Seit dem 6. Dezember 2025 ist die NIS2-Richtlinie deutsches Recht. Das betrifft nicht nur Konzerne. Viele Produktionsbetriebe, Maschinenbauer und IT-Dienstleister in der Region fallen da plötzlich drunter. Wer als Zulieferer für einen betroffenen Betrieb arbeitet, oft auch. Bußgelder: bis zu 10 Millionen Euro. Und die Geschäftsführung haftet persönlich.
Warum jetzt?
266,6 Milliarden Euro Schaden durch Cyberangriffe in Deutschland, allein 2024. 81 Prozent aller Unternehmen betroffen (Bitkom). Das BSI zählt 309.000 neue Schadprogramme. Pro Tag.
Die alte NIS-Richtlinie von 2016 hat das nicht aufgehalten. Also hat die EU nachgelegt. NIS2 senkt die Schwellenwerte drastisch und erfasst deutlich mehr Branchen. Plötzlich fallen Unternehmen unter die Regelung, die sich nie als "kritische Infrastruktur" gesehen haben. Ein Maschinenbauer mit 60 Leuten in Baunatal zum Beispiel. Oder ein IT-Dienstleister in Hofgeismar.
Welche Unternehmen sind betroffen?
NIS2 unterscheidet zwei Kategorien. Wesentliche Einrichtungen umfassen Energie, Transport, Bankwesen, Gesundheitswesen, digitale Infrastruktur und öffentliche Verwaltung - ab 250 Mitarbeitende oder über 50 Mio. Euro Jahresumsatz. Wichtige Einrichtungen umfassen Produktion, Post- und Kurierdienste, Abfallwirtschaft und digitale Dienste - ab 50 Mitarbeitende oder über 10 Mio. Euro Jahresumsatz.
Wichtig für regionale KMU: Gerade im produzierenden Gewerbe, im Maschinenbau und in der Zulieferkette rund um Kassel, Baunatal und den Schwalm-Eder-Kreis fallen viele Betriebe unter die Kategorie "wichtige Einrichtungen". Auch wenn Sie selbst nicht direkt betroffen sind, können Sie als Zulieferer indirekt in die Pflicht genommen werden.
Das BSI registriert täglich rund 309.000 neue Schadprogramm-Varianten (BSI-Lagebericht 2024).
Welche Fristen gelten?
| Frist | Pflicht |
|---|---|
| 6. Dezember 2025 | NIS2-Umsetzungsgesetz tritt in Kraft |
| 6. März 2026 | Registrierung beim BSI muss abgeschlossen sein |
| Laufend | Umsetzung aller technischen und organisatorischen Maßnahmen |
Die BSI-Registrierung bis zum 6. März 2026 ist keine Empfehlung, sondern gesetzliche Pflicht. Wer diese Frist versäumt, begeht bereits einen Verstoß.
Was droht bei Nicht-Einhaltung?
Die Bußgelder sind empfindlich und nach Unternehmenskategorie gestaffelt: Wesentliche Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Dazu kommt: Die Geschäftsführung haftet persönlich. Geschäftsführer und Vorstände können für Versäumnisse bei der IT-Sicherheit zur Verantwortung gezogen werden. Diese persönliche Haftung lässt sich nicht an IT-Abteilungen delegieren.
Was müssen KMU konkret umsetzen?
NIS2 verlangt ein systematisches Risikomanagement in drei Kernbereichen:
1. Risikomanagement und technische Maßnahmen: Analyse und Bewertung von Cyberrisiken, Implementierung von Sicherheitsmaßnahmen nach dem Stand der Technik, regelmäßige Schwachstellenanalysen, Verschlüsselung, Zugriffskontrollen, Multi-Faktor-Authentifizierung und Business Continuity Management. Laut Bitkom 2024 haben nur 42 Prozent der deutschen Unternehmen einen Notfallplan für Cyberangriffe. Für NIS2-betroffene Unternehmen ist das ab sofort Pflicht.
2. Meldepflichten bei Sicherheitsvorfällen: 24 Stunden für die Erstmeldung an das BSI, 72 Stunden für eine detaillierte Folgemeldung und 1 Monat für den Abschlussbericht. Diese Fristen sind extrem kurz - wer keine etablierten Prozesse hat, wird sie kaum einhalten können.
3. Sicherheit in der Lieferkette: Bewertung der IT-Sicherheit bei Zulieferern und Dienstleistern, vertragliche Sicherheitsanforderungen und regelmäßige Überprüfung. Besonders relevant für die nordhessische Wirtschaftsstruktur mit ihren komplexen Lieferketten.
Checkliste: NIS2-Readiness für Ihr Unternehmen
- Betroffenheit prüfen: Fällt Ihr Unternehmen als wesentliche oder wichtige Einrichtung unter NIS2?
- BSI-Registrierung: Haben Sie sich fristgerecht beim BSI registriert?
- Verantwortlichkeiten: Ist die Geschäftsführung über ihre persönliche Haftung informiert?
- Risikoanalyse: Haben Sie eine aktuelle Bewertung Ihrer IT-Risiken durchgeführt?
- Technische Maßnahmen: Sind Firewalls, Endpoint Protection und Verschlüsselung aktuell?
- Zugriffsmanagement: Nutzen Sie Multi-Faktor-Authentifizierung für kritische Systeme?
- Incident Response: Gibt es einen dokumentierten Notfallplan mit klaren Meldewegen?
- Mitarbeiterschulung: Werden Mitarbeitende regelmäßig zu Phishing und Social Engineering geschult?
- Lieferkette: Haben Sie IT-Sicherheitsanforderungen in Verträge mit Dienstleistern aufgenommen?
- Dokumentation: Sind alle Maßnahmen nachweisbar dokumentiert?
Wie IT-Meeder Sie bei der NIS2-Umsetzung unterstützt
Als IT-Dienstleister aus Nordhessen kennen wir die Herausforderungen regionaler Unternehmen. NIS2 wirkt auf den ersten Blick überwältigend - ist aber mit der richtigen Strategie machbar.
IT-Sicherheitsberatung: Wir analysieren Ihre IT-Infrastruktur, identifizieren Schwachstellen und erstellen einen konkreten Maßnahmenplan. Kein generisches Audit, sondern eine Bestandsaufnahme, die zu Ihrem Betrieb passt.
MShield - Security Awareness Training: Menschliches Versagen ist der häufigste Einfallsvektor. Mit MShield simulieren wir Phishing-Angriffe auf Ihr Team und schulen Mitarbeitende gezielt.
Incident Response Planung: Wir helfen Ihnen, die 24-Stunden-Meldefrist einzuhalten, indem wir Prozesse und Kommunikationswege definieren, bevor ein Vorfall eintritt.
Cybersicherheit ist kein einmaliges Projekt, sondern ein laufender Prozess. NIS2 fordert genau das - und wir begleiten Sie dabei. Unsicher, ob Ihr Unternehmen betroffen ist? Vereinbaren Sie ein kostenloses Erstgespräch und wir prüfen gemeinsam Ihre Pflichten.
FAQ: Häufige Fragen zur NIS2-Richtlinie
Gilt NIS2 auch für Unternehmen mit weniger als 50 Mitarbeitenden?
In der Regel nicht. Ausnahmen gibt es für DNS-Dienste, TLD-Registrierungen oder Vertrauensdiensteanbieter. Zudem können auch kleinere Unternehmen indirekt betroffen sein, wenn sie Zulieferer eines NIS2-pflichtigen Unternehmens sind.
Wir haben bereits eine ISO-27001-Zertifizierung. Reicht das für NIS2?
Eine gute Grundlage, ersetzt NIS2 aber nicht vollständig. Die Meldepflichten (24-Stunden-Frist), BSI-Registrierung und Lieferkettensicherheit gehen über ISO 27001 hinaus.
Was passiert, wenn wir die BSI-Registrierung verpasst haben?
Umgehend nachholen. Ein Verstoß kann mit Bußgeldern geahndet werden. Ohne Registrierung kann das BSI Sie im Ernstfall nicht warnen.
Können wir die NIS2-Umsetzung komplett an einen IT-Dienstleister auslagern?
Die technische Umsetzung ja. Die Verantwortung bleibt bei der Geschäftsführung - eine vollständige Delegation ist rechtlich nicht möglich.
Was kostet die NIS2-Umsetzung für ein mittelständisches Unternehmen?
Für 50 bis 100 Mitarbeitende rechnen Sie mit einem initialen Aufwand im niedrigen fünfstelligen Bereich - deutlich weniger als die möglichen Bußgelder.