NIS2-Richtlinie: Die Checkliste für den Mittelstand

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, das das BSI-Gesetz neu fasst. IT-Sicherheit ist für viele Unternehmen kein “Nice-to-have” mehr, sondern eine gesetzliche Pflicht, und die Geschäftsleitung muss sie selbst umsetzen und überwachen. Doch wo fängt man an?

Hinweis: Das ist eine Einordnung, keine Rechtsberatung. Rechtsstand 13.10.2026, Quellen: BSI zu NIS-2-regulierten Unternehmen und BSI-Gesetz im Gesetzestext, abgerufen am 13.10.2026.

Hier ist eine grobe Checkliste für den Start:

1. Betroffenheit prüfen

Das Gesetz gilt für “besonders wichtige” und “wichtige” Einrichtungen. Zwei Dinge müssen zusammenkommen:

• Sie sind in einem Sektor der Anlagen 1 und 2 des BSI-Gesetzes tätig (zum Beispiel Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, Lebensmittel, Chemie, verarbeitendes Gewerbe).
• Sie erreichen die Größenschwelle der EU-Empfehlung 2003/361/EG: grob ein mittleres Unternehmen, also ab 50 Beschäftigten oder mit mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Beschäftigte und Umsatz zählen für das gesamte Unternehmen einschließlich verbundener Unternehmen.

Auch wenn Sie selbst nicht betroffen sind, können betroffene Kunden Sicherheitsanforderungen an Sie weitergeben (“Supply Chain Security”). Das BSI bietet eine Betroffenheitsprüfung an; das Ergebnis ist eine Orientierung und rechtlich nicht bindend.

2. Beim BSI registrieren

Wer betroffen ist, muss sich spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren. Das geht in zwei Schritten: zuerst über “Mein Unternehmenskonto”, dann im BSI-Portal, dafür braucht es ein ELSTER-Organisationszertifikat. Für Unternehmen, die schon bei Inkrafttreten betroffen waren, ist die Frist abgelaufen; wer sich noch nicht registriert hat, soll das laut BSI umgehend nachholen.

3. Risikoanalyse durchführen

Sie müssen Ihre Assets kennen. Welche Daten sind kritisch? Was passiert, wenn die Produktion 3 Tage stillsteht? Ohne Inventur kein Schutz.

4. Maßnahmenplan (Die “Basishygiene”)

Das Gesetz verlangt geeignete, verhältnismäßige und wirksame Maßnahmen in mindestens zehn Bereichen (§ 30 BSIG), die Sie auch dokumentieren müssen. Zum Start gehören zum Beispiel:

• Multi-Faktor-Authentifizierung (MFA) überall aktivieren.
• Patch-Management: Updates automatisiert einspielen.
• Offline-Backups: Schutz vor Ransomware.
• Verschlüsselung von Festplatten und E-Mails.
• Notfallplan: Wissen alle, wen sie anrufen müssen, wenn am Sonntag der Bildschirm rot blinkt?

5. Meldewege einrichten

Erhebliche Sicherheitsvorfälle melden Sie an das BSI: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens nach einem Monat. Haben Sie den Kontakt und den Prozess parat?

6. Geschäftsleitung einbinden

Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet gegenüber der Einrichtung, wenn sie ihre Pflichten schuldhaft verletzt (§ 38 BSIG).

Fazit: NIS2 ist ein bürokratischer Kraftakt, aber er erhöht die Resilienz Ihres Unternehmens massiv. Bei Verstößen gegen die Risikomanagement- und Meldepflichten sind Bußgelder bis zu 10 Mio. € (besonders wichtige Einrichtungen) beziehungsweise 7 Mio. € (wichtige Einrichtungen) möglich; Prozentgrenzen vom Umsatz gelten erst bei einem Gesamtumsatz über 500 Mio. € (§ 65 BSIG). Sehen Sie NIS2 als Investition in Ihren Fortbestand.

Weiterlesen

Eine ausführlichere Liste für den Alltag finden Sie in der IT-Sicherheits-Checkliste für KMU, den Notfallplan beschreibt der Ratgeber IT-Notfallplan für KMU. Was ich bei NIS2 für kleine und mittlere Betriebe übernehme, steht auf der Seite NIS-2-Compliance; bei Fragen schreiben Sie mir über das Kontaktformular.