Computer-Security durch die Cloud

In vielen mittelständischen Betrieben kam die erste konkrete Berührung mit NIS2 nicht aus Bonn, sondern aus dem Einkaufsportal eines Kunden: ein Lieferantenfragebogen mit dreißig Positionen zu Multi-Faktor-Authentifizierung, Patch-Zyklen, Backup-Konzept und Meldewegen, verbunden mit der Bitte, das Ganze bis zum Quartalsende zu bestätigen. Der Betrieb selbst liegt deutlich unter jeder Größenschwelle des Gesetzes. Die Anforderungen kommen trotzdem an.

Genau darin liegt der verbreitetste Denkfehler bei der Einordnung. Geprüft wird fast immer nur die eigene, unmittelbare Betroffenheit — Sektor nachschlagen, Beschäftigte zählen, Umsatz vergleichen, Haken dran. Die zweite, mittelbare Form der Betroffenheit entsteht nicht aus dem Gesetz, sondern aus dem Vertrag. Sie trifft deutlich mehr Unternehmen, hat keine Schwellenwerte und kommt ohne Ankündigung durch die Aufsicht.

Was sich am 6. Dezember 2025 geändert hat

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 13. November 2025 im Bundestag und am 21. November 2025 im Bundesrat beschlossen, am 5. Dezember 2025 verkündet und trat am Tag darauf in Kraft. Das teilt das Bundesamt für Sicherheit in der Informationstechnik in seiner allgemeinen NIS-2-FAQ mit. Es handelt sich um ein Artikelgesetz; der für Unternehmen maßgebliche Teil steht im neu gefassten BSI-Gesetz.

Die Größenordnung der Ausweitung nennt das BSI in seiner Pressemitteilung vom 5. Dezember 2025: Bislang waren rund 4.500 Organisationen durch das BSI-Gesetz reguliert, im Wesentlichen Betreiber Kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse. Künftig gehören etwa 29.500 Einrichtungen zum beaufsichtigten Kreis. Das ist mehr als eine Versechsfachung, und der Zuwachs besteht fast vollständig aus Unternehmen, die bisher keinerlei sektorspezifische IT-Sicherheitsregulierung kannten.

Entscheidend für die Praxis ist der Satz aus derselben Mitteilung, dass Unternehmen selbständig prüfen müssen, ob sie betroffen sind. Es gibt keinen Bescheid, keine Liste, keine Anmeldung durch die Behörde. Wer sich falsch einordnet, merkt es im Zweifel erst, wenn ein Vorfall meldepflichtig gewesen wäre.

Zwei Klassen, zwei Schwellen

§ 28 BSIG unterscheidet besonders wichtige und wichtige Einrichtungen. Als besonders wichtige Einrichtung gilt nach Absatz 1 Nummer 4, wer einer Einrichtungsart der Anlage 1 zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweist. Als wichtige Einrichtung gilt nach Absatz 2 Nummer 3, wer einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder Umsatz und Bilanzsumme von jeweils über 10 Millionen Euro erreicht.

Die Konstruktion hat eine Konsequenz, die häufig übersehen wird: Größe allein hebt niemanden aus der Anlage 2 in die höhere Klasse. Ein Maschinenbauer mit 900 Beschäftigten bleibt wichtige Einrichtung, weil der Maschinenbau in Anlage 2 steht. Umgekehrt genügen im Wassersektor der Anlage 1 bereits 50 Beschäftigte für die Einstufung als wichtige Einrichtung.

Für die Berechnung verweist § 28 Absatz 4 BSIG auf die KMU-Empfehlung 2003/361/EG der Europäischen Kommission. Zahlen von Partner- und verbundenen Unternehmen werden also grundsätzlich hinzugerechnet — mit einer wichtigen Ausnahme im zweiten Satz: Sie bleiben außen vor, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner IT-Systeme tatsächlich unabhängig ist. Konzerntöchter mit eigener IT und eigener Netzstruktur stehen damit anders da als solche, die an der Muttergesellschaft hängen.

Woran sich die Betroffenheit ablesen lässt

Die Anlagen zum BSIG sind der eigentliche Einstiegspunkt, nicht die Größe. Anlage 1 führt sieben Sektoren auf: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur sowie Weltraum. Anlage 2 nennt sieben weitere: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Unter das verarbeitende Gewerbe fallen dabei Medizinprodukte, Datenverarbeitungsgeräte, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstiger Fahrzeugbau — jeweils definiert über die NACE-Abteilungen 26 bis 30.

Die letzte Zeile ist die, um die es in den meisten Mittelstandsgesprächen tatsächlich geht. Sie beschreibt keinen Sonderfall, sondern den Regelfall.

Der blinde Fleck: mittelbare Betroffenheit

§ 30 Absatz 2 BSIG listet zehn Mindestmaßnahmen auf, die betroffene Einrichtungen umsetzen müssen. Nummer 4 lautet „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“. Diese Formulierung ist der Hebel, über den das Gesetz weit über seinen Adressatenkreis hinaus wirkt: Ein betroffener Kunde erfüllt seine eigene Pflicht nur, wenn er die Sicherheitsrisiken seiner direkten Lieferanten bewertet und steuert. Das Mittel dazu ist der Vertrag.

Rechtlich reicht die Pflicht nur bis zur ersten Stufe — „unmittelbare“ Anbieter. Praktisch reicht sie weiter, weil jeder Lieferant, der die Anforderungen unterschreibt, sie an seine eigenen unmittelbaren Anbieter weitergibt. Aus einer Norm für 29.500 Einrichtungen wird auf diesem Weg ein Anforderungsprofil für ein Vielfaches davon. Ein Fünf-Personen-Softwarehaus, das ein Werkzeug für einen Energieversorger betreut, wird nie eine wichtige Einrichtung sein und trotzdem nach Meldewegen, Zugriffskonzepten und Notfallplänen gefragt.

Der zweite Unterschied betrifft die Durchsetzung. Bei unmittelbarer Betroffenheit steht am Ende ein Bußgeldverfahren, das eine Aufsichtsbehörde erst einmal einleiten muss. Bei mittelbarer Betroffenheit steht am Ende die Nichtberücksichtigung im nächsten Vergabeverfahren oder eine nicht verlängerte Rahmenvereinbarung. Das ist der schnellere und der teurere Mechanismus.

Was in Verträgen tatsächlich ankommt

Weil es kein amtliches Muster gibt, orientieren sich Einkaufsabteilungen am Katalog des § 30 Absatz 2 BSIG. Das BSI stellt ausdrücklich keine Vertragsvorlagen für Vereinbarungen mit Zulieferern bereit, verweist aber auf sein Infopaket zur sicheren Lieferkette. Die Folge ist eine Wiedererkennbarkeit der Fragebögen: Risikoanalyse, Vorfallbewältigung, Backup und Wiederanlauf, Schwachstellenmanagement, Verschlüsselung, Zugriffskontrolle, Schulungen und Multi-Faktor-Authentifizierung tauchen fast überall in derselben Reihenfolge auf.

Ein einzelnes Zertifikat ersetzt diese Prüfung nicht. Das BSI stellt in seiner FAQ klar, dass es kein allgemeines Zertifikat zum Nachweis der Anforderungen gibt; eine ISO/IEC 27001 kann berücksichtigt werden, muss aber von jeder Einrichtung im Rahmen ihres eigenen Risikomanagements beurteilt werden. Für Lieferanten heißt das: Ein vorhandenes Zertifikat verkürzt die Diskussion, beendet sie aber nicht.

Hinzu kommen Fristen, die sich aus den Pflichten des Kunden ableiten. Wer binnen 24 Stunden eine Erstmeldung abgeben muss, kann sich keinen Dienstleister leisten, der Störungen erst am nächsten Werktag bestätigt. Meldeketten, Erreichbarkeiten und Eskalationszeiten wandern deshalb regelmäßig in die Verträge — häufig strenger formuliert, als das Gesetz es vom Kunden selbst verlangt.

Die drei Pflichten der unmittelbar Betroffenen

Für Unternehmen, die die Schwellen überschreiten, benennt das BSI drei zentrale Pflichten: sich registrieren, erhebliche Sicherheitsvorfälle melden und Risikomanagementmaßnahmen umsetzen und dokumentieren. Die Registrierung nach § 33 BSIG ist innerhalb von drei Monaten zu erledigen, nachdem ein Unternehmen erstmals als wichtige oder besonders wichtige Einrichtung gilt; spätere Änderungen der gemeldeten Angaben sind binnen zwei Wochen nachzuziehen. Sie läuft zweistufig über das Nutzerkonto „Mein Unternehmenskonto“ und das am 6. Januar 2026 freigeschaltete BSI-Portal.

Die Meldepflicht nach § 32 BSIG ist dreistufig: eine frühe Erstmeldung binnen 24 Stunden, eine bewertende Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser zweiten Meldung. Dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle. Die Dokumentationspflicht steht in § 30 Absatz 1 Satz 3 und ist eigenständig bußgeldbewehrt — wer Maßnahmen umsetzt, sie aber nicht belegen kann, erfüllt die Vorschrift nicht.

Geschäftsleitung: umsetzen, überwachen, schulen

§ 38 BSIG richtet sich unmittelbar an die Geschäftsleitungen. Absatz 1 verpflichtet sie, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Beides steht nebeneinander: Die Aufgabe darf delegiert werden, die Überwachung bleibt Leitungsaufgabe. Absatz 3 verlangt zusätzlich die regelmäßige Teilnahme an Schulungen, damit Risiken und Risikomanagementpraktiken überhaupt beurteilt werden können.

Die Haftungsregel in Absatz 2 fällt nüchterner aus, als viele Darstellungen aus der Entwurfsphase vermuten lassen. Geschäftsleitungen haften ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweils anwendbaren Gesellschaftsrechts; nach dem BSIG selbst haften sie nur, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Für eine GmbH bedeutet das eine Innenhaftung nach § 43 GmbHG, keine neue persönliche Außenhaftung gegenüber Dritten. Neu ist nicht der Haftungsmaßstab, sondern die klar benannte Sorgfaltspflicht, an der er sich messen lässt.

In sechs Schritten zur belastbaren Einordnung

1. Einrichtungsart bestimmen Nicht die Branche im Sprachgebrauch zählt, sondern die Einrichtungsart in Spalte D der Anlagen 1 und 2, häufig über eine NACE-Abteilung definiert.
2. Nebentätigkeiten prüfen § 28 Absatz 3 BSIG erlaubt, Geschäftstätigkeiten außer Betracht zu lassen, die gemessen an der Gesamttätigkeit vernachlässigbar sind.
3. Kennzahlen nach EU-Definition rechnen Beschäftigte, Umsatz und Bilanzsumme nach der KMU-Empfehlung 2003/361/EG, inklusive Partner- und verbundener Unternehmen, sofern keine IT-Unabhängigkeit vorliegt.
4. Betroffenheitsprüfung des BSI durchlaufen Das Werkzeug ist unverbindlich, aber der veröffentlichte Entscheidungsbaum macht nachvollziehbar, welche Antwort welches Ergebnis auslöst.
5. Ergebnis dokumentieren Auch ein negatives Ergebnis gehört mit Datum, Datengrundlage und Begründung in die Akte — es ist die Antwort auf die nächste Kundenanfrage.
6. Kundenliste gegenprüfen Für jeden größeren Kunden festhalten, ob er selbst betroffen sein dürfte. Daraus ergibt sich die mittelbare Betroffenheit, und zwar deutlich früher als aus dem ersten Fragebogen.

Zwischen Feststellung und Umsetzung

Die Einordnung ist an einem Nachmittag erledigt. Die zehn Maßnahmen des § 30 Absatz 2 sind es nicht: Sie greifen in Identitätsverwaltung, Geräteinventar, Berechtigungen, Protokollierung und Wiederanlauf ein — also in Bereiche, die in gewachsenen Mittelstands-IT-Landschaften selten dokumentiert vorliegen. Immerhin ist der Maßstab beweglich. Nach § 30 Absatz 1 Satz 2 sind bei der Verhältnismäßigkeit ausdrücklich Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Vorfällen zu berücksichtigen.

Der Aufwand trifft dabei eine Gruppe, die ohnehin exponiert ist. Der BSI-Lagebericht 2025 hält für den Zeitraum vom 1. Juli 2024 bis 30. Juni 2025 fest, dass sich rund 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen richteten, denen häufig Mittel und Wissen für den eigenständigen Schutz fehlen. Täglich wurden im selben Zeitraum durchschnittlich 119 neue Schwachstellen bekannt, ein Zuwachs von rund 24 Prozent.

Wo eigenes Sicherheitspersonal fehlt, verlagert sich die NIS2-Betroffenheit im Mittelstand deshalb schnell zur Frage nach dem Dienstleister. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004); der Anbieter richtet sich an Unternehmen mit 20 bis 250 Mitarbeitenden und bietet neben dem laufenden Betrieb auch Unterstützung bei der NIS2-Umsetzung an. Für Konzerne mit eigener großer IT-Abteilung ist ein solches Modell nicht gedacht.

Was die Prüfung nicht leistet

Die Betroffenheitsprüfung des BSI ist ein Orientierungswerkzeug und ausdrücklich unverbindlich. Das BSI weist zudem darauf hin, dass es weder Einzelfallberatungen leisten noch Rechtsberatung durchführen darf. Bei Grenzfällen — Mischkonzernen, Holdingstrukturen, Betrieben an der Schwelle zwischen zwei Anlagen — bleibt die rechtliche Bewertung Sache des Unternehmens und seiner Berater.

Ebenfalls klar ist die Finanzierungsfrage beantwortet: Eine finanzielle Förderung des Bundes zur Umsetzung des NIS-2-Umsetzungsgesetzes ist laut BSI-FAQ derzeit nicht vorgesehen. Und ein negatives Prüfergebnis ist kein Freibrief, sondern ein Zwischenstand. Es gilt für die heutige Größe, das heutige Portfolio und die heutigen Anlagen — und für keinen der drei Punkte gibt es eine Bestandsgarantie.

Häufige Fragen

Ab welcher Größe gilt NIS2 für ein mittelständisches Unternehmen?

Ab 50 Beschäftigten oder über 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme gilt ein Unternehmen als wichtige Einrichtung, sofern es einer Einrichtungsart der Anlagen 1 oder 2 des BSIG zuzuordnen ist. Ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme wird daraus in den Sektoren der Anlage 1 eine besonders wichtige Einrichtung. Ohne Zugehörigkeit zu einer Einrichtungsart löst die Größe allein keine Pflicht aus.

Ist ein Zulieferer betroffen, wenn sein Kunde unter NIS2 fällt?

Gesetzlich nicht, vertraglich in aller Regel schon. § 30 Absatz 2 Nummer 4 BSIG verpflichtet betroffene Einrichtungen zur Sicherheit ihrer Lieferkette einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern. Diese Pflicht erfüllen Kunden über Lieferantenfragebögen, Sicherheitsanlagen zu Verträgen und Auditrechte. Ein Zulieferer wird dadurch nicht zum Adressaten des BSIG, trägt die Anforderungen aber als Vertragspflicht.

Welche Sektoren erfasst das BSI-Gesetz?

Anlage 1 nennt Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 nennt Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Maßgeblich ist nicht der Sektorname, sondern die konkrete Einrichtungsart in Spalte D der Anlagen, die vielfach über NACE-Abteilungen definiert ist.

Welche Fristen gelten für Registrierung und Meldung?

Die Registrierung beim BSI muss nach § 33 BSIG spätestens drei Monate nach Eintritt der Betroffenheit erfolgen, Änderungen der Angaben sind binnen zwei Wochen zu übermitteln. Für erhebliche Sicherheitsvorfälle gilt nach § 32 BSIG eine dreistufige Meldung: Erstmeldung binnen 24 Stunden, bewertende Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der zweiten Meldung. Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an deren Stelle.

Haftet die Geschäftsführung persönlich für NIS2-Verstöße?

§ 38 Absatz 2 BSIG regelt eine Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden, und zwar nach den Regeln des jeweils anwendbaren Gesellschaftsrechts. Nach dem BSIG selbst wird nur gehaftet, wenn das Gesellschaftsrecht keine eigene Haftungsregelung enthält. Für die GmbH bleibt es damit bei der Innenhaftung nach § 43 GmbHG. Zusätzlich schreibt § 38 Absatz 3 BSIG regelmäßige Schulungen der Geschäftsleitung vor.