Die NIS2-Richtlinie ist seit Oktober 2024 in deutsches Recht überführt — das NIS2UmsuCG verpflichtet jetzt deutlich mehr Unternehmen als die alte NIS1. Wer gedacht hat, NIS2 sei nur für Großkonzerne oder Betreiber kritischer Infrastruktur, liegt falsch.
Wer ist von NIS2 betroffen?
Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren fallen unter NIS2. Die betroffenen Branchen sind breiter als viele erwarten: Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur — aber auch Lebensmittelverarbeitung, Chemie, Maschinenbau und Post- und Kurierdienste. Hinzu kommen Lieferanten und Dienstleister kritischer Einrichtungen.
Grobe Schätzung: Rund 30.000 Unternehmen sind in Deutschland direkt betroffen. Viele davon sind Mittelständler, die sich bisher keine großen Gedanken über EU-Compliance gemacht haben. Das wird teuer — denn NIS2 hat Zähne: Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
Was fordert NIS2 konkret?
Die Kernanforderungen sind keine Rocket Science, aber sie müssen gelebt und dokumentiert werden:
- Risikomanagement: Regelmäßige Risikoanalyse und nachweisbare Sicherheitsmaßnahmen
- Incident Response: Meldepflicht bei erheblichen Vorfällen — 24 Stunden Erstmeldung ans BSI, 72 Stunden vollständige Meldung
- Business Continuity: Backup-Strategie, Krisenmanagement, Wiederherstellungskonzept
- Supply Chain Security: Sicherheitsanforderungen auch an Lieferanten und Dienstleister prüfen
- Schulungen: Regelmäßige Awareness-Maßnahmen für Mitarbeiter und Führungskräfte
- Verschlüsselung: Kryptografische Verfahren wo sinnvoll einsetzen
- Zugriffsmanagement: Multi-Faktor-Authentifizierung, privilegierte Zugriffe kontrollieren
NIS2 Checkliste für KMU — Was jetzt zu tun ist
Praktisch, ohne Berater-Kauderwelsch:
- Betroffenheit klären: Fällt Ihr Unternehmen unter NIS2? Sektorzugehörigkeit plus Schwellenwerte prüfen. Im Zweifel: Ja — und dann strukturiert vorgehen statt abwarten.
- Verantwortlichen benennen: Wer ist intern für NIS2-Compliance zuständig? Name, Rolle, Aufgaben festlegen. Ohne klare Verantwortung passiert nichts.
- Risikoanalyse durchführen: Welche IT-Systeme sind geschäftskritisch? Was passiert wenn sie ausfallen oder kompromittiert werden? Das muss schriftlich dokumentiert sein.
- Incident-Response-Plan erstellen: Was tun wenn Sie gehackt werden? Wer wird informiert — intern, BSI, Kunden? Wer macht was in den ersten Stunden? Ohne Plan verliert man wertvolle Zeit.
- Backups testen: Nicht nur haben — testen. Wann haben Sie zuletzt geprüft, ob Ihre Backups wirklich wiederherstellbar sind? Ransomware-Opfer mit kaputten Backups sind kein Einzelfall.
- MFA einschalten: Multi-Faktor-Authentifizierung für alle kritischen Systeme: VPN, E-Mail, Cloud-Zugänge, Admin-Interfaces. Das ist Low-Hanging-Fruit mit hohem Schutzeffekt.
- Mitarbeiter schulen: Phishing ist der häufigste Angriffsvektor. Eine jährliche Pflichtschulung reicht nicht — es braucht kurze, regelmäßige Maßnahmen die hängen bleiben.
Fazit
Die NIS2 Pflichten für KMU 2026 sind kein bürokratisches Ärgernis — sie sind eine Chance, die eigene Sicherheitslage endlich systematisch anzugehen. Wer jetzt anfängt, vermeidet Bußgelder und stärkt gleichzeitig seine Resilienz gegen echte Angriffe.
Sie wissen nicht, wo Sie anfangen sollen? AntiLeaks begleitet KMU durch die NIS2-Implementierung — pragmatisch, ohne unnötiges Beratervolumen. Erste Einschätzung kostenlos.