Die Frage kommt meistens nicht vom Unternehmen selbst. Sie kommt von einem Kunden, der einen Fragebogen schickt. Oder von der Versicherung. Oder vom Steuerberater, der beim Jahresabschluss beiläufig fragt, ob man sich mit NIS2 schon beschäftigt habe. Und dann sitzt ein Geschäftsführer mit dreißig Mitarbeitern vor einem Begriff, von dem er nur weiß, dass er teuer klingt.
Vorab, damit wir uns nicht missverstehen: Ob Ihr Unternehmen unter NIS2 fällt, ist am Ende eine Rechtsfrage, und die beantwortet Ihr Anwalt oder das Prüfwerkzeug des BSI. Vier Fragen reichen aber, um ein Gefühl dafür zu bekommen, ob Sie sich damit beschäftigen müssen – oder ob Sie das Thema mit gutem Gewissen zur Seite legen können.
Worum es überhaupt geht
NIS2 ist eine europäische Richtlinie, die in Deutschland seit Ende 2025 als Gesetz gilt. Sie verpflichtet Unternehmen in bestimmten Branchen ab einer bestimmten Größe, ihre IT-Sicherheit nachweisbar in Ordnung zu bringen: Risiken bewerten, Maßnahmen umsetzen, Vorfälle melden, die Geschäftsführung in die Verantwortung nehmen. Neu daran ist nicht, was verlangt wird. Neu ist, dass es verlangt wird – und dass es Konsequenzen hat, wenn nicht.
Die Schätzungen, wie viele Unternehmen in Deutschland betroffen sind, liegen bei rund dreißigtausend. Das klingt nach viel und ist es auch. Die meisten davon haben keine IT-Abteilung.
Vier Fragen
1. In welcher Branche sind Sie?
NIS2 nennt Sektoren. Einige davon erwarten Sie: Energie, Wasser, Gesundheit, Verkehr, Banken, digitale Infrastruktur. Andere überraschen: verarbeitendes Gewerbe in bestimmten Bereichen, Lebensmittelproduktion, Entsorgung, Chemie, Post- und Kurierdienste, Hersteller von Maschinen, Fahrzeugen oder elektronischen Geräten. Wenn Ihre Branche in keiner Liste auftaucht, ist die Wahrscheinlichkeit hoch, dass Sie nicht direkt betroffen sind. Wenn sie auftaucht, geht es weiter mit Frage 2.
2. Wie groß sind Sie?
Die Grenze liegt bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz und Bilanzsumme. Darunter fallen Sie in den meisten Sektoren nicht unter das Gesetz, auch wenn die Branche stimmt. Es gibt Ausnahmen, bei denen die Größe keine Rolle spielt – etwa bestimmte Anbieter digitaler Dienste oder Unternehmen, die als einziger Anbieter einer wichtigen Leistung gelten. Das ist selten, aber es kommt vor.
3. Wer sind Ihre Kunden?
Hier wird es für viele kleine Unternehmen relevant, die bei Frage 2 aufgeatmet haben. NIS2 verpflichtet betroffene Unternehmen, auch ihre Lieferkette abzusichern. Wenn Ihr größter Kunde ein Energieversorger, ein Krankenhaus oder ein Automobilzulieferer ist, wird der früher oder später von Ihnen wissen wollen, wie es um Ihre IT-Sicherheit steht. Nicht, weil das Gesetz Sie meint. Sondern weil es ihn meint, und Sie sein Risiko sind. Der Fragebogen, der dann kommt, sieht aus wie eine NIS2-Prüfung. Nur ohne Behörde.
4. Könnten Sie es nachweisen?
Diese Frage steht nicht im Gesetz, aber sie entscheidet in der Praxis über alles. Angenommen, Sie sind betroffen oder Ihr Kunde behandelt Sie so. Könnten Sie heute zeigen, dass Ihr Backup getestet ist, wer Zugriff auf welche Systeme hat, was bei einem Vorfall passiert und wer ihn meldet? Mit Dokument, nicht mit „das haben wir im Griff“? Wenn nicht, ist das die eigentliche Baustelle, unabhängig davon, wie die ersten drei Fragen ausgegangen sind.
Was das für die drei häufigsten Fälle heißt
Branche nicht dabei, unter 50 Mitarbeiter, Kunden ohne NIS2-Bezug. Sie sind draußen. Legen Sie das Thema zur Seite und kümmern Sie sich um Backup, Zugänge und Updates, weil das ohnehin ansteht. Der 15-Punkte-Selbstcheck reicht dafür als Einstieg.
Branche nicht dabei, aber ein großer Kunde fragt. Der häufigste Fall bei unseren Kunden. Sie müssen dem Gesetz nicht genügen, aber dem Fragebogen. Ein strukturierter IT-Sicherheitscheck entlang der Prüfbereiche der DIN SPEC 27076 liefert genau die Antworten und die Dokumentation, die der Kunde sehen will. Wir haben erlebt, dass allein die Vorlage eines solchen Berichts die Rückfragen beendet hat.
Branche dabei und über der Größenschwelle. Dann ist das keine Frage mehr. Lassen Sie die Betroffenheit anwaltlich prüfen, registrieren Sie sich fristgerecht beim BSI, und bauen Sie die technische Seite mit jemandem auf, der das schon gemacht hat. Auch hier ist der Sicherheitscheck der Anfang, aber eben nur der.
Der Fehler, den wir am häufigsten sehen
Unternehmen, die vermuten, betroffen zu sein, und deshalb gar nichts tun, weil das Ganze zu groß wirkt. Und Unternehmen, die vermuten, nicht betroffen zu sein, und deshalb gar nichts tun, weil es sie ja nicht betrifft. Beide sitzen in derselben Lage: ohne getestetes Backup, ohne Übersicht über die Zugänge, ohne Plan für den Ernstfall. NIS2 ändert daran nichts. Es macht es nur für manche zur Pflicht.
Wenn Sie nach den vier Fragen unsicher sind, sprechen wir das im Erstgespräch durch. Wir sagen Ihnen, was technisch fehlt und was nicht. Die juristische Einordnung bleibt beim Anwalt – das ist keine Bescheidenheit, sondern die richtige Arbeitsteilung.
Wie das Prüfverfahren im Detail aufgebaut ist, erklären wir auf der Seite DIN SPEC 27076.
Häufige Fragen
Wir haben 45 Mitarbeiter. Sind wir raus?
Wahrscheinlich, aber nicht sicher. Die Schwelle liegt bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz und Bilanzsumme – und es gibt Sektoren, in denen die Größe keine Rolle spielt. Außerdem kann ein Kunde, der selbst betroffen ist, Ihnen vertraglich dieselben Pflichten weiterreichen. Prüfen Sie es, statt es anzunehmen.
Was passiert, wenn wir betroffen sind und nichts tun?
Registrierungspflicht beim BSI, Meldepflichten bei Vorfällen, Nachweispflichten und Bußgelder – und persönliche Verantwortung der Geschäftsführung. Wie hoch, und was genau in Ihrem Fall gilt, beantwortet Ihnen ein Anwalt. Wir beantworten die technische Seite.
Reicht ein Zertifikat, um NIS2 abzuhaken?
Nein, weil NIS2 kein Zertifikat verlangt, sondern Maßnahmen und den Nachweis, dass sie umgesetzt sind. Ein strukturierter Sicherheitscheck ist dafür ein guter Anfang, und die Dokumentation daraus ist genau das, was Sie im Ernstfall vorzeigen müssen.
Wir sind nicht betroffen. Können wir das Thema ignorieren?
Das Gesetz ja. Die Maßnahmen dahinter nicht unbedingt – Backup, Zugänge, Notfallplan sind dieselben Dinge, die jedes Unternehmen ohnehin haben sollte. NIS2 hat sie nur für manche zur Pflicht gemacht.