Blog · 9. Oktober 2026
NIS2 betrifft Sie vielleicht doch: Der Check ab 50 Mitarbeitern
„NIS2? Das ist doch nur was für Stadtwerke und Krankenhäuser.“ Für viele Betriebe stimmt das. Für einen Maschinenbauer mit 60 Mitarbeitern oder einen IT-Dienstleister aus der Region möglicherweise nicht – und das Gesetz gilt bereits seit Dezember 2025.
„NIS2? Das ist doch nur was für Stadtwerke und Krankenhäuser.“ Diesen Satz höre ich von Geschäftsführern oft. Bei vielen stimmt er. Bei manchen nicht. Ein Maschinenbauer mit 60 Mitarbeitern, ein Lebensmittelhersteller aus der Region, ein IT-Dienstleister, der für Kunden Server betreut: Sie alle können unter das neue Gesetz fallen, ohne es zu wissen.
Was seit Dezember 2025 gilt
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und hat das BSI-Gesetz grundlegend neu gefasst. Eine allgemeine Übergangsfrist für die Pflichten gibt es nicht. Was im Gesetz steht, gilt seitdem. Das BSI geht von rund 29.500 betroffenen Unternehmen in Deutschland aus. Ein großer Teil davon hatte vorher mit IT-Sicherheitsrecht nichts zu tun.
Der Check in zwei Schritten
Schritt eins ist die Größe. Als wichtige Einrichtung gilt grob, wer mindestens 50 Beschäftigte hat oder mehr als 10 Mio. Euro Jahresumsatz und zugleich mehr als 10 Mio. Euro Bilanzsumme. Ab 250 Beschäftigten oder deutlich höheren Finanzwerten spricht das Gesetz von besonders wichtigen Einrichtungen. Gezählt wird nach der EU-Definition für kleine und mittlere Unternehmen. Verbundene Unternehmen können also mitzählen, eine typische Falle in Firmengruppen.
Schritt zwei ist der Sektor. Die Größe allein reicht nicht. Sie müssen zusätzlich in einem der Sektoren tätig sein, die in den Anlagen zum BSI-Gesetz aufgeführt sind. Dazu gehören etwa Energie, Verkehr, Gesundheitswesen, Wasser und Abwasser, digitale Infrastruktur und IT-Dienstleistungen für andere Unternehmen, zum Beispiel Managed Services. In der zweiten Gruppe stehen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Produktion und Vertrieb von Lebensmitteln, Forschung sowie Teile des verarbeitenden Gewerbes wie Maschinenbau, Fahrzeugbau, elektrische Ausrüstung und Medizinprodukte.
Ein Malerbetrieb mit 80 Mitarbeitern ist danach in aller Regel nicht betroffen. Ein Zulieferer für Fahrzeugteile mit 55 Mitarbeitern sehr wahrscheinlich schon. Entscheidend ist, was Ihr Unternehmen tatsächlich tut, nicht wie es im Handelsregister heißt. Das BSI bietet online eine Betroffenheitsprüfung an, die einen ersten Eindruck gibt.
Was Betroffene tun müssen
Registrieren. Betroffene Unternehmen müssen sich beim BSI registrieren, gesetzlich innerhalb von drei Monaten, also bis zum 6. März 2026. Weil bis dahin nur ein Teil registriert war, hat das BSI Nachmeldungen noch bis Ende Juli 2026 toleriert. Auch diese Kulanz ist vorbei. Wer erst jetzt merkt, dass er betroffen ist, sollte die Registrierung umgehend nachholen.
Melden. Erhebliche Sicherheitsvorfälle gehen in drei Stufen ans BSI: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung mit erster Bewertung binnen 72 Stunden und ein Abschlussbericht nach einem Monat.
Absichern. Das Gesetz verlangt angemessene Maßnahmen zum Risikomanagement, etwa für Backups, Zugriffsrechte, Notfallmanagement und die Sicherheit in der Lieferkette.
Chefsache. Die Geschäftsleitung muss diese Maßnahmen billigen und ihre Umsetzung überwachen. Sie muss selbst regelmäßig an Schulungen teilnehmen, delegieren geht hier nicht. Und wer seine Pflichten verletzt, kann gegenüber der eigenen Gesellschaft haften.
Wo NIS2 und Datenschutz zusammenkommen
Ein Ransomware-Angriff legt die Systeme lahm und verschlüsselt auch die Kundendatenbank. Für ein betroffenes Unternehmen ist das häufig zugleich ein Sicherheitsvorfall nach NIS2 und eine Datenpanne nach DSGVO. Das bedeutet zwei Meldungen an zwei Stellen: binnen 24 Stunden ans BSI, binnen 72 Stunden an die Datenschutzaufsicht. Die EU will das mit einer zentralen Meldestelle im Digital Omnibus vereinfachen, aber das ist bislang nur ein Vorschlag.
Mein Rat: ein gemeinsamer Notfallplan, nicht zwei. Wer einen Vorfall bewertet, prüft im selben Schritt beide Meldepflichten. Vieles, was Sie für die DSGVO schon haben, etwa Ihr Verzeichnis der Verarbeitungstätigkeiten, Ihre technischen und organisatorischen Maßnahmen oder Ihr Pannenregister, ist ein guter Startpunkt für NIS2.
Fazit
Die meisten Handwerksbetriebe und Kanzleien sind von NIS2 nicht betroffen, und niemand sollte sich in Panik versetzen lassen. Größere Praxen und medizinische Versorgungszentren sollten wegen des Sektors Gesundheit allerdings genauer hinschauen. Und ab 50 Mitarbeitern in den genannten Branchen lohnt sich ein ehrlicher Check. Er dauert keinen Tag und sollte dokumentiert werden, auch wenn das Ergebnis „nicht betroffen“ lautet. Wenn Sie den Check für Ihren Betrieb einmal gemeinsam durchgehen möchten, schreiben Sie mir. Ich melde mich innerhalb von 24 Stunden.
Stand: Oktober 2026.