, wie Ransomware-Attacken zeigen. Cybersicherheit ist längst keine rein technische Angelegenheit mehr, sondern ein entscheidender Faktor für die Geschäftskontinuität und eine zentrale Aufgabe der Unternehmensführung.
Als Reaktion auf die steigenden Risiken hat die Europäische Union die Richtlinie (EU) 2022/2555, bekannt als NIS-2 (Network and Information Security 2), verabschiedet. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und zielt darauf ab, das Niveau der Cybersicherheit in der gesamten Union signifikant zu erhöhen.

Für deutsche KMU ist NIS-2 von besonderer Bedeutung. Die Richtlinie erweitert ihren Anwendungsbereich erheblich. Während die erste NIS-Richtlinie primär Betreiber wesentlicher Dienste betraf (in Deutschland etwa 2.000 Unternehmen), fallen unter NIS-2 schätzungsweise rund 30.000 Organisationen in Deutschland. Darunter befinden sich potenziell tausende KMU, die erstmals mit solchen regulatorischen Anforderungen konfrontiert werden. Diese Ausweitung spiegelt die Erkenntnis wider, dass die Sicherheit der digitalen Wirtschaft nicht allein durch den Schutz der größten Akteure gewährleistet werden kann. Die starke Vernetzung bedeutet, dass Störungen auch bei kleineren oder mittleren Unternehmen erhebliche Auswirkungen auf ganze Sektoren oder Lieferketten haben können. Die aggregierte Bedeutung von KMU für die Gesamtwirtschaft und deren Resilienz wird somit regulatorisch anerkannt. Selbst Unternehmen, die nicht direkt unter die Regelung fallen, könnten indirekt über Anforderungen in der Lieferkette betroffen sein.

Obwohl die Umsetzung der NIS-2-Richtlinie in deutsches Recht durch das sogenannte NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) verzögert ist und voraussichtlich erst im Oktober 2025 in Kraft treten wird, ist dringender Handlungsbedarf geboten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät Unternehmen ausdrücklich, die Zeit für Vorbereitungen zu nutzen. Zudem sehen die bisherigen Gesetzesentwürfe keine Übergangsfristen vor, was bedeutet, dass die Anforderungen ab Inkrafttreten des Gesetzes unmittelbar gelten könnten. Diese Konstellation, Verzögerung bei gleichzeitigem Rat zur Vorbereitung und potenziell sofortiger Geltung, schafft eine strategische Notwendigkeit für KMU, proaktiv zu handeln. Abwarten birgt das Risiko, bei Verabschiedung des Gesetzes unvorbereitet zu sein und Sanktionen wegen Nichteinhaltung zu riskieren oder durch vermeidbare Cyberangriffe operative Störungen zu erleiden. Eine frühzeitige Vorbereitung ermöglicht einen überlegten, integrierten Ansatz statt einer überhasteten Reaktion und adressiert zudem proaktiv bestehende Cyberrisiken.

2. Die NIS-2-Richtlinie im Überblick: Ziele, Reichweite und Neuerungen

Das Kernziel der NIS-2-Richtlinie ist die Schaffung eines hohen gemeinsamen Cybersicherheitsniveaus in der gesamten Europäischen Union. Damit sollen wesentliche Dienste für Wirtschaft und Gesellschaft, die öffentliche Sicherheit und letztlich die Bürgerinnen und Bürger besser vor den Folgen von Cyberangriffen und IT-Störungen geschützt werden. Ein weiteres wichtiges Ziel ist die Harmonisierung der Cybersicherheitsanforderungen und Aufsichtsmechanismen über die Mitgliedstaaten hinweg, um einen fragmentierten digitalen Binnenmarkt zu vermeiden.

Im Vergleich zur Vorgängerrichtlinie NIS-1 zeichnet sich NIS-2 vor allem durch eine signifikante Ausweitung der Reichweite aus. Es werden deutlich mehr Wirtschaftssektoren erfasst, insgesamt 18 Sektoren gegenüber einer kleineren Zahl unter NIS-1. Zudem werden klarere Kriterien für die Betroffenheit von Unternehmen eingeführt, die sich an der Unternehmensgröße orientieren (Mitarbeiterzahl, Jahresumsatz, Bilanzsumme), oft als „Size-Cap Rule“ bezeichnet. Neu ist auch die Unterteilung der betroffenen Organisationen in zwei Kategorien: „wesentliche Einrichtungen“ (Essential Entities) und „wichtige Einrichtungen“ (Important Entities). Diese Einstufung hat direkte Auswirkungen auf die Intensität der behördlichen Aufsicht und die Höhe möglicher Sanktionen bei Verstößen.

Diese Differenzierung zwischen „wesentlichen“ und „wichtigen“ Einrichtungen folgt einem Proportionalitätsprinzip. Zwar unterliegen beide Kategorien den Kernanforderungen der Richtlinie, jedoch unterscheidet sich die Aufsicht: Wesentliche Einrichtungen unterliegen in der Regel einer strengeren Vorab- und Nachträglichen Aufsicht (ex-ante und ex-post), während wichtige Einrichtungen primär einer nachträglichen Aufsicht (ex-post) unterliegen. Auch die maximal möglichen Bußgelder sind für wesentliche Einrichtungen höher angesetzt als für wichtige. Dieser abgestufte Ansatz trägt der unterschiedlichen Kritikalität und Größe der betroffenen Unternehmen Rechnung. Er soll sicherstellen, dass die regulatorische Last verhältnismäßig ist und nicht alle rund 30.000 betroffenen Unternehmen, insbesondere mittelständische Betriebe, mit den absolut höchsten Anforderungen überfrachtet werden. Die strengere Aufsicht konzentriert sich somit auf jene Organisationen, deren Ausfall die gravierendsten gesellschaftlichen oder wirtschaftlichen Folgen hätte.

Neben der erweiterten Reichweite bringt NIS-2 eine Reihe weiterer wesentlicher Neuerungen und Verschärfungen mit sich:

• Strengere Sicherheits- und Risikomanagementanforderungen: Artikel 21 der Richtlinie definiert einen Katalog von mindestens zehn konkreten Maßnahmen, die betroffene Unternehmen umsetzen müssen.
• Verschärfte Meldepflichten: Sicherheitsvorfälle müssen nach einem mehrstufigen Verfahren und unter Einhaltung enger Fristen (z. B. Erstmeldung innerhalb von 24 Stunden) an die zuständigen Behörden gemeldet werden.
• Fokus auf Lieferkettensicherheit: Unternehmen müssen die Cybersicherheitsrisiken in ihren Lieferketten aktiv managen.
• Verstärkte Verantwortung der Geschäftsleitung: Die Leitungsorgane tragen eine explizite Verantwortung für die Umsetzung der Cybersicherheitsmaßnahmen und haften bei Verstößen unter Umständen persönlich.
• Strengere Aufsicht und höhere Sanktionen: Die nationalen Behörden erhalten erweiterte Befugnisse zur Überwachung und Durchsetzung, und die möglichen Bußgelder bei Nichteinhaltung werden deutlich erhöht.
• Registrierungspflicht: Betroffene Unternehmen müssen sich bei der zuständigen nationalen Behörde (in Deutschland voraussichtlich das BSI) registrieren.

Diese Neuerungen signalisieren einen Paradigmenwechsel. NIS-2 geht über das reine Reagieren auf Sicherheitsvorfälle hinaus. Der starke Fokus auf proaktives Risikomanagement, die Einbeziehung der gesamten Lieferkette und die direkte Verantwortlichkeit der Geschäftsführung zielen darauf ab, Cybersicherheit systematisch und tiefgreifend in den Geschäftsabläufen zu verankern. Dies ist auch eine Reaktion auf Schwächen der ersten NIS-Richtlinie, die als inkonsistent in der Anwendung und unzureichend im Umfang kritisiert wurde. NIS-2 soll ein widerstandsfähigeres digitales Ökosystem schaffen, indem Organisationen gezwungen werden, Risiken kontinuierlich zu bewerten, Abhängigkeiten zu berücksichtigen und klare Verantwortlichkeiten auf höchster Ebene zu etablieren. Cybersicherheit wird damit endgültig zu einem kontinuierlichen Managementprozess.

3. Betroffenheit prüfen: Fällt Ihr KMU unter NIS-2?

Eine zentrale Frage für jedes Unternehmen lautet: Sind wir von NIS-2 betroffen? Es ist wichtig zu verstehen, dass Unternehmen diese Prüfung selbst durchführen müssen. Es erfolgt keine automatische Benachrichtigung durch Behörden.

Die Betroffenheit hängt von zwei Hauptfaktoren ab: der Zugehörigkeit zu einem der 18 regulierten Sektoren und der Unternehmensgröße.

Die 18 Sektoren unter NIS-2:

Die Richtlinie unterscheidet zwischen Sektoren mit hoher Kritikalität (Anhang I) und sonstigen kritischen Sektoren (Anhang II). Die Zugehörigkeit zu Anhang I führt in der Regel zur Einstufung als „wesentliche Einrichtung“, die Zugehörigkeit zu Anhang II meist zur Einstufung als „wichtige Einrichtung“. Siehe Tabelle.

Größenkriterien (Die „Size-Cap Rule“):

Neben der Sektorzugehörigkeit ist die Unternehmensgröße entscheidend. NIS-2 orientiert sich hier an der EU-Definition für kleine und mittlere Unternehmen (KMU):

• Mittlere Unternehmen: Gelten in der Regel als betroffen (meist als „wichtige Einrichtung“), wenn sie in einem der 18 Sektoren tätig sind UND mindestens 50 Mitarbeiter beschäftigen UND entweder einen Jahresumsatz von über 10 Millionen Euro ODER eine Jahresbilanzsumme von über 10 Millionen Euro aufweisen.
• Große Unternehmen: Gelten in der Regel als betroffen (je nach Sektor als „wichtige“ oder „wesentliche Einrichtung“), wenn sie in einem der 18 Sektoren tätig sind UND mindestens 250 Mitarbeiter beschäftigen ODER einen Jahresumsatz von über 50 Millionen Euro UND eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.
• Kleine und Kleinstunternehmen: Sind grundsätzlich vom Anwendungsbereich der NIS-2 ausgenommen, wenn sie weniger als 50 Mitarbeiter beschäftigen UND einen Jahresumsatz von höchstens 10 Millionen Euro sowie eine Jahresbilanzsumme von höchstens 10 Millionen Euro haben.

Wichtige Ausnahmen:

Es gibt jedoch bedeutende Ausnahmen von diesen Größenregeln:

• Unabhängig von der Größe betroffen: Bestimmte Arten von Einrichtungen fallen immer unter NIS-2, unabhängig von ihrer Größe. Dazu gehören Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter (mit Ausnahme von Root-Nameserver-Betreibern). Auch bestimmte Einrichtungen der öffentlichen Verwaltung können unabhängig von ihrer Größe erfasst sein. Mitgliedstaaten können zudem festlegen, dass Unternehmen, die für die Gesellschaft kritische Dienste erbringen, unabhängig von ihrer Größe betroffen sind.
• Generelle Ausnahmen: Bestimmte Bereiche sind gänzlich vom Anwendungsbereich ausgenommen, wie Verteidigung, nationale Sicherheit, öffentliche Sicherheit und Strafverfolgung. Auch Justiz, Parlamente und Zentralbanken fallen nicht darunter.

Komplexität der Prüfung:

Die Feststellung der eigenen Betroffenheit kann komplex sein. Die Kombination aus Sektorlisten, Größenschwellen und den zahlreichen Ausnahmen erfordert eine sorgfältige Prüfung. Ein Unternehmen könnte beispielsweise klein sein, aber in einem Sektor tätig sein, für den die Größenregeln nicht gelten (z. B. bestimmte Anbieter digitaler Infrastruktur). Zusätzliche Komplexität entsteht durch die Regelung, dass bei der Berechnung der Mitarbeiterzahl und Finanzschwellenwerte unter Umständen auch Daten von Partnerunternehmen oder verbundenen Unternehmen berücksichtigt werden müssen. Dies könnte dazu führen, dass auch kleinere Tochtergesellschaften großer Konzerne in den Anwendungsbereich fallen.

Tabelle zur Einschätzung der Betroffenheit:

Die folgende Tabelle bietet eine vereinfachte Übersicht zur ersten Orientierung (Details und Ausnahmen sind stets zu prüfen):

¹ Größenschwellen (vereinfacht): Mittel = ≥ 50 MA & (>10 Mio € Umsatz ODER >10 Mio € Bilanz); Groß = ≥ 250 MA ODER (>50 Mio € Umsatz UND >43 Mio € Bilanz). Kleine/Kleinstunternehmen (< 50 MA & ≤10 Mio € Umsatz/Bilanz) sind i.d.R. ausgenommen, es sei denn, eine Ausnahme greift.

Indirekte Betroffenheit durch die Lieferkette:

Selbst wenn ein KMU nach den oben genannten Kriterien nicht direkt unter NIS-2 fällt, ist eine indirekte Betroffenheit sehr wahrscheinlich. Die Richtlinie verpflichtet regulierte Unternehmen explizit dazu, die Sicherheit ihrer Lieferketten zu gewährleisten. Um dieses Risiko zu managen und ihre eigene Compliance nachzuweisen, werden diese Unternehmen von ihren Zulieferern – auch von KMU – verstärkt Nachweise über deren Cybersicherheitsmaßnahmen verlangen. Dies kann über vertragliche Verpflichtungen, Fragebögen, Audits oder die Forderung nach Zertifizierungen wie ISO 27001 geschehen. KMU, die als Zulieferer tätig sind und diese Anforderungen nicht erfüllen können, riskieren, Aufträge zu verlieren oder aus wichtigen Lieferketten ausgeschlossen zu werden. Die NIS-2-Anforderungen verbreiten sich somit kaskadenartig durch die Wirtschaft.

4. Die Kernpflichten unter NIS-2: Was wird von Ihnen erwartet?

Unternehmen, die in den Anwendungsbereich von NIS-2 fallen, müssen eine Reihe von Pflichten erfüllen. Grundlegend ist die Verpflichtung, „angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen“ zu ergreifen, um die Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen und die Auswirkungen von Sicherheitsvorfällen zu verhindern oder zu minimieren. Diese Maßnahmen müssen dem „Stand der Technik“ entsprechen und ein breites Spektrum von Cybersicherheitsaspekten abdecken.

Risikomanagementmaßnahmen (Art. 21 NIS-2 / § 30 NIS2UmsuCG-E):

Das Herzstück der Pflichten bildet ein Katalog von mindestens zehn Risikomanagementmaßnahmen, die von allen betroffenen Einrichtungen umzusetzen sind:

1. Konzepte für Risikoanalyse und Sicherheit von Informationssystemen
2. Bewältigung von Sicherheitsvorfällen: Definierte Prozesse und Pläne zur Reaktion auf Incidents.
3. Business Continuity Management
4. Sicherheit der Lieferkette
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit
7. Grundlegende Cyberhygiene und Schulungen
8. Konzepte und Verfahren für Kryptografie und Verschlüsselung
9. Sicherheit des Personals, Zugriffskontrollkonzepte und Asset Management
10. Nutzung von Multi-Faktor-Authentifizierung (MFA) oder kontinuierlicher Authentifizierung

Weitere zentrale Sicherheitspflichten:

Aus diesen zehn Punkten ergeben sich konkrete Handlungsfelder:

• Incident Handling
• Business Continuity/Krisenmanagement
• Lieferkettensicherheit

Meldepflichten bei Sicherheitsvorfällen (§ 32 NIS2UmsuCG-E):

Eine wesentliche Verschärfung gegenüber NIS-1 stellen die Meldepflichten dar. Betroffene Unternehmen müssen „erhebliche Sicherheitsvorfälle“ unverzüglich an die zuständige Behörde (in Deutschland das Computer Security Incident Response Team – CSIRT – beim BSI) melden.

Ein „erheblicher Sicherheitsvorfall“ ist definiert als ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Wichtig ist, dass auch Situationen meldepflichtig sein können, bei denen ein erheblicher Schaden hätte eintreten können, dies aber (z. B. durch Abwehrmaßnahmen) verhindert wurde (sogenannte „Near Misses“).

Die Einhaltung dieser knappen Meldefristen stellt eine erhebliche operative Herausforderung dar, gerade für KMU mit begrenzten Ressourcen. In der Hektik eines Sicherheitsvorfalls schnell die notwendigen Informationen zu sammeln, die Erheblichkeit zu bewerten und eine formelle Meldung abzusetzen, erfordert gut definierte und eingeübte interne Prozesse, klare Zuständigkeiten und potenziell technische Unterstützung durch Monitoring-Systeme oder externe Dienstleister. Ein Versäumnis der Meldefrist stellt einen Compliance-Verstoß dar. Unternehmen müssen sich daher unbedingt im Vorfeld auf dieses Szenario vorbereiten.

Registrierungspflicht (§ 33, § 34 NIS2UmsuCG-E):

Betroffene wesentliche und wichtige Einrichtungen müssen sich zudem beim BSI registrieren lassen. Dabei sind grundlegende Informationen wie Name, Adresse, Kontaktdaten und der relevante Sektor anzugeben. Die genauen Modalitäten der Registrierung werden nach Inkrafttreten des Gesetzes festgelegt.

5. Verantwortung im Fokus: Geschäftsführung und IT in der Pflicht

NIS-2 rückt die Verantwortung für Cybersicherheit deutlich stärker in den Fokus der Unternehmensleitung. Die Zeiten, in denen IT-Sicherheit als rein technische Aufgabe an die IT-Abteilung delegiert werden konnte, sind vorbei.

Verantwortung der Geschäftsleitung (§38 NIS2UmsuCG-E):

Die Leitungsorgane (Geschäftsführer, Vorstände etc.) von wesentlichen und wichtigen Einrichtungen tragen eine explizite und persönliche Verantwortung für die Einhaltung der Cybersicherheitsvorgaben. Ihre Pflichten umfassen insbesondere:

• Billigung der Risikomanagementmaßnahmen
• Überwachung der Umsetzung
• Teilnahme an Schulungen
• Persönliche Haftung

Diese direkte Adressierung der Geschäftsleitung mit persönlichen Konsequenzen hebt Cybersicherheit auf die Ebene der Corporate Governance. Es ist nicht mehr nur ein technisches Problem, sondern eine strategische Führungsaufgabe. Wenn das Privatvermögen auf dem Spiel steht, entsteht ein starker Anreiz für die Leitungsebene, sich aktiv mit dem Thema auseinanderzusetzen, kritische Fragen zu stellen und die Umsetzung von Maßnahmen konsequent zu überwachen. Dies erfordert eine regelmäßige und verständliche Berichterstattung von der IT an die Geschäftsführung, die Integration von Cyberrisiken in die strategische Planung und Budgetierung sowie Diskussionen auf Vorstandsebene.

Die Pflicht zur Überwachung der Umsetzung impliziert zudem, dass die Geschäftsleitung diese Aufsicht auch nachweisen können muss. Eine reine Delegation genügt nicht. Um sich gegen potenzielle Haftungsansprüche abzusichern, benötigt die Leitung eine Dokumentation, die belegt, dass sie Risiken bewertet, Maßnahmen genehmigt, Ressourcen zugewiesen und den Fortschritt überwacht hat. Dies erfordert strukturierte Prozesse, nachvollziehbare Entscheidungen (z. B. in Protokollen festgehalten) und möglicherweise formalisierte interne Kontrollsysteme im Bereich der Cybersicherheits-Governance.

Rolle der IT-Abteilung:

Die IT-Abteilung (ob intern oder extern) spielt eine zentrale operative Rolle bei der Umsetzung von NIS-2. Ihre Aufgaben umfassen:

• Implementierung: Umsetzung der geforderten technischen und operativen Maßnahmen.
• Wartung und Betrieb: Sicherstellung der kontinuierlichen Wirksamkeit der Sicherheitsmaßnahmen durch regelmäßige Updates, Patching, Monitoring und Konfigurationsmanagement.
• Incident Response: Erkennung, Analyse, Eindämmung und Behebung von Sicherheitsvorfällen sowie Bereitstellung der notwendigen Informationen für die gesetzlichen Meldepflichten.
• Unterstützung: Bereitstellung technischer Expertise für Risikoanalysen, Maßnahmenplanung und die Erstellung der notwendigen Compliance-Dokumentation.
• Zusammenarbeit: Enge Abstimmung mit der Geschäftsleitung, um sicherzustellen, dass die technischen Maßnahmen den Geschäftsanforderungen entsprechen und Risiken transparent kommuniziert werden.

Die IT-Abteilung ist somit der entscheidende Umsetzer, während die Geschäftsleitung die strategische Verantwortung trägt und die Aufsicht führt. Eine enge und vertrauensvolle Zusammenarbeit zwischen beiden Ebenen ist für eine erfolgreiche NIS-2-Compliance unerlässlich.

6. NIS-2 nicht erfüllt? Rechtliche Konsequenzen und Bußgelder in Deutschland

Die Nichteinhaltung der NIS-2-Anforderungen kann für betroffene Unternehmen und ihre Leitungsorgane erhebliche Konsequenzen haben. Die Richtlinie stattet die nationalen Aufsichtsbehörden mit weitreichenden Befugnissen aus.

Aufsichtsbefugnisse:

In Deutschland wird voraussichtlich das BSI die zentrale Aufsichts- und Durchsetzungsbehörde für die meisten unter NIS-2 fallenden Unternehmen sein. Die Behörden erhalten umfassende Befugnisse, um die Einhaltung der Vorschriften zu überprüfen. Dazu gehören das Recht, Inspektionen und Sicherheitsaudits durchzuführen, Informationen anzufordern und bei festgestellten Mängeln verbindliche Anweisungen zur Behebung zu erteilen. Bei schwerwiegenden Verstößen, insbesondere bei wesentlichen Einrichtungen, könnten die Befugnisse sogar direkte Eingriffe in Unternehmen ermöglichen.

Sanktionen und Bußgelder (§ 65 NIS2UmsuCG-E):

Bei Verstößen gegen die NIS-2-Pflichten können empfindliche Verwaltungsgelder verhängt werden. Die Höhe der maximalen Bußgelder unterscheidet sich je nach Einstufung des Unternehmens:

• Wesentliche Einrichtungen: Bis zu 10 Millionen Euro ODER bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro ODER bis zu 1,4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Diese Bußgelder können nicht nur bei fehlenden Sicherheitsmaßnahmen verhängt werden, sondern auch bei Verstößen gegen die Melde- oder Registrierungspflichten. Wiederholte Verstöße oder die Übermittlung falscher Informationen an die Behörden können ebenfalls sanktioniert werden. Die Kopplung der Bußgelder an den weltweiten Jahresumsatz stellt, ähnlich wie bei der Datenschutz-Grundverordnung (DSGVO), ein erhebliches finanzielles Risiko dar. Sie soll sicherstellen, dass die Sanktionen auch für große, international tätige Konzerne eine abschreckende Wirkung haben und die Einhaltung der Vorschriften auf höchster Managementebene ernst genommen wird.

Haftung der Geschäftsleitung:

Wie bereits erwähnt, sieht NIS-2 eine persönliche Haftung der Leitungsorgane vor (§ 38, § 61 NIS2UmsuCG-E). Bei Pflichtverletzungen im Bereich der Cybersicherheit können Geschäftsführer oder Vorstände persönlich zur Verantwortung gezogen werden. In bestimmten Fällen können sogar vorübergehende Verbote der Ausübung von Führungsfunktionen verhängt werden.

Weitere Konsequenzen:

Neben den direkten rechtlichen Sanktionen drohen bei Nichteinhaltung weitere negative Folgen:

• Reputationsschäden: Erfolgreiche Cyberangriffe oder öffentlich bekannt gewordene Compliance-Verstöße können das Vertrauen von Kunden, Partnern und der Öffentlichkeit massiv beschädigen.
• Betriebsunterbrechungen: Unzureichende Sicherheitsmaßnahmen erhöhen die Wahrscheinlichkeit und die Auswirkungen von Sicherheitsvorfällen, was zu kostspieligen Betriebsausfällen, Datenverlusten und aufwändigen Wiederherstellungsmaßnahmen führen kann.
• Geschäftsverluste: Unternehmen, die die NIS-2-Anforderungen nicht erfüllen, könnten von größeren, regulierten Partnern aus deren Lieferketten ausgeschlossen werden, da diese ihre eigenen Compliance-Verpflichtungen erfüllen müssen.
• Zivilrechtliche Haftung: Wenn durch einen Sicherheitsvorfall bei einem Unternehmen Schäden bei Kunden oder Geschäftspartnern entstehen, können daraus zivilrechtliche Schadensersatzforderungen resultieren.

Diese vielfältigen Konsequenzen verdeutlichen, dass es bei NIS-2 um weit mehr als nur die Vermeidung von Bußgeldern geht. Während die Strafen ein signifikanter Faktor sind, können die indirekten Folgen wie Reputationsverlust, Betriebsstillstand oder der Verlust wichtiger Geschäftsbeziehungen für die langfristige Existenz eines KMU ebenso bedrohlich sein. NIS-2-Compliance ist somit nicht nur eine rechtliche Pflicht, sondern ein wesentlicher Baustein für die unternehmerische Resilienz und Wettbewerbsfähigkeit im digitalen Zeitalter.

7. Vorbereitung ist alles: Praktische Schritte für KMU zur NIS-2-Compliance

Angesichts der umfassenden Anforderungen und potenziellen Konsequenzen ist eine frühzeitige und strukturierte Vorbereitung auf NIS-2 für betroffene KMU unerlässlich. Die gute Nachricht ist, dass viele der geforderten Maßnahmen etablierten Best Practices der Informationssicherheit entsprechen. Unternehmen, die bereits in ihre Cybersicherheit investiert haben, starten also nicht bei Null.

Folgende praktische Schritte können KMU helfen, sich auf NIS-2 vorzubereiten (basierend auf Empfehlungen von Experten und Behörden):

1. Betroffenheit klären: Nutzen Sie als ersten Schritt unseren rechtssichern „NIS-2 Betroffenheits-Check“. Sie bekommen einen klaren Ergebnisbericht inkl. eindeutigem Ergebnis (Ja/Nein) mit Begründung.
2. Verantwortlichkeiten festlegen: Benennen Sie klare Verantwortliche für die NIS-2-Umsetzung im Unternehmen. Dies sollte idealerweise ein kleines Team sein, das Vertreter aus der Geschäftsleitung, der IT und ggf. anderen relevanten Bereichen (z. B. Recht, Produktion) umfasst. Sorgen Sie für Commitment und Verständnis auf Leitungsebene.
3. Bestandsaufnahme/Gap-Analyse durchführen: Ermitteln Sie den aktuellen Stand Ihrer Informationssicherheit.
4. Maßnahmenplan entwickeln
5. Konkrete Maßnahmen umsetzen
6. Technische Maßnahmen
7. Organisatorische Maßnahmen
8. Business Continuity/Krisenmanagement etablieren
9. Dokumentation sicherstellen
10. Kontinuierliche Verbesserung

Nutzung etablierter Standards:

Um die Umsetzung zu strukturieren und die Compliance nachweisbar zu machen, empfiehlt sich die Orientierung an etablierten Standards für Informationssicherheits-Managementsysteme (ISMS). Insbesondere die internationale Norm ISO/IEC 27001 oder der IT-Grundschutz des BSI bieten einen hervorragenden Rahmen. Diese Standards decken bereits einen Großteil der technischen und organisatorischen Anforderungen von NIS-2 ab, wie z. B. Risikoanalyse, Zugriffskontrolle, Incident Management und Business Continuity. Eine Zertifizierung nach ISO 27001 oder die Umsetzung nach IT-Grundschutz kann daher die NIS-2-Compliance erheblich erleichtern und dient als starkes Signal an Kunden und Partner. Sie bieten einen systematischen Ansatz, der über einzelne technische Maßnahmen hinausgeht und Informationssicherheit als Managementsystem im Unternehmen verankert.

Es wird deutlich, dass eine effektive NIS-2-Umsetzung mehr erfordert als nur die Implementierung technischer Werkzeuge. Es bedarf einer Veränderung der Sicherheitskultur im gesamten Unternehmen. Viele Anforderungen betreffen menschliches Verhalten, von der Einhaltung grundlegender Cyberhygiene durch Mitarbeiter über die Sicherheit im Personalwesen bis hin zur aktiven Aufsicht durch die Geschäftsführung. Technologie allein schützt nicht, wenn das Bewusstsein fehlt oder die Leitung das Thema nicht priorisiert. Der Aufbau einer solchen Sicherheitskultur ist eine langfristige Aufgabe, die kontinuierliche Schulung, klare Kommunikation und sichtbares Engagement der Führungsebene erfordert.

8. Externe Expertise:

Trotz der vielfältigen Angebote kann die Komplexität von NIS-2 und die oft begrenzten internen Ressourcen in KMU den Einsatz externer Unterstützung notwendig machen. Spezialisierte Beratungsunternehmen, IT-Sicherheitsdienstleister oder Anwaltskanzleien können bei der Risikoanalyse, der Maßnahmenimplementierung, der Erstellung von Richtlinien oder der rechtlichen Absicherung wertvolle Hilfe leisten. Die Investition in externe Expertise kann die Umsetzung beschleunigen, die Qualität sicherstellen und helfen, spezifische technische oder rechtliche Fallstricke zu vermeiden, was sich gegenüber einem langwierigen internen Prozess als wirtschaftlicher erweisen kann.

Fokussieren Sie sich auf Ihr Kerngeschäft – wir sorgen für Ihre reibungslose NIS-2 Compliance.

Sichern Sie sich jetzt die notwendige Unterstützung, um die Anforderungen der Richtlinie fristgerecht, effizient und rechtssicher zu erfüllen. Kontaktieren Sie uns für ein individuelles Angebot oder eine kostenlose Erstberatung.

9. Der Zeitplan für Deutschland: Stand der Umsetzung und nächste Schritte

Ein wichtiger Aspekt für die Planung der NIS-2-Umsetzung ist der Zeitplan. Die ursprüngliche Frist, die die NIS-2-Richtlinie den EU-Mitgliedstaaten zur Umsetzung in nationales Recht setzte, war der 17. Oktober 2024.

Verzögerung der deutschen Umsetzung (NIS2UmsuCG):

Deutschland hat diese Frist, wie auch viele andere EU-Mitgliedstaaten, nicht eingehalten. Der Gesetzgebungsprozess für das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), dass die Richtlinie in deutsches Recht überführen soll, wurde durch die vorgezogenen Bundestagswahlen unterbrochen und konnte nicht abgeschlossen werden.

Aktueller Stand und erwarteter Zeitplan:

Zum jetzigen Zeitpunkt (Stand Mai 2025) ist das NIS2UmsuCG noch nicht verabschiedet. Das Gesetzgebungsverfahren muss in der neuen Legislaturperiode wieder aufgenommen werden. Aktuellen Einschätzungen zufolge ist mit einem Inkrafttreten des Gesetzes nunmehr im Oktober 2025 zu rechnen. Ein genauer Termin kann jedoch noch nicht genannt werden. Aufgrund der Verzögerung hat die Europäische Kommission bereits ein Vertragsverletzungsverfahren gegen Deutschland und andere säumige Mitgliedstaaten eingeleitet.

Implikationen der Verzögerung für KMU:

Was bedeutet diese Verzögerung für betroffene KMU?

• Keine unmittelbare Rechtswirkung: Solange das NIS2UmsuCG nicht in Kraft getreten ist, entfaltet die NIS-2-Richtlinie keine direkte rechtliche Verpflichtung für Unternehmen in Deutschland. Die Pflichten entstehen erst mit dem nationalen Gesetz.
• Kein Grund zur Untätigkeit: Das BSI rät jedoch dringend davon ab, die Hände in den Schoß zu legen. Die gewonnene Zeit sollte aktiv für die Vorbereitung genutzt werden, um die eigene Informationssicherheit zu verbessern.
• Keine Übergangsfristen erwartet: Wichtig ist die Information aus den bisherigen Entwürfen des NIS2UmsuCG, dass offenbar keine Übergangsfristen für die Erfüllung der Pflichten vorgesehen sind. Das bedeutet, dass Unternehmen die Anforderungen voraussichtlich ab dem Tag des Inkrafttretens des Gesetzes erfüllen müssen.
• Cyberrisiken bleiben bestehen: Unabhängig vom rechtlichen Zeitplan existieren die Cyberbedrohungen weiter. Investitionen in Sicherheit sind daher auch ohne gesetzlichen Zwang sinnvoll.

Die Verzögerung bei der Gesetzgebung birgt die Gefahr, dass bei manchen KMU ein falsches Gefühl der Sicherheit entsteht und NIS-2 auf der Prioritätenliste nach unten rutscht. Dies wäre riskant. Die konsequente Empfehlung des BSI zur Vorbereitung und die wahrscheinliche Einführung ohne Übergangsfristen deuten darauf hin, dass ein plötzlicher Handlungsdruck entstehen wird, sobald das Gesetz verabschiedet ist. Wer dann unvorbereitet ist, riskiert nicht nur Bußgelder, sondern auch vermeidbare Sicherheitsvorfälle.

Da die genauen Details und der endgültige Zeitplan des NIS2UmsuCG noch einer gewissen Unsicherheit unterliegen, sollten sich KMU in ihrer Vorbereitung auf die bekannten Kernanforderungen der EU-Richtlinie konzentrieren. Die Umsetzung grundlegender Sicherheitsmaßnahmen gemäß Artikel 21 und die Orientierung an etablierten Standards wie ISO 27001 schaffen eine robuste Basis, die mit hoher Wahrscheinlichkeit den Großteil der finalen gesetzlichen Anforderungen abdecken wird. Gleichzeitig sollten Unternehmen eine gewisse Flexibilität bewahren, um auf mögliche spezifische Nuancen oder Konkretisierungen im deutschen Gesetz reagieren zu können.

10. Quintessenz: NIS-2 als Treiber für eine sicherere digitale Zukunft von KMU

Die NIS-2-Richtlinie stellt zweifellos eine Zäsur für die Cybersicherheit in Europa dar. Sie erweitert den Kreis der regulierten Unternehmen erheblich, betrifft damit potenziell tausende deutsche KMU direkt oder indirekt, und verschärft die Anforderungen an Risikomanagement, Meldepflichten und die Verantwortung der Geschäftsleitung deutlich. Die Nichteinhaltung kann mit empfindlichen Bußgeldern und persönlicher Haftung geahndet werden.

NIS-2 ist kein Bürokratiemonster–sondern ein Wettbewerbsvorteil.

Die Umsetzung dieser Anforderungen stellt für viele KMU eine Herausforderung dar, die mit Kosten und Aufwand verbunden ist. Dennoch sollte NIS-2 nicht nur als Belastung, sondern auch als Chance begriffen werden. Die Auseinandersetzung mit den Vorgaben und die Investition in Cybersicherheit bringen handfeste Vorteile mit sich:

• Verbesserte Resilienz: Unternehmen, die die NIS-2-Maßnahmen umsetzen, reduzieren aktiv das Risiko kostspieliger Cyberangriffe und Betriebsausfälle.
• Gestärkte Geschäftskontinuität: Die geforderten Business-Continuity-Maßnahmen helfen, den Betrieb auch in Krisenzeiten aufrechtzuerhalten.
• Erhöhtes Vertrauen: Ein nachweislich hohes Sicherheitsniveau stärkt das Vertrauen von Kunden, Partnern und Investoren.
• Wettbewerbsvorteile: Insbesondere in Lieferketten, die von NIS-2 regulierten Unternehmen abhängen, wird Compliance zum entscheidenden Faktor, um Geschäftsbeziehungen zu sichern oder neu zu gewinnen.
• Modernisierungsimpuls: NIS-2 kann als Katalysator dienen, um notwendige Schritte in der Digitalisierung und Prozessoptimierung anzustoßen und die IT-Infrastruktur auf einen modernen Stand zu bringen.

Für viele KMU wird die NIS-2-Compliance eine Modernisierung ihrer IT, ihrer Sicherheitsprozesse und möglicherweise auch ihrer Governance-Strukturen erzwingen. Anforderungen wie MFA, systematisches Risikomanagement oder formalisierte Notfallpläne mögen initial Kosten verursachen, führen aber langfristig zu effizienteren Abläufen und einem besseren Management operationeller Risiken. Diese durch Regulierung angestoßene Weiterentwicklung kann die Widerstandsfähigkeit des Unternehmens insgesamt stärken.

Darüber hinaus kann NIS-2 dazu beitragen, die Wettbewerbsbedingungen im Bereich Cybersicherheit anzugleichen. Indem gemeinsame Mindeststandards etabliert werden, wird Sicherheit zu einer Grundvoraussetzung für die Teilnahme am Markt in vielen Sektoren. Dies verringert den potenziellen Kostennachteil für Unternehmen, die bereits proaktiv in Sicherheit investiert haben, und hebt das Niveau für alle an, was letztlich der Sicherheit des gesamten digitalen Ökosystems zugutekommt.

Der Aufruf an alle deutschen KMU lautet daher: Warten Sie nicht auf das endgültige Inkrafttreten des deutschen Gesetzes. Beginnen Sie jetzt mit der Vorbereitung. Prüfen Sie Ihre Betroffenheit, analysieren Sie Ihre Risiken und nutzen Sie unseren „NIS-2 Betroffenheits-Check“ um einen klaren Ergebnisbericht inkl. eindeutigem Ergebnis (Ja/Nein) mit Begründung zu erhalten.

Die Investition in Cybersicherheit gemäß NIS-2 ist keine bloße Pflichterfüllung, sondern eine strategische Investition in die Zukunftsfähigkeit und Resilienz Ihres Unternehmens im digitalen Zeitalter.