NIS-2 im Mittelstand: Wer betroffen ist und was jetzt zu tun ist (Stand Juli 2026)
Seit Dezember 2025 ist die NIS-2-Richtlinie in deutsches Recht umgesetzt, und rund 29.500 Unternehmen sind betroffen, viele davon im Mittelstand. Dieser Beitrag erklärt mit Rechtsstand Juli 2026, wer unter das Gesetz fällt, welche Pflichten und Fristen gelten und mit welchen Schritten Sie die Umsetzung strukturiert angehen.
Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung. Für verbindliche Aussagen zu Ihrer Situation wenden Sie sich an eine Kanzlei.
Rechtsstand Juli 2026: NIS-2 ist geltendes Recht
NIS-2 steht für die zweite EU-Richtlinie zur Netz- und Informationssicherheit, ein europäisches Regelwerk, das Unternehmen in kritischen Sektoren zu Cybersicherheitsmaßnahmen verpflichtet. Deutschland hat die Richtlinie mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Kernstück ist ein neu gefasstes BSI-Gesetz (BSIG), also das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI), das als zentrale Aufsichtsbehörde zuständig ist. Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 in Kraft getreten. Dieser Artikel gibt den Rechtsstand vom Juli 2026 wieder.
Übergangsfristen für die inhaltlichen Pflichten gibt es nicht. Risikomanagement, Meldepflichten und Geschäftsleitungspflichten gelten seit dem Inkrafttreten. Das unterscheidet NIS-2 von mancher anderen Regulierung und erklärt, warum das Thema in vielen Unternehmen gerade mit Nachdruck auf den Tisch kommt.
Bei der Registrierung hakt es bundesweit. Nach Paragraf 33 BSIG mussten sich Einrichtungen, die bereits bei Inkrafttreten betroffen waren, binnen drei Monaten registrieren, also bis zum 6. März 2026. Bis zu diesem Datum waren nach Berichten von Fachkanzleien nur rund 11.500 von geschätzt 29.500 betroffenen Unternehmen registriert, bis Ende Mai 2026 rund 18.500. Das BSI duldet verspätete Registrierungen bis zum 31. Juli 2026. Das ist eine behördliche Duldung, keine Verlängerung der gesetzlichen Frist. Wer betroffen und noch nicht registriert ist, sollte die Registrierung deshalb nicht weiter aufschieben.
Wer betroffen ist: Sektoren und Größenschwellen
Das Gesetz erfasst 18 Sektoren, verteilt auf zwei Anlagen. Anlage 1 nennt Sektoren mit hoher Kritikalität: Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für andere Unternehmen, öffentliche Verwaltung und Weltraum. Anlage 2 ergänzt sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, darunter Maschinenbau, Fahrzeugbau, Elektronik und Medizinprodukte, außerdem Anbieter digitaler Dienste sowie Forschung.
Ob ein Unternehmen im Sektor auch tatsächlich reguliert ist, entscheiden Größenschwellen. Als wichtige Einrichtung gilt, vereinfacht gesagt, wer in einem der 18 Sektoren tätig ist und mindestens 50 Mitarbeitende beschäftigt oder sowohl mehr als 10 Millionen Euro Jahresumsatz als auch mehr als 10 Millionen Euro Bilanzsumme erreicht. Als besonders wichtige Einrichtung gilt, wer in einem Anlage-1-Sektor mindestens 250 Mitarbeitende beschäftigt oder mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme erreicht. Für den Mittelstand ist die wichtigste Botschaft: Schon 50 Beschäftigte in einem der Sektoren können genügen.
Einige Unternehmen sind unabhängig von ihrer Größe erfasst, darunter Betreiber kritischer Anlagen (KRITIS, etwa große Anlagen der Energie- oder Wasserversorgung), Anbieter von DNS-Diensten, also der Namensauflösung im Internet, Betreiber von Top-Level-Domain-Registrierungsstellen und Vertrauensdiensteanbieter, etwa für qualifizierte elektronische Signaturen. Für Telekommunikationsanbieter gelten teilweise niedrigere Schwellen.
Das BSI stellt unter betroffenheitspruefung-nis-2.bsi.de eine offizielle Online-Betroffenheitsprüfung bereit. Führen Sie diese Prüfung durch und dokumentieren Sie das Ergebnis schriftlich, auch wenn es negativ ausfällt. So können Sie später belegen, dass Sie die Frage geprüft haben.
Der Pflichtenkatalog: Risikomanagement nach Paragraf 30 BSIG
Paragraf 30 BSIG verlangt von betroffenen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Das Gesetz zählt zehn Bereiche auf: Konzepte für Risikoanalyse und IT-Sicherheit, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität mit Backup-Management, Wiederherstellung und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen, Verfahren zur Bewertung der Wirksamkeit der eigenen Maßnahmen, Cyberhygiene und Schulungen, Einsatz von Kryptografie und Verschlüsselung, Personalsicherheit mit Zugriffskontrolle und Verwaltung der eigenen IT-Systeme sowie Multi-Faktor-Authentifizierung, also Anmeldung mit einem zweiten Faktor zusätzlich zum Passwort, und gesicherte Kommunikationssysteme.
Das Gesetz verlangt ausdrücklich Verhältnismäßigkeit: Maßgeblich sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Ein Betrieb mit 60 Beschäftigten muss also nicht das Sicherheitsniveau eines Konzerns erreichen. Er muss aber begründen und dokumentieren können, warum die getroffenen Maßnahmen für sein Risiko angemessen sind.
Eine Zertifizierungspflicht enthält Paragraf 30 für die breite Masse der Betroffenen nicht. Eine Orientierung an etablierten Standards wie ISO 27001, der internationalen Norm für Managementsysteme der Informationssicherheit, oder am IT-Grundschutz des BSI ist trotzdem sinnvoll, weil sie Struktur in die Umsetzung bringt und die Dokumentation erleichtert.
Meldepflichten und Registrierung: Fristen, die Vorbereitung brauchen
Erhebliche Sicherheitsvorfälle sind nach Paragraf 32 BSIG an eine gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zu melden, und zwar dreistufig: eine Frühwarnung unverzüglich, spätestens 24 Stunden nach Kenntnis, eine ausführlichere Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung des Vorfalls. Auf Nachfrage des BSI sind zusätzlich Zwischenmeldungen abzugeben.
24 Stunden sind kurz, wenn parallel der Betrieb steht. Wer erst im Ernstfall klärt, wer meldet, wer entscheidet und wo die Zugangsdaten zum Meldeportal liegen, wird die Frist kaum halten. Definieren Sie den Meldeweg vorab: verantwortliche Person, Stellvertretung, Erreichbarkeit außerhalb der Bürozeiten. Spielen Sie den Ablauf einmal testweise durch.
Die Registrierung nach Paragraf 33 BSIG erfolgt über das BSI-Portal und erfordert unter anderem Name, Rechtsform, Kontaktdaten, IP-Adressbereiche und die Zuordnung zum Sektor. Änderungen sind spätestens binnen zwei Wochen nachzumelden. Für den Zugang wird ein ELSTER-Organisationszertifikat genutzt, der elektronische Identitätsnachweis für Unternehmen aus dem Steuerportal ELSTER. Die Beantragung braucht etwas Vorlauf, planen Sie das ein.
Geschäftsleitung: persönliche Pflichten, Aufsicht und Bußgelder
Paragraf 38 BSIG nimmt die Geschäftsleitung ausdrücklich in die Pflicht: Sie muss die Risikomanagementmaßnahmen nach Paragraf 30 umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen, um Risiken selbst einschätzen zu können. Die operative Arbeit darf an die IT-Leitung oder einen Dienstleister delegiert werden, die Verantwortung nicht.
Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie ihrer eigenen Gesellschaft nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform auf Schadensersatz. Hinzu kommen Bußgelder nach Paragraf 65 BSIG: bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro. Bei Unternehmen mit sehr hohem weltweiten Umsatz gelten umsatzbezogene Obergrenzen von 2 beziehungsweise 1,4 Prozent. Auch Verstöße gegen die Registrierungspflicht sind bußgeldbewehrt, Fachbeiträge nennen hier bis zu 500.000 Euro.
Bei der Aufsicht unterscheidet das Gesetz: Besonders wichtige Einrichtungen unterliegen einer umfassenden Aufsicht des BSI, wichtige Einrichtungen werden anlassbezogen beaufsichtigt, das BSI wird dort also vor allem nach Vorfällen oder konkreten Hinweisen tätig. Verlassen sollte man sich darauf nicht: Die Pflichten gelten in beiden Kategorien gleichermaßen.
Zulieferer: nicht reguliert, aber über die Lieferkette gefordert
Einer der zehn Maßnahmenbereiche in Paragraf 30 BSIG ist die Sicherheit der Lieferkette. Regulierte Unternehmen müssen die Risiken bewerten, die von ihren Dienstleistern und Lieferanten ausgehen. In der Praxis geben sie diese Anforderungen vertraglich weiter.
Für kleinere Zulieferer, die selbst unter den Schwellenwerten liegen, bedeutet das: Sicherheitsfragebögen der Kunden, vertragliche Mindestanforderungen an die IT-Sicherheit, Klauseln zur Meldung von Vorfällen und teilweise die Bitte um Nachweise. Wer solche Anfragen unbeantwortet lässt, riskiert auf Dauer Aufträge, ganz ohne eigene gesetzliche Pflicht.
Sinnvoll ist, diese Anforderungen gebündelt statt je Kunde einzeln zu beantworten. Eine einmal sauber dokumentierte Basissicherheit mit Patch-Management, also dem geregelten Einspielen von Sicherheitsupdates, mit getesteten Backups, Multi-Faktor-Authentifizierung und einem einfachen Notfallplan deckt einen Großteil der üblichen Fragebögen ab und stärkt den Betrieb unabhängig von NIS-2.
Erste Schritte: eine realistische Reihenfolge
Erstens: Betroffenheit prüfen, am besten mit der offiziellen BSI-Betroffenheitsprüfung, und das Ergebnis dokumentieren. Zweitens: Falls Sie betroffen sind, registrieren Sie sich umgehend im BSI-Portal, die Duldungsfrist für verspätete Registrierungen lief nach den veröffentlichten Hinweisen bis zum 31. Juli 2026. Drittens: Binden Sie die Geschäftsleitung ein, benennen Sie Verantwortliche und planen Sie die gesetzlich geforderte Schulung der Leitungsebene.
Viertens: Führen Sie eine Gap-Analyse durch, also einen strukturierten Abgleich zwischen dem Ist-Zustand Ihrer IT-Sicherheit und den zehn Maßnahmenbereichen aus Paragraf 30 BSIG. Fünftens: Priorisieren Sie. Meldefähigkeit, getestete Backups und Multi-Faktor-Authentifizierung bringen schnell Substanz, der Rest folgt in einem Maßnahmenplan mit Terminen. Sechstens: Sichten Sie Ihre Dienstleister- und Lieferantenverträge im Hinblick auf Sicherheitsanforderungen und Meldewege.
Ehrlich eingeordnet: Betroffenheitsprüfung, Registrierung und eine erste Ist-Aufnahme sind mit interner IT gut machbar. Bei der strukturierten Gap-Analyse, beim Aufbau eines Informationssicherheits-Managementsystems, also der geordneten Organisation aller Sicherheitsprozesse, und bei der Vorbereitung der Meldeprozesse spart erfahrene externe Unterstützung oft viel Zeit. Rechtliche Einzelfragen, etwa die Einstufung in Grenzfällen oder die Gestaltung von Vertragsklauseln, gehören in die Hand einer spezialisierten Kanzlei. Dieser Artikel ersetzt keine Rechtsberatung.
Das Wichtigste in Kürze
NIS-2 ist seit dem 6. Dezember 2025 geltendes Recht in Deutschland, ohne Übergangsfristen für die inhaltlichen Pflichten. Wer die Betroffenheit sauber prüft, die Registrierung erledigt und die zehn Maßnahmenbereiche in einer klaren Reihenfolge abarbeitet, macht aus einer Gesetzespflicht ein planbares Projekt. Der erste Schritt kostet nichts außer einer Stunde: die Betroffenheit prüfen und das Ergebnis schriftlich festhalten, auch wenn es Nein lautet.