Warum der Mittelstand bei NIS-2 jetzt handeln muss NIS-2 macht Cybersicherheit zur Lizenz für die Marktteilnahme

Anbieter zum Thema

heyData UG

Fujitsu Technology Solutions GmbH

FAST LTA GmbH

FTAPI Software GmbH

Seit Dezember 2025 gilt NIS-2 ohne Übergangsfrist und erfasst auch mit­tel­stän­dische Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz. Die Geschäftsführung haftet persönlich für Versäumnisse. Gleich­zei­tig wird NIS-2-Konformität zum Eintrittsticket für regulierte Lieferketten, denn wer die Anforderungen nicht nachweisen kann, verliert Kunden und Ausschreibungen.

Lange fristete IT-Schutz ein Schattendasein – oft als bloße Kostenstelle oder defensive Reaktion auf punktuelle Bedrohungen verstanden. Doch NIS-2 transformiert die Security nun in eine Lizenz zur Marktteilnahme. Mit der Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2) verlässt die EU den bisherigen Pfad, lediglich isolierte Brancheninseln zu schützen. Stattdessen wird ein Gutteil der Wertschöpfungskette gegen systemische Risiken gehärtet. Für Un­ter­neh­men bedeutet dies einen Paradigmenwechsel: Cybersicherheit ist kein optionales IT-Feature mehr, das man nach Gutdünken skaliert, sondern ein integraler Bestandteil der Corporate Governance.

Security-Insider Podcast – Folge 112

NIS 2 braucht im Mittelstand pragmatische Ansätze

Gesetzlicher Rahmen und der Stichtag 2026

Nach über einjähriger Verzögerung hat der deutsche Gesetzgeber das NIS-2-Umsetzungsgesetz am 13. November 2025 verabschiedet; die Verkündung im Bundesgesetzblatt erfolgte am 5. Dezember 2025. Seit dem 6. Dezember 2025 sind die technischen und organisatorischen Maßnahmen gemäß § 30 BSIG-neu ohne Übergangsfrist für betroffene Einrichtungen verbindlich. Für die Unternehmensführung bedeutet dies: Das Abwarten auf weitere Konkretisierungen ist seit Beginn des Jahres 2026 keine Option mehr.

Ein zentraler Meilenstein war dabei die Registrierungspflicht im neuen BSI-Portal, das am 6. Januar 2026 freigeschaltet wurde. „Besonders wichtige Einrichtungen“ mussten diesen Prozess bis spätestens zum 6. März 2026 abgeschlossen haben. Wer diese Frist versäumt hat, begeht bereits eine Compliance-Verletzung, die mit Bußgeldern von bis zu 50.000 Euro geahndet werden kann.

Kurz vor Fristende am 6. März 2026

Run auf BSI-Registrierungsportal

Die Ausweitung der Sektoren und Schwellenwerte

Die NIS-2-Richtlinie bricht mit der traditionellen KRITIS-Logik, die sich primär auf Großunternehmen konzentrierte, ab. Der Geltungsbereich umfasst nun 18 Sektoren, darunter neu auch die Le­bens­mit­tel­in­dus­t­rie, das verarbeitende Gewerbe (Maschinenbau, Fahrzeugbau) sowie die Chemieindustrie. Die Reichweite der Regulierung ist massiv: In der Regel reichen 50 Mitarbeitende oder ein Jahresumsatz von 10 Millionen Euro aus, um in den Bereich der „wichtigen Einrichtungen“ zu fallen. Zusätzlich greift die Regulierung unabhängig von der Größe bei spezifischen Schlüsselfunktionen ein. Managed Service Providers (MSPs) werden aufgrund ihres privilegierten Zugriffs auf Kundensysteme grundsätzlich als Hochrisiko-Vektoren eingestuft. Ein lokaler IT-Dienstleister, der kritische Infrastrukturen wie Kliniken oder Behörden betreut, unterliegt damit den NIS-2-Pflichten, selbst wenn er die allgemeinen Mitarbeiterschwellenwerte nicht erreicht.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Persönliche Haftung und Managementpflichten

Ein Kernstück des NIS2UmsuCG ist die explizite Adressierung der Geschäftsleitung in § 38 BSIG-neu. Informationssicherheit ist keine Aufgabe mehr, die lediglich in die IT-Abteilung delegiert werden kann. Das Management trägt die Letztverantwortung für die Billigung und Überwachung der Risikomanagementmaßnahmen.

• Persönliche Haftung: Bei schuldhaften Verstößen haften Geschäftsführer oder Vorstände gegenüber der eigenen Gesellschaft für den entstandenen Schaden.

• Schulungspflicht: Die Geschäftsführung ist gesetzlich verpflichtet, regelmäßig – mindestens alle drei Jahre – an Cybersicherheits-Schulungen teilzunehmen.

• Bußgeldrahmen: Gegen die Unternehmen können Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Reaktionszeiten unter operativem Druck

Besondere Brisanz entfaltet das dreistufige Meldesystem bei erheblichen Sicherheitsvorfällen. Unternehmen müssen nun Prozesse etablieren, die extrem kurze Reaktionszeiten ermöglichen:

• 1. Frühwarnung: Eine erste Meldung an das BSI muss innerhalb von 24 Stunden nach Kenntnisnahme erfolgen.

• 2. Vorfallsbewertung: Innerhalb von 72 Stunden ist ein detaillierter Zwischenbericht fällig.

• 3. Abschlussbericht: Spätestens innerhalb eines Monats muss eine umfassende Analyse vorliegen.

Ohne vorbereitete Incident-Response-Strukturen ist die Einhaltung dieser gesetzlichen Fristen im Realfall kaum zu bewerkstelligen.

Weckruf für Unternehmen

NIS-2 – Nicht warten, machen!

NIS-2 als Bedingung für die Lieferfähigkeit

Über die rein gesetzlichen Pflichten hinaus etabliert die Richtlinie einen knallharten ökonomischen Selektionsprozess. Da regulierte Konzerne gesetzlich gezwungen sind, die Cyber-Resilienz ihrer gesamten Zulieferstruktur zu überwachen, wird die NIS-2-Konformität zum entscheidenden Faktor im Risk-Management des Einkaufs. Wer die geforderten Sicherheitsstandards nicht lückenlos nachweisen kann, riskiert nicht nur eine schlechtere Bewertung im Supplier-Audit, sondern den kompletten Verlust der Lieferberechtigung.

Cybersecurity wandelt sich von einer internen IT-Frage zu einem kritischen Verkaufsargument: Nur wer seine Hausaufgaben bei der Absicherung digitaler Prozesse gemacht hat, wird in Zukunft als vertrauenswürdiger Partner in hochgradig vernetzten Liefernetzen bestehen können. Die Konformität fungiert hierbei wie ein ‚Eintrittsticket‘ für globale Ausschreibungen.

Über den Autor: Martin Bastius ist Chief Legal Officer (CLO) und Co-Founder bei heyData. Als Experte für Datenschutz und IT-Recht begleitet er Unternehmen durch den Dschungel der europäischen Regulatorik. Sein Fokus liegt darauf, komplexe Gesetze wie NIS2 in pragmatische Prozesse zu übersetzen, die den Mittelstand widerstandsfähiger machen.

Security-Insider Podcast – Folge 114

So schaffen Sie Synergien zwischen CRA und NIS 2

Security-Insider Podcast – Folge 116

So ergänzt das KRITIS-Dachgesetz die NIS-2-Richtlinie

(ID:50827103)