NIS2 ab 2026: Diese Pflichten kommen auf KMU zu.

Die NIS2-Richtlinie (EU 2022/2555) ist die bislang weitreichendste Cybersicherheits-Regulierung der Europäischen Union - und sie betrifft deutlich mehr Unternehmen als ihre Vorgängerin. Viele mittelständische Betriebe gehen noch davon aus, dass „Cybersicherheits-Pflichten“ nur etwas für Großkonzerne oder kritische Infrastrukturen seien. Das ist ein Irrtum, der teuer werden kann.

Da die Umsetzung in nationales Recht in mehreren Mitgliedstaaten erst nach und nach greift, rückt 2026 für viele Unternehmen zum Jahr der tatsächlichen Anwendung. Wer jetzt nicht beginnt, gerät unter Zeitdruck. Dieser Beitrag fasst zusammen, wer betroffen ist, welche Pflichten konkret gelten und wo die Geschäftsleitung persönlich in der Verantwortung steht.

Wer ist von NIS2 betroffen?

NIS2 unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Maßgeblich sind dabei der Sektor sowie die Unternehmensgröße. Als Faustregel gilt: Mittlere Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz, die in einem der erfassten Sektoren tätig sind, fallen grundsätzlich in den Anwendungsbereich.

Zu den erfassten Sektoren gehören unter anderem:

- Energie, Verkehr, Banken und Finanzmarktinfrastruktur

- Gesundheitswesen, Trinkwasser und Abwasser

- digitale Infrastruktur, IT-Dienstleister und Rechenzentren

- Herstellung (u. a. von Maschinen, Fahrzeugen, Medizinprodukten)

- Post- und Kurierdienste, Abfallwirtschaft, Chemie und Lebensmittel

Wichtig: Auch wer selbst nicht direkt unter NIS2 fällt, kann über die Lieferkette in die Pflicht genommen werden. Betroffene Unternehmen müssen die Sicherheit ihrer Zulieferer bewerten - und reichen entsprechende Anforderungen weiter.

Die zentralen Pflichten nach Art. 21

Das Herzstück von NIS2 ist Art. 21: Betroffene Einrichtungen müssen „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“ ergreifen, um die Risiken für ihre Netz- und Informationssysteme zu beherrschen. Konkret verlangt die Richtlinie unter anderem:

- Konzepte zur Risikoanalyse und für die Sicherheit von Informationssystemen

- Verfahren zur Bewältigung von Sicherheitsvorfällen (Incident Response)

- Business Continuity, Backup-Management und Krisenmanagement

- Sicherheit in der Lieferkette und bei Dienstleistern

- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen sowie Schwachstellenmanagement

- Konzepte zur Bewertung der Wirksamkeit der Maßnahmen

- Schulungen, Cyberhygiene und Einsatz von Kryptografie und Verschlüsselung

- Zugriffskontrolle, Asset-Management und Multi-Faktor-Authentifizierung

Entscheidend ist der risikobasierte Ansatz: Die Maßnahmen müssen zum tatsächlichen Risiko des Unternehmens passen. Ein Standardpaket „von der Stange“ erfüllt die Anforderungen in der Regel nicht.

Melde- und Registrierungspflichten

NIS2 führt enge Meldefristen für erhebliche Sicherheitsvorfälle ein. Diese sind gestaffelt:

- Innerhalb von 24 Stunden: eine erste Frühwarnung an die zuständige Behörde bzw. das CSIRT;

- innerhalb von 72 Stunden: eine vollständigere Meldung des Vorfalls mit Erstbewertung;

- innerhalb eines Monats: ein Abschlussbericht mit Ursachen, Maßnahmen und Auswirkungen.

Hinzu kommt eine Registrierungspflicht: Betroffene Einrichtungen müssen sich bei der zuständigen nationalen Stelle registrieren und ihre Kontaktdaten aktuell halten. Wer diese Pflichten ignoriert, riskiert Sanktionen - unabhängig davon, ob es überhaupt zu einem Vorfall gekommen ist.

Haftung der Geschäftsleitung

Eine der wichtigsten Neuerungen: NIS2 nimmt die Leitungsebene ausdrücklich in die Pflicht. Die Geschäftsführung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und kann für Verstöße persönlich verantwortlich gemacht werden. Zudem sind regelmäßige Schulungen für die Leitungsorgane vorgesehen.

Die Bußgelder sind erheblich: Für wesentliche Einrichtungen drohen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Hinzu kommen mögliche Reputationsschäden und - in schweren Fällen - persönliche Konsequenzen für die Verantwortlichen.

Was Sie jetzt tun sollten

Auch wenn der nationale Umsetzungsstand je nach Land variiert, gibt es keinen Grund zu warten. Diese Schritte bringen Sie unabhängig vom genauen Inkrafttreten voran:

- Betroffenheit klären: Prüfen Sie anhand von Sektor und Größe, ob und wie NIS2 für Sie gilt.

- Ist-Stand erheben: Eine Gap-Analyse zeigt, welche der Art.-21-Maßnahmen bereits vorhanden sind und wo Lücken bestehen.

- Roadmap erstellen: Priorisieren Sie Maßnahmen nach Risiko und Aufwand, statt alles gleichzeitig anzugehen.

- Prozesse etablieren: Incident-Response, Meldewege und Backup-Strategien gehören dokumentiert und geübt.

- Leitungsebene einbinden: Sorgen Sie für die nötigen Beschlüsse und Schulungen auf Geschäftsführungsebene.

Fazit

NIS2 ist kein bürokratisches Ärgernis, sondern eine berechtigte Reaktion auf eine reale Bedrohungslage. Für KMU bedeutet das vor allem: rechtzeitig anfangen, strukturiert vorgehen und Sicherheit nicht nur dokumentieren, sondern technisch umsetzen. Wer früh beginnt, verteilt den Aufwand und vermeidet teure Last-Minute-Projekte - und ist im Ernstfall handlungsfähig.