NIS2 für den Mittelstand: Registrieren, Risiken managen, Vorstand haftet

Hinweis: Allgemeine Information, keine Rechtsberatung. Für die rechtliche Bewertung Ihres konkreten Falls wenden Sie sich an einen Anwalt oder Compliance-Berater.

Mit dem NIS2-Umsetzungsgesetz hat Deutschland Ende 2025 eine der größten Cybersicherheits-Verordnungen seit der DSGVO eingeführt. Rund 29.500 Unternehmen sind laut Bundesregierung betroffen, viele davon Mittelständler, die noch nie unter Sicherheitsregulierung fielen. Die Geschäftsleitung haftet nun persönlich, die Bußgelder gehen bis zehn Millionen Euro. Wer noch nicht registriert ist, sollte die nächsten Wochen für Aufholarbeit nutzen.

Was NIS2 ist und woher es kommt

NIS2 steht für die zweite Network and Information Security Directive der EU. Sie ersetzt und erweitert die ursprüngliche NIS-Richtlinie von 2016 und wurde 2022 auf EU-Ebene beschlossen. Deutschland hat die Richtlinie mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) Ende 2025 in nationales Recht überführt. Verantwortliche Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Anders als ihre Vorgängerin trifft NIS2 nicht nur klassische Betreiber kritischer Infrastrukturen, sondern auch viele mittelständische Unternehmen aus 18 Sektoren: Energie, Verkehr, Banken, Gesundheit, digitale Infrastruktur, IT-Dienste, Lebensmittel, Chemie, Abfallwirtschaft, Post und mehr.

Wer ist betroffen

Die Verordnung unterscheidet zwei Kategorien:

Wesentliche Einrichtungen

Unternehmen ab 250 Mitarbeitenden oder 50 Millionen Euro Jahresumsatz in 11 Sektoren mit besonders hoher gesellschaftlicher Bedeutung (Energie, Verkehr, Banken, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleister, öffentliche Verwaltung, Raumfahrt). Hier gelten die strengsten Pflichten und höchsten Sanktionen.

Wichtige Einrichtungen

Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz in 7 weiteren Sektoren (Post, Abfallwirtschaft, Chemie, Lebensmittel, Maschinen- und Fahrzeugbau, digitale Anbieter, Forschung). Etwas weniger strenge Pflichten, aber immer noch erheblicher Aufwand.

Daneben fallen einige Unternehmen unabhängig von Größe in die Regelung, etwa Anbieter öffentlicher elektronischer Kommunikation, Vertrauensdiensteanbieter und Top-Level-Domain-Registries.

Die zehn Kernpflichten

Das Gesetz verlangt von betroffenen Unternehmen ein Risikomanagement, das mindestens folgende Punkte umfasst:

1. Konzepte für Risikoanalyse und Informationssicherheit. Schriftliche Sicherheits-Policy mit klaren Zuständigkeiten.
2. Bewältigung von Sicherheitsvorfällen. Notfallplan, Incident-Response-Prozess, Eskalationswege.
3. Aufrechterhaltung des Betriebs. Backup, Disaster Recovery, Krisenmanagement.
4. Sicherheit der Lieferkette. Anforderungen an Dienstleister, Software-Lieferanten, IT-Partner.
5. Sicherheit bei Erwerb, Entwicklung und Wartung. Saubere Update-Prozesse, sichere Beschaffung.
6. Bewertung der Wirksamkeit. Regelmäßige Audits oder Tests der Maßnahmen.
7. Cyberhygiene und Schulungen. Mitarbeitende müssen geschult und über aktuelle Bedrohungen informiert werden.
8. Kryptographie. Verschlüsselung sensibler Daten, sichere Schlüsselverwaltung.
9. Personalsicherheit, Zugriffskontrolle, Vermögensverwaltung. Wer darf was, wer hat Zugriff worauf.
10. Multi-Faktor-Authentifizierung und sichere Kommunikation. Zwei-Faktor-Anmeldung, gesicherte Verbindungen, Notfallkommunikation.

Die Anforderungen sind verhältnismäßig: Ein Mittelständler muss sie nicht in derselben Tiefe umsetzen wie ein Energieversorger. Aber alle zehn Punkte müssen adressiert sein.

Registrierung beim BSI

Seit dem 6. Januar 2026 ist das BSI-Melde- und Informationsportal (MIP) online. Betroffene Unternehmen mussten sich bis zum 6. März 2026 dort registrieren. Wer das versäumt hat, sollte die Registrierung trotzdem zeitnah nachholen. Versäumnisse selbst sind sanktionsbewehrt.

Die Registrierung ist kein einmaliger Akt. Über das MIP läuft anschließend die laufende Kommunikation mit dem BSI: Meldung von Sicherheitsvorfällen, Aktualisierung von Stammdaten, Bereitstellung von Nachweisen. Die Vorfallsmeldung selbst ist eine eigene Pflicht, die erste Frühmeldung muss innerhalb von 24 Stunden nach Kenntnisnahme erfolgen.

Geschäftsleitungshaftung im Detail

Das ist die vielleicht radikalste Neuerung: NIS2 macht Cybersicherheit explizit zur Aufgabe der Geschäftsleitung. Geschäftsführer und Vorstände müssen die Maßnahmen nicht nur abnicken, sondern aktiv steuern, Budgets freigeben, Ziele setzen, sich regelmäßig berichten lassen und ihre Verantwortung dokumentieren.

Verstöße können persönliche Haftung der Leitungsorgane auslösen. Konkret heißt das: Wenn die Geschäftsleitung ihre Aufsichtspflichten verletzt und es kommt zu einem Vorfall, kann das BSI nicht nur das Unternehmen mit Bußgeld belegen, sondern auch persönliche Konsequenzen aussprechen. Versicherungen für Geschäftsführerhaftung (D&O) sind in vielen Häusern derzeit ein Thema.

Sanktionsrahmen

Die Bußgelder sind beträchtlich:

• Wesentliche Einrichtungen: bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, der höhere Wert gilt.
• Wichtige Einrichtungen: bis 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes.
• Verstöße gegen Registrierungs- oder Meldepflichten: eigene niedrigere Rahmen, aber zusätzlich zu den Hauptsanktionen möglich.

Wichtig: Die Sanktionen sind kumulativ mit DSGVO-Bußgeldern. Wer beides verletzt, etwa durch einen Vorfall mit personenbezogenen Daten, kann nach beiden Regelungen belangt werden.

Fünf erste Schritte

Wenn Sie noch nicht angefangen haben oder die Registrierungsfrist verpasst haben, sind das die ersten Schritte:

Schritt 1: Betroffenheit prüfen

Mitarbeiterzahl und Jahresumsatz mit den Schwellenwerten abgleichen. Sektor-Zuordnung klären. Im Zweifel hilft ein kurzer Check mit einem Compliance-Berater oder das BSI selbst auf seinen Hinweisseiten.

Schritt 2: Beim BSI registrieren

Über das MIP die Stammdaten anlegen. Auch wenn die Frist verstrichen ist, holen Sie das schnell nach.

Schritt 3: Status quo erfassen

Welche der zehn Pflichten sind heute schon erfüllt, wo gibt es Lücken. Eine ehrliche Bestandsaufnahme als Grundlage für den Fahrplan.

Schritt 4: Geschäftsleitung einbinden und Verantwortung verteilen

Schriftliche Festlegung, wer für Cybersicherheit verantwortlich ist, wie regelmäßig berichtet wird, welche Befugnisse die verantwortliche Person hat. Ohne klaren Auftrag und Budget passiert nichts.

Schritt 5: Lückenschluss priorisieren

Nicht alles auf einmal versuchen. Multi-Faktor-Authentifizierung, Backup-Test und Incident-Response-Plan sind die schnell wirksamen Hebel. Komplexere Themen wie Lieferketten-Sicherheit lassen sich danach systematisch angehen.

Kernaussagen

• NIS2 betrifft rund 29.500 Unternehmen in Deutschland, viele aus dem Mittelstand.
• Schwellen: ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz in wichtigen Sektoren, ab 250 oder 50 Mio. in wesentlichen.
• Zehn Kernpflichten zu Risikomanagement, Vorfallsbewältigung, Schulung, Krypto und MFA.
• Geschäftsleitung haftet persönlich. Cybersicherheit ist Chefsache, nicht IT-Sache.
• Bußgelder bis 10 Mio. Euro oder 2 Prozent Jahresumsatz, kumulativ mit DSGVO.

Häufige Fragen zu NIS2

Welche Unternehmen sind von NIS2 betroffen?

Unternehmen mit mindestens 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz in 7 wichtigen Sektoren (z.B. Post, Abfallwirtschaft, Lebensmittel, Chemie). Ab 250 Mitarbeitenden oder 50 Mio. Euro Umsatz greifen die strengeren Pflichten in 11 wesentlichen Sektoren (Energie, Verkehr, Gesundheit, Banken, IT-Dienste etc.). Für Deutschland sind laut Bundesregierung rund 29.500 Unternehmen betroffen.

Welche Frist hatten Unternehmen für die Registrierung beim BSI?

Bis spätestens 6. März 2026 mussten betroffene Unternehmen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) über das neue Melde- und Informationsportal registrieren. Wer die Frist versäumt hat, sollte die Registrierung schnellstmöglich nachholen, da Unterlassen eigene Sanktionen nach sich ziehen kann.

Welche Bußgelder sind möglich?

Für wesentliche Einrichtungen drohen Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (es gilt der höhere Wert). Für wichtige Einrichtungen liegt der Rahmen bei bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Daneben gibt es persönliche Haftung der Geschäftsleitung.

Was bedeutet die Geschäftsleitungshaftung konkret?

Die Verantwortung für die Cybersicherheit liegt explizit bei der Geschäftsleitung. Sie muss Maßnahmen genehmigen, deren Umsetzung überwachen und sich regelmäßig berichten lassen. Verstöße können persönliche Haftung auslösen. Das ist eine deutliche Verschärfung gegenüber der bisherigen Praxis, in der IT-Sicherheit oft an die IT-Abteilung delegiert wurde.