NIS-2 kommt: Was der Mittelstand bis 2027 wirklich tun muss

TL;DR

NIS-2 gilt seit Oktober 2024. Viele Mittelständler sind betroffen, merken es aber nicht. Ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz gelten strikte Regeln. Sie müssen Sicherheitsvorfälle melden, IT dokumentieren und Risiken minimieren. Bußgelder können bis zu 10 Millionen Euro oder zwei Prozent Umsatz kosten. Wer jetzt nicht handelt, spielt russisches Roulette mit seinem Unternehmen.

Problem

Während Sie das hier lesen, läuft die Frist. Die NIS-2-Richtlinie ist in Kraft. Deutschland hat sie umgesetzt. Der Mittelstand schläft noch. Viele Geschäftsführer denken, NIS-2 sei ein IT-Thema. Falsch. Es ist ein Geschäftsführungsthema. Der Chef haftet persönlich bei grobem Verschulden. Die IT kann das nicht allein abfedern. Stellen Sie sich vor, Ihr Unternehmen wird gehackt. Kundendaten sind weg. Die Behörde verlangt eine Meldung innerhalb von 24 Stunden. Sie haben keinen Plan. Sie wissen nicht, ob Sie betroffen sind. Herzlichen Glückwunsch, Sie sind nicht allein. Die meisten Betriebe haben keine aktuelle Inventarliste ihrer Systeme. Sie wissen nicht, welche Software läuft. Sie wissen nicht, wer Zugang hat. Sie wissen nicht, wo ihre Daten liegen. Genau das verlangt NIS-2.

Die Cybergefahren steigen. Ein Angriff kann Ihr Unternehmen ruinieren. Mehr zu den finanziellen Folgen lesen Sie unter Insolvenzrisiko durch Cyberangriffe.

Definition

NIS-2 steht für Network and Information Security 2. Die EU-Richtlinie zwingt Unternehmen zu mehr IT-Sicherheit. Sie erfasst deutlich mehr Firmen als NIS-1. Nicht nur Energieversorger und Banken sind drin. Auch Abfallentsorger, Nahrungsmittelhersteller, Postdienste und digitale Dienstleister zählen dazu. Wer mehr als 50 Mitarbeiter oder über 10 Millionen Euro Umsatz hat, ist wahrscheinlich betroffen. Betroffene Firmen müssen Vorfälle melden, Risiken dokumentieren und Schutzmaßnahmen nachweisen. ESS-Betreiber sind besonders wichtige Einrichtungen. Wichtige Einrichtungen haben etwas weniger strenge Pflichten. Trotzdem müssen auch sie deutlich mehr tun als früher. Die Unterscheidung ist wichtig. Sie bestimmt die Meldekanäle und die Detailtiefe. Mehr Hintergrund finden Sie im Artikel Neues BSI-Portal ist live.

Wer betroffen ist, muss ein Sicherheitsmanagement aufbauen. Dazu gehören Backups, Zugangskontrollen, Schulungen und ein Incident-Response-Plan. NIS-2 verlangt kein perfektes System. Sie verlangt angemessene Maßnahmen. Was angemessen ist, hängt von Risiko, Größe und Branche ab. Die Dokumentation ist Pflicht. Sie schützt vor Behörden und vor persönlicher Haftung. NIS-2 kostet Geld. Das lässt sich nicht wegdiskutieren. Ein kleiner Mittelstand muss mit 30.000 bis 60.000 Euro im ersten Jahr rechnen. Dabei geht es nicht nur um Software. Es geht um Beratung, Dokumentation und Schulung. Aber die Kosten eines Angriffs sind oft deutlich höher. Ein einziger Erpressungsvirus kann ein ganzes Unternehmen lahmlegen. Dann reden wir nicht über 60.000 Euro. Dann reden wir über Existenz.

Die Lieferkette wird zum Türöffner für NIS-2. Sie glauben, Sie sind klein genug? Prüfen Sie Ihre Kunden. Wenn Sie Lieferant für ein größeres Unternehmen sind, das unter NIS-2 fällt, werden Sie indirekt erfasst. Der Große verlangt Nachweise. Ohne Nachweis fliegen Sie raus.

Regionale Beispiele

Ein Handwerksbetrieb in Passau mit 60 Mitarbeitern fällt plötzlich unter NIS-2. Er muss einen Incident-Response-Plan erstellen. Er muss seine Backups testen. Er muss seine Lieferkette prüfen. Er muss nachweisen, dass seine IT angemessen gesichert ist. Das kostet zunächst Zeit und Geld. Aber es schützt vor viel höheren Schäden. Ein Zulieferer aus Deggendorf liefert an einen großen Kunden. Der Kunde verlangt Sicherheitsnachweise. Ohne Nachweis gibt es keinen Auftrag. Plötzlich ist NIS-2 kein abstraktes Gesetz mehr. Sie wird zur Existenzfrage. Eine Ferienwohnungsverwaltung aus Grafenau speichert Kundendaten. Sie muss wissen, wer bei einem Vorfall wen anruft. Ein Maschinenbauer aus Vilshofen nutzt digitale Dienstleistungen. Er muss zeigen, dass seine Systeme abgesichert sind. Auch kleine Dienstleister können unter NIS-2 fallen, wenn sie kritische Funktionen erbringen.

Diese Beispiele zeigen: NIS-2 ist keine theoretische Bürokratie. Sie trifft echte Betriebe in unserer Region. Sie zwingt sie, ihre IT auf den Prüfstand zu stellen. Das ist unbequem. Aber es ist notwendig.

Vergleich: NIS-1 gegen NIS-2

Fehler und Mythen

Mythos 1: NIS-2 gilt nur für Großkonzerne. Falsch. Der Schwellenwert liegt bei 50 Mitarbeitern. Viele Mittelständler sind jetzt drin.

Mythos 2: Eine Firewall reicht. Eine Firewall ist der Anfang, nicht das Ende. Sie brauchen Backups, Schulungen und Prozesse.

Mythos 3: Wir sind zu klein für Hacker. Hacker greifen Schwachstellen an, nicht Größe. Kleine Firmen sind oft leichtere Opfer.

Mythos 4: Unser IT-Dienstleister regelt das. Der Dienstleister kann umsetzen. Die Verantwortung bleibt bei der Geschäftsführung. Ohne klare Aufträge passiert wenig.

Fehler 1: Die Meldepflicht ignorieren. Ein Vorfall muss binnen 24 Stunden gemeldet werden. Wer zögert, riskiert Bußgelder.

Fehler 2: Nichts dokumentieren. Behörden wollen Nachweise sehen. Dokumentation schützt auch vor persönlicher Haftung.

Fehler 3: Sicherheit outsourcen und vergessen. Externe Dienstleister helfen. Verantwortung bleibt aber beim Geschäftsführer. Lesen Sie dazu DSGVO-konforme KI im Mittelstand.

Fehler 4: Den Geschäftsführer raushalten. NIS-2 ist Management-Aufgabe. Ohne Chefsache wird es halbherzig und teuer.

Nächster Schritt

Prüfen Sie heute, ob Sie unter NIS-2 fallen. Prüfen Sie Ihre kritischen Systeme, Backups und Meldeprozesse. Wenn ein Punkt fehlt, ist Handlungsbedarf. Beginnen Sie mit einer Bestandsaufnahme. Dokumentieren Sie Ihre wichtigsten Systeme und Verantwortlichkeiten. Wir helfen Mittelständlern in Passau, Niederbayern und dem Bayerischen Wald dabei, NIS-2 pragmatisch umzusetzen. Keine Panik, keine überflüssige Bürokratie. Vereinbaren Sie ein kostenloses Erstgespräch. Die Frist läuft weiter.