NIS2 und der kleinere Betrieb: Pflicht, Auftrag oder Missverständnis?

Zwei Sätze hört man in kleineren Betrieben derzeit häufig. Der erste lautet: „Wir sind viel zu klein für NIS2.“ Der zweite lautet: „Unser Kunde verlangt plötzlich einen Sicherheitsnachweis.“ Beide Sätze können gleichzeitig stimmen, und darin liegt die Verwechslung. Der eine handelt vom Anwendungsbereich eines Gesetzes, der andere von einem Vertrag. Wer beides in einen Topf wirft, kauft entweder zu viel Beratung oder zu wenig Sicherheit. Der Stand am 10. September 2026: Das deutsche Umsetzungsgesetz ist in Kraft, die erste Registrierungsfrist ist abgelaufen, und die Anforderungen kommen über zwei Wege. Eine Rechtsberatung ist dieser Beitrag nicht.

Gilt NIS2 für diesen Betrieb?

Die Frage ist nicht, ob die eigene Branche wichtig klingt, sondern ob drei Merkmale zusammenkommen: eine Einrichtungsart aus den Anlagen des Gesetzes, eine Größe und die Rolle als Einrichtung und nicht als Lieferant einer Einrichtung.

Das BSI-Gesetz in der Fassung des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, in Kraft seit dem 6. Dezember 2025, arbeitet mit zwei Listen. Anlage 2 erfasst unter anderem Transport und Verkehr, Abfallwirtschaft, Chemie, Lebensmittel, Forschung und das verarbeitende Gewerbe, darunter ausdrücklich den Maschinenbau sowie die Herstellung von Datenverarbeitungsgeräten. Anlage 1 nennt unter anderem Energie, Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur mit Cloud- und Rechenzentrumsdiensten sowie Weltraum.

Die Größe ist der Punkt, an dem die meisten Kurzfassungen ungenau werden. Wichtige Einrichtung ist, wer einer Einrichtungsart aus Anlage 1 oder 2 zuzuordnen ist und mindestens 50 Beschäftigte hat. Die zweite Alternative lautet nicht „oder zehn Millionen Euro Umsatz“, sondern verlangt einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über zehn Millionen Euro. Wer 40 Beschäftigte, 30 Millionen Euro Umsatz und eine Bilanzsumme von 8 Millionen Euro hat, erfüllt keine der beiden Alternativen. Für besonders wichtige Einrichtungen gelten höhere Werte. Einige Arten sind ganz ohne Größenprüfung erfasst: Betreiber kritischer Anlagen, bestimmte Vertrauensdienste, Register- und DNS-Anbieter sowie Telekommunikationsunternehmen ab der kleineren Schwelle.

Für die Berechnung verweist das Gesetz auf die EU-Empfehlung für kleine und mittlere Unternehmen. Zahlen verbundener Unternehmen werden nur hinzugerechnet, wenn die informationstechnischen Systeme nicht eigenständig betrieben werden. In einer Gruppe ist die Einordnung deshalb eine Einzelfallfrage, und wer nur die Mitarbeiterzahl der eigenen Gesellschaft zählt, kann danebenliegen. Eine zweite Auslegungsfrage betrifft Geschäftstätigkeiten, die im Verhältnis zum Ganzen vernachlässigbar sind. Was vernachlässigbar ist, steht nicht als Zahl im Gesetz.

Wer in den Anwendungsbereich fällt, musste sich innerhalb von drei Monaten über die gemeinsame Registrierungsmöglichkeit von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren, mit Name und Rechtsform, Anschrift und Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor und zuständigen Aufsichtsbehörden. Für die zuerst erfassten Einrichtungen endete diese Frist am 6. März 2026. Wer sie verpasst hat, ist die Pflicht nicht losgeworden; eine Nachregistrierung bleibt möglich. Das BSI hat die Zahl der betroffenen Unternehmen in Deutschland zuletzt mit rund 29.000 angegeben.

Wichtig ist ein Nebensatz, der leicht überlesen wird: Auch wer für sich keine Betroffenheit feststellt, sollte das Ergebnis mit Datum und Begründung ablegen. Das Amt kann Aufzeichnungen und Auskünfte verlangen, wenn Tatsachen die Annahme nahelegen, dass die Registrierungspflicht nicht erfüllt wird. Ein nicht dokumentierter Negativbefund ist im Zweifel kein Befund. Warum in der Blechbearbeitung plötzlich über Bandbreite gesprochen wird, beschreibt der Branchenbeitrag darüber, wie viele Betriebsdaten in der Fertigung anfallen.

Was kommt über den Kundenvertrag?

Die zweite Tür ist der Vertrag. Wer selbst Einrichtung ist, muss nach dem Gesetz die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern regeln. Diese Pflicht landet praktisch beim Einkauf des Kunden, und von dort wandert sie in die Verträge seiner Zulieferer, auch der kleinen.

Was ankommt, ist selten ein Gesetzestext. Es sind Anlagen zum Vertrag: Mehrfaktor-Anmeldung für Fernzugänge, Patchfristen für sicherheitsrelevante Updates, Verschlüsselung, Backup, eine benannte Sicherheitskontaktstelle, ein Recht auf Prüfung oder ein Nachweis in Form eines Zertifikats, Zustimmung zu Unterauftragnehmern und eine Regelung, was am Ende der Zusammenarbeit mit Daten und Zugängen passiert.

Die schärfste Klausel ist selten die längste. Sie betrifft die Meldekette. Der Kunde muss innerhalb von 24 Stunden nach Kenntnis eine erste Meldung abgeben. Erfährt er von einem Vorfall bei seinem Dienstleister erst nach drei Tagen, ist er zu spät. Deshalb steht in brauchbaren Verträgen eine Frist, die deutlich unter 24 Stunden liegt, oft verbunden mit der Pflicht, auch Verdachtsfälle zu melden. Im fiktiven Beispielbetrieb dieses Beitrags ist genau das der Auslöser: Ein Zulieferer mit 60 Beschäftigten unterschreibt eine Sicherheitsanlage, ohne den eigenen Meldepfad zu kennen, und stellt danach fest, dass die zugesagte Frist nur mit einem geübten Ablauf zu halten ist.

Zwei Dinge gehören dabei auseinandergehalten. Erstens belegt ein Zertifikat nach einer Norm ein Managementsystem und nicht die Abwesenheit von Angriffen. Zweitens setzt vertragliche Anforderungen der Kunde durch und nicht das BSI. Wer nicht in den Anwendungsbereich fällt, kann trotzdem zur Erfüllung verpflichtet sein, und zwar gegenüber seinem Auftraggeber. Umgekehrt kann ein Zulieferer auf eine schnelle Unterrichtung angewiesen sein, weil sein Kunde wiederum seine Abnehmer informieren muss. Wer prüfen will, wie abhängig er dabei von fremdem Code ist, findet die Einordnung im Beitrag darüber, warum Open Source im Mittelstand eher Abhängigkeit als Ablösung bedeutet.

Welche Maßnahme hilft unabhängig von der Einstufung?

Ein Teil der Arbeit lohnt sich unabhängig davon, ob am Ende eine Registrierung steht. Das Gesetz beschreibt für betroffene Einrichtungen Mindestmaßnahmen, die sich fast wörtlich in jeder Sicherheitsempfehlung wiederfinden: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Wiederherstellung, Sicherheit der Lieferkette, Schwachstellenmanagement, Wirksamkeitsprüfung, Schulungen, Kryptografie, Zugriffskontrolle und Mehrfaktor-Anmeldung. Die Verhältnismäßigkeit richtet sich nach Risiko, Größe und Kosten, und die Umsetzung ist zu dokumentieren.

Vier Dinge daraus tragen auch ohne Einstufung. Erstens eine Liste der Systeme, Daten und externen Dienstleister, mit Namen und Kontaktweg. Zweitens ein Backup, dessen Wiederherstellung getestet wurde; ein ungetestetes Backup ist eine Annahme. Drittens Mehrfaktor-Anmeldung für Fernzugänge, weil sie den Aufwand eines Angriffs am stärksten verändert. Viertens ein Meldepfad, der geübt wurde.

Der Meldepfad ist der unterschätzte Teil. Die erste Meldung ist nach 24 Stunden fällig und verlangt wenig Inhalt: den Hinweis, ob ein Verdacht auf rechtswidrige oder böswillige Handlungen besteht und ob grenzüberschreitende Auswirkungen möglich sind. Nach 72 Stunden folgt eine Bewertung mit Schweregrad und Auswirkungen, nach einem Monat ein Abschlussbericht; dauert der Vorfall an, tritt an dessen Stelle zunächst eine Fortschrittsmeldung. Wer diese Kette in der Nacht erst sucht, verliert Zeit. Sie gehört auf ein Blatt Papier mit Telefonnummern, das auch dann funktioniert, wenn das eigene Postfach nicht erreichbar ist.

Verantwortlich ist die Geschäftsleitung und nicht die IT. Das Gesetz verlangt, dass sie die Risikomanagementmaßnahmen umsetzt und die Umsetzung überwacht, und es verlangt eine regelmäßige Schulung der Geschäftsleitung selbst. Wer die Aufgabe an eine Person ohne Entscheidungsbefugnis delegiert, hat die Pflicht nicht erledigt. Welche Maßnahmen zuerst kommen, wenn kein eigenes Sicherheitsteam existiert, steht im Beitrag darüber, wie ein Betrieb ohne eigenes Security-Team sicher bleibt.

Dass sich Sicherheit und Datenschutz dabei berühren, aber nicht deckungsgleich sind, behandelt der Beitrag darüber, wie Datenschutz im Maschinenraum anfängt: Ein Sicherheitsvorfall ist nicht automatisch eine Datenschutzverletzung, kann es aber werden. NIS2 ist außerdem nicht das einzige Regelwerk, das gerade andockt; was die KI-Verordnung verlangt und was daran noch Übergang ist, sortiert der Beitrag darüber, was die KI-Verordnung im Arbeitsalltag verlangt.

Die Prüfliste ordnet die beiden Wege nebeneinander. Sie ersetzt keine Einstufung im Einzelfall.

Was am Ende offen bleibt

Wer wissen will, ob NIS2 gilt, prüft zwei Listen, eine Größe und die eigene Rolle und dokumentiert das Ergebnis. Wer nicht in den Anwendungsbereich fällt, ist damit nicht aus dem Spiel: Die Anforderungen des Kunden bleiben, und sie sind oft strenger als das Gesetz, weil der Kunde seine eigenen Fristen einhalten muss. Beides gehört in zwei getrennte Akten, weil die eine Frage das Gesetz betrifft und die andere den Vertrag.

Offen bleibt die Einordnung im Grenzfall. Ob ein Geschäftsbereich eine Einrichtungsart erfüllt, ob eine Tätigkeit vernachlässigbar ist und wie Zahlen in einer Unternehmensgruppe zu rechnen sind, lässt sich nicht aus einer Zusammenfassung ableiten. Die Schwellen und Ausnahmen stehen im Gesetz, und die Anwendung auf einen einzelnen Betrieb ist eine Einzelfallfrage. Das Gesetz ist zudem erst seit dem 6. Dezember 2025 in Kraft, Aufsichts- und Prüfungspraxis entstehen gerade. Wer heute eine Einstufung vornimmt, sollte sie mit Datum und Begründung ablegen, damit sie in einem Jahr überprüfbar bleibt.