NIS2 und IT-Sicherheit: Was mittelständische Unternehmen wirklich betrifft

NIS2 betrifft nicht jeden Mittelständler direkt. Der Schnellcheck zeigt, ob Sie betroffen sind und was für Ihre IT-Sicherheit trotzdem zählt.

NIS2 ist seit Monaten DAS IT-Sicherheitsthema in Deutschland. Kaum ein Wirtschaftsmagazin, das nicht darüber berichtet, kaum ein IT-Dienstleister, der nicht damit wirbt. Aber betrifft die Richtlinie Ihr Unternehmen überhaupt?

Für die meisten kleinen und mittleren Unternehmen in Ostfriesland lautet die ehrliche Antwort: wahrscheinlich nicht direkt. Trotzdem gibt es gute Gründe, jetzt einen genauen Blick auf Ihre IT-Sicherheit zu werfen, gerade wenn KI-Systeme im Einsatz sind.

Rechtlicher Hinweis vorab: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Stand: Oktober 2026.

Was ist NIS2, und was hat sich geändert?

NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die Richtlinie (EU) 2022/2555. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Das Gesetz wurde am 13. November 2025 vom Bundestag beschlossen, am 21. November 2025 vom Bundesrat bestätigt und ist seit dem 6. Dezember 2025 in Kraft. Es hat das bisherige BSI-Gesetz (BSIG) grundlegend novelliert.

Gegenüber der alten Rechtslage hat sich einiges geändert: Der Kreis der betroffenen Unternehmen wurde deutlich erweitert, von einigen Hundert Betreibern kritischer Infrastrukturen auf schätzungsweise rund 29.500 Unternehmen in Deutschland. Neu ist auch die persönliche Verantwortung der Geschäftsleitung für die Erfüllung der Cybersicherheitspflichten, diese Aufgabe lässt sich nicht einfach wegdelegieren.

Wichtig für das Verständnis: Das Gesetz unterscheidet zwei Kategorien betroffener Unternehmen. Die korrekten Begriffe aus dem BSI-Gesetz lauten "besonders wichtige Einrichtungen" und "wichtige Einrichtungen". Beide Kategorien sind erklärungsbedürftig, dazu gleich mehr im Schnellcheck.

Der 3-Fragen-Schnellcheck: Bin ich betroffen?

Ob Ihr Unternehmen unter das BSIG fällt, entscheidet sich anhand von zwei Kriterien, die beide gleichzeitig zutreffen müssen: der Branche und der Unternehmensgröße.

Frage 1: Gehört Ihr Unternehmen zu einem regulierten Sektor?

Das BSIG listet die betroffenen Sektoren in zwei Anlagen. Anlage 1 umfasst Sektoren mit hoher Kritikalität, etwa Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur und öffentliche Verwaltung. Anlage 2 umfasst weitere kritische Sektoren, darunter Post- und Kurierdienste, Abfallbewirtschaftung, Lebensmittelproduktion sowie Teile des verarbeitenden Gewerbes wie Maschinenbau, Kraftfahrzeugbau und die Herstellung elektrischer Ausrüstungen.

Für Ostfriesland heißt das konkret: Reine Handwerksbetriebe, der lokale Einzelhandel oder klassische Dienstleistungsunternehmen fallen in aller Regel durch dieses Raster. Zulieferbetriebe für Schiffbau, Maschinenbau oder Energieanlagen sollten dagegen genauer hinschauen.

Frage 2: Erreichen Sie die Größenschwelle nach § 28 BSIG?

Auch innerhalb eines regulierten Sektors sind nicht automatisch alle Unternehmen betroffen. Als "wichtige Einrichtung" gilt, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz von mehr als 10 Millionen Euro bei gleichzeitig mehr als 10 Millionen Euro Bilanzsumme erzielt. Als "besonders wichtige Einrichtung" gilt in den Sektoren der Anlage 1, wer mindestens 250 Beschäftigte hat oder einen Jahresumsatz von mehr als 50 Millionen Euro bei einer Bilanzsumme von mehr als 43 Millionen Euro erreicht.

Frage 3: Sind Sie vertraglich als Zulieferer betroffen?

Selbst wenn Ihr Unternehmen die Schwellenwerte nicht erreicht, kann NIS2 Sie indirekt betreffen: Wenn Ihre Kunden selbst NIS2-pflichtig sind, verlangen sie zunehmend vertragliche Nachweise zur IT-Sicherheit von ihren Zulieferern. Das ist keine eigene gesetzliche NIS2-Pflicht, aber ein wachsender wirtschaftlicher Druck entlang der Lieferkette.

Kurz zusammengefasst: Für den überwiegenden Teil der kleinen und mittleren Unternehmen in Ostfriesland, die keinem der genannten Sektoren angehören oder deutlich unter den Größenschwellen liegen, besteht kein direkter Handlungsbedarf nach BSIG. Wer unsicher ist, sollte die eigene Betroffenheit dennoch dokumentiert prüfen, allein schon, weil sich Sektorzuordnung und Unternehmensgröße mit der Zeit ändern können.

Die ursprüngliche Registrierungsfrist beim BSI endete am 6. März 2026, das BSI hatte zusätzlich eine Nachmeldephase bis zum 31. Juli 2026 eingeräumt. Beide Fristen sind inzwischen abgelaufen. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen: Bei versäumter Registrierung drohen nach § 65 BSIG Bußgelder bis 500.000 Euro, bei sonstigen inhaltlichen Verstößen bis zu 7 Millionen Euro für wichtige und bis zu 10 Millionen Euro für besonders wichtige Einrichtungen.

Zwei Beispiele aus der Praxis

Ein Bäckereibetrieb mit 35 Beschäftigten in Norden verarbeitet und verkauft Lebensmittel, ein Sektor aus Anlage 2 des BSIG. Weil die Zahl der Beschäftigten unter 50 liegt und weder Jahresumsatz noch Bilanzsumme die Schwelle von 10 Millionen Euro erreichen, ist der Betrieb keine "wichtige Einrichtung" im Sinne des BSIG, trotz des betroffenen Sektors. Direkter Handlungsbedarf nach NIS2: keiner.

Ein Zulieferbetrieb für die maritime Industrie mit 80 Beschäftigten und knapp 14 Millionen Euro Jahresumsatz in der Region Emden fällt dagegen unter den Sektor Verarbeitendes Gewerbe (Anlage 2) und überschreitet gleichzeitig die Größenschwelle. Er gilt als "wichtige Einrichtung" und muss die Pflichten aus dem BSIG erfüllen, etwa Risikomanagementmaßnahmen umsetzen und Sicherheitsvorfälle melden. (Beide Beispiele anonymisiert, Kennzahlen gerundet.)

Der Unterschied zeigt: Pauschale Aussagen wie "Handwerk ist nie betroffen" greifen zu kurz. Es lohnt sich, die eigene Situation anhand der zwei Kriterien, Sektor und Größe, konkret durchzurechnen, statt sich auf Vermutungen zu verlassen.

Warum IT-Sicherheit trotzdem für jedes Unternehmen wichtig ist

Auch ohne NIS2-Pflicht gibt es vier gute Gründe, jetzt in IT-Sicherheit zu investieren. Als AI Officer unterstütze ich KMU dabei, NIS2 und KI-Sicherheit zusammen zu denken, statt sie als zwei getrennte Baustellen zu behandeln.

KI-Systeme schaffen neue Angriffsflächen. Jedes KI-Tool, das Sie einsetzen, ist auch ein neuer Zugangspunkt zu Ihren Daten. Zugangsdaten für KI-Dienste werden ebenso zum Ziel von Phishing-Angriffen wie klassische E-Mail-Konten, oft sogar attraktiver, weil sie Zugriff auf große Mengen an Unternehmensdaten bieten können.

Lieferketten-Sicherheit wird zur Eintrittskarte. Wie oben erwähnt: Wenn Ihre Kunden NIS2-pflichtig sind, verlangen sie zunehmend Nachweise von ihren Zulieferern. Gute IT-Sicherheit wird so zum Wettbewerbsvorteil bei Ausschreibungen und Vertragsverhandlungen.

Die DSGVO gilt ohnehin, unabhängig von NIS2. Sobald Sie personenbezogene Daten verarbeiten, und das tut praktisch jedes Unternehmen, gelten die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO unverändert weiter. Mehr dazu in unserem Beitrag zu DSGVO und KI.

Cyberangriffe auf KMU nehmen spürbar zu. Die jährlichen Berichte des BSI zur Lage der IT-Sicherheit in Deutschland zeigen seit Jahren einen klaren Trend: Kleine und mittlere Unternehmen sind nicht seltener betroffen als Großkonzerne, sie sind oft nur schlechter darauf vorbereitet, weil ihnen eine eigene IT-Sicherheitsabteilung fehlt.

Fünf IT-Sicherheitsmaßnahmen, die jedes KMU umsetzen sollte

Die folgenden Kostenangaben sind unverbindliche Beispielwerte aus der Beratungspraxis. Die tatsächlichen Kosten hängen von Anbieter, Unternehmensgröße und bestehender Infrastruktur ab.

1. Mehr-Faktor-Authentifizierung (MFA) Schützt Zugänge zu E-Mail, Cloud-Diensten und KI-Tools zusätzlich zum Passwort. Zeitaufwand: wenige Stunden zur Einrichtung. Unverbindliches Kostenbeispiel: oft bereits in bestehenden Lizenzen enthalten, sonst ab etwa 3 Euro pro Nutzer und Monat.

2. Regelmäßige, getestete Backups Die 3-2-1-Regel hat sich bewährt: drei Kopien der Daten, auf zwei verschiedenen Speichermedien, davon eine räumlich getrennt. Entscheidend ist der regelmäßige Test der Rückspielung, ein Backup, das im Ernstfall nicht funktioniert, ist wertlos. Zeitaufwand: ein Tag für die Einrichtung, danach weitgehend automatisiert.

3. Patch- und Update-Management Veraltete Software ist eines der häufigsten Einfallstore für Angriffe. Ein fester Prozess für Sicherheitsupdates, auch für Router und Netzwerkgeräte, schließt bekannte Lücken zuverlässig. Zeitaufwand: wenige Stunden pro Monat bei automatisiertem Vorgehen.

4. Mitarbeiterschulung zu Phishing und Social Engineering Der Mensch bleibt das häufigste Einfallstor. Eine jährliche Schulung, ergänzt um simulierte Phishing-Tests, schärft das Bewusstsein spürbar. Unverbindliches Kostenbeispiel: ab etwa 500 Euro für eine externe Schulung eines kleinen Teams.

5. Ein einfacher Notfallplan (Incident Response) Wer im Ernstfall wen anruft, welche Systeme zuerst abgeschaltet werden und wer die Kommunikation übernimmt, sollte vorher feststehen und nicht erst während eines laufenden Angriffs entschieden werden. Ein Notfallplan muss keine zwanzig Seiten haben, eine geprüfte Ein-Seiten-Übersicht reicht für den Anfang völlig aus. Zeitaufwand: ein halber Tag zur Erstellung.

Fazit

NIS2 mag Ihr Unternehmen nicht direkt betreffen, die genannten Kriterien nach Sektor und Größenschwelle geben Ihnen dafür einen klaren Anhaltspunkt. Aber IT-Sicherheit betrifft jedes Unternehmen, das digitale Werkzeuge nutzt, und das sind heute praktisch alle.

Die gute Nachricht: Die fünf genannten Maßnahmen sind mit überschaubarem Aufwand umsetzbar und schützen Sie unabhängig davon, ob NIS2 für Sie gilt oder nicht.

Mein Rat: Rechnen Sie Ihre Betroffenheit einmal konkret durch, anhand der drei Fragen aus diesem Beitrag. Das dauert keine Stunde. Und unabhängig vom Ergebnis wissen Sie danach genau, woran Sie sind, statt sich auf Vermutungen oder Verkaufsargumente von IT-Dienstleistern zu verlassen. Aus meiner Praxis als AI Officer weiß ich: Genau diese Klarheit fehlt den meisten Unternehmen, und genau dabei helfe ich am liebsten.

Unsicher, ob NIS2 Sie betrifft, oder wie es um Ihre IT-Sicherheit steht? Im kostenlosen Erstgespräch klären wir das gemeinsam, konkret für Ihr Unternehmen.

Schreiben Sie mir: info@ai-officer-mittelstand.de

Quellen:

• Bundesamt für Sicherheit in der Informationstechnik (BSI): https://www.bsi.bund.de
• Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG): https://www.gesetze-im-internet.de/bsig_2009/
• NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, verkündet im Bundesgesetzblatt 2025

Stand: Oktober 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Hinweis: Stand: Oktober 2026. Dieser Beitrag gibt die Rechtslage zum genannten Zeitpunkt wieder und ersetzt keine Rechtsberatung im Einzelfall.