Volljurist und Compliance-Experte
December 19, 2025
5 Minuten
.svg)
Viele KMU sind früher von NIS2 betroffen, als sie vermuten, oft allein durch ihre Rolle in der Lieferkette.
Die Unternehmensgröße schützt nicht vor Pflichten, wenn ein kritischer Kunde von der eigenen Leistung abhängig ist.
Ein strukturiertes Vorgehen mit klaren Prioritäten macht die NIS2-Umsetzung auch für kleine Unternehmen machbar.
Digitale Tools und automatisierte Prozesse reduzieren Aufwand und helfen KMU, NIS2 effizient und nachweisbar zu erfüllen.
Aktualisierung vom 21.11.2025: NIS2 gilt in Deutschland ab dem Tag der Veröffentlichung des Umsetzungsgesetzes im Bundesgesetzblatt, was derzeit für Ende 2025 oder Anfang 2026 erwartet wird. Dann werden die Pflichten für Unternehmen rechtlich verbindlich.
Die meisten Geschäftsführer von kleinen und mittleren Unternehmen (KMU) haben einen vollen Schreibtisch. Zwischen Kundenakquise, Personalmanagement und der täglichen Betriebsführung bleibt kaum Zeit, sich mit komplexen EU-Richtlinien zu befassen. Die Abkürzung "NIS2" wird daher oft als ein weiteres Thema für Großkonzerne abgetan. Doch das ist ein Trugschluss, der teuer werden kann.
Die Wahrheit ist: Die NIS2-Richtlinie betrifft weit mehr Unternehmen, als man auf den ersten Blick vermuten würde. Es geht nicht nur um die offensichtlich "kritischen" Branchen. Oft reicht eine einzige, entscheidende Kundenbeziehung aus, um Ihr KMU in den Fokus der Regulierung zu rücken. Dieser Artikel ist Ihr praxisorientierter Leitfaden. Wir klären, wann genau Ihr Unternehmen betroffen ist und zeigen Ihnen, wie Sie sich ohne Panik, aber mit System vorbereiten können.
Bevor wir in die Tiefe gehen, lassen Sie uns die wichtigste Frage klären: Fällt Ihr Unternehmen überhaupt unter die NIS2-Richtlinie? Die Antwort hängt von drei Faktoren ab: Ihrem Sektor, Ihrer Unternehmensgröße und Ihrer Rolle in der Lieferkette.
Prüfen Sie diese drei Punkte für Ihr Unternehmen:
Wenn Sie Punkt 1 und 2 mit "Ja" beantworten, sind Sie sehr wahrscheinlich betroffen. Wenn Sie nur Punkt 1, aber nicht Punkt 2 erfüllen, kann die "Lieferketten-Regel" (Punkt 3) Sie dennoch in die Pflicht nehmen. Dies ist der entscheidende Punkt, den viele KMU übersehen.
Bevor wir zu den konkreten Schritten kommen, ist es wichtig, die Grundlagen zu verstehen. Nur so können Sie die Anforderungen richtig einordnen.
Stellen Sie sich NIS2 als ein EU-weites Upgrade für die Cybersicherheit vor. Die erste Version (NIS1) war ein guter Anfang, aber die digitale Welt hat sich rasant weiterentwickelt. NIS2 ist die Antwort auf die zunehmende Vernetzung und die gewachsene Bedrohungslage. Die Richtlinie zielt darauf ab, das digitale Immunsystem der gesamten europäischen Wirtschaft zu stärken, indem sie für viele Unternehmen einheitliche und verbindliche Sicherheitsstandards vorschreibt. Für eine tiefere Einführung können Sie unseren Beitrag lesen, der erklärt, was NIS2 ist.
NIS2 teilt die betroffenen Unternehmen in zwei Kategorien ein: "wesentliche Einrichtungen" (Essential Entities) und "wichtige Einrichtungen" (Important Entities).
Für Sie als KMU ist die zentrale Botschaft: Die umzusetzenden Maßnahmen sind für beide Kategorien nahezu gleich. Der Unterschied liegt primär in der Art der behördlichen Kontrolle.
Die Richtlinie umfasst 11 Sektoren mit "hoher Kritikalität" (meist wesentliche Einrichtungen) und 7 weitere "kritische" Sektoren (meist wichtige Einrichtungen).
Sektoren mit hoher Kritikalität:
Weitere kritische Sektoren:
Wenn Sie zu dem Schluss gekommen sind, dass Ihr KMU betroffen ist, lautet die nächste Frage: Was genau wird von mir erwartet? Die Richtlinie fordert einen risikobasierten Ansatz. Das bedeutet, Sie müssen angemessene technische und organisatorische Maßnahmen ergreifen, um Ihre Netz- und Informationssysteme zu schützen.
Die NIS2-Anforderungen umfassen mindestens diese zehn Punkte:
Der wohl wichtigste "Aha-Moment" für viele KMU liegt in der Verantwortung für die Lieferkette. Selbst wenn Ihr Unternehmen nur 20 Mitarbeiter hat und nicht direkt in einem kritischen Sektor tätig ist, können Sie betroffen sein.
Ein praktisches Beispiel: Sie sind ein IT-Dienstleister und betreuen die gesamte Server-Infrastruktur eines regionalen Krankenhauses. Das Krankenhaus ist eine "wesentliche Einrichtung" nach NIS2. Ein erfolgreicher Cyberangriff auf Ihr Unternehmen könnte die Systeme des Krankenhauses lahmlegen. Damit werden Sie zu einem kritischen Glied in der Lieferkette und fallen ebenfalls unter die NIS2-Richtlinie. Sie erben quasi die Kritikalität Ihres Kunden.
Das bedeutet, Sie müssen nicht nur Ihre eigene Sicherheit im Griff haben, sondern auch die Ihrer wichtigsten Lieferanten bewerten. Dies erfordert eine neue, proaktive Auseinandersetzung mit der Sicherheit in der Lieferkette.
Die Liste der Anforderungen mag lang erscheinen, aber mit einem strukturierten Vorgehen ist die Umsetzung machbar. Betrachten Sie es als ein Projekt in drei Phasen.
Phase 1: Bestandsaufnahme & Risikoanalyse (Woche 1-4)
Phase 2: Maßnahmen umsetzen (Monat 2-6)
Phase 3: Betrieb & Meldung (Laufend)
Ein entscheidender Punkt, der NIS2 von früheren IT-Vorschriften unterscheidet, ist die explizite Betonung der Verantwortung der Geschäftsleitung. Die Richtlinie macht unmissverständlich klar: Cybersicherheit ist Chefsache.
Als Geschäftsführer sind Sie nicht nur dafür verantwortlich, die Umsetzung der Maßnahmen zu billigen und zu überwachen, Sie haften auch persönlich für die Einhaltung. Das Ignorieren der NIS2-Pflichten ist kein Kavaliersdelikt, sondern ein potenzielles Haftungsrisiko. Dies unterstreicht die Notwendigkeit, das Thema strategisch anzugehen und nicht einfach an die IT-Abteilung zu delegieren. Für weitere Details empfehlen wir unseren Leitfaden für Geschäftsführer.
Die manuelle Umsetzung und Dokumentation aller NIS2-Anforderungen in Excel-Listen und Word-Dokumenten ist für KMU eine enorme Belastung. Es ist zeitaufwendig, fehleranfällig und schwer aktuell zu halten.
Hier kommen digitale Compliance-Plattformen ins Spiel. Sie fungieren wie ein digitaler Experte, der Sie Schritt für Schritt durch den Prozess führt:
Mit den richtigen Werkzeugen, wie NIS2-konformen Vorlagen und Checklisten, wird die Umsetzung der NIS2-Anforderungen von einer unüberwindbaren Hürde zu einer beherrschbaren Aufgabe.
NIS2 ist mehr als nur eine lästige Pflicht. Es ist die Chance, die digitale Widerstandsfähigkeit Ihres Unternehmens nachhaltig zu stärken und sich als vertrauenswürdiger Partner in einer immer stärker vernetzten Wirtschaft zu positionieren. Beginnen Sie noch heute mit dem ersten Schritt.
Die EU-Mitgliedstaaten müssen die Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Ab dem 18. Oktober 2024 müssen die betroffenen Unternehmen die Vorgaben erfüllen.
Für "wichtige Einrichtungen", wozu die meisten KMU zählen, können die Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes betragen – je nachdem, welcher Betrag höher ist.
Nein, das wäre ein Fehler. Die Kernanforderungen der EU-Richtlinie stehen fest und werden sich nicht grundlegend ändern. Die Zeit bis Oktober 2024 ist knapp bemessen. Wer jetzt anfängt, verschafft sich einen entscheidenden Vorsprung und vermeidet hektischen Aktionismus kurz vor der Frist.
Die Umsetzung erfordert spezifisches Know-how. Während einige Basismaßnahmen intern umgesetzt werden können, ist es für komplexe Themen wie die Risikoanalyse oder die Erstellung eines Notfallkonzepts oft sinnvoll, sich externe Expertise oder digitale Unterstützung zu holen.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Viele Unternehmen unterschätzen, wie stark ihre Lieferantenverträge über die NIS2-Compliance entscheiden. Dieser Leitfaden zeigt praxisnah, welche Cybersecurity-Klauseln nach NIS2 zwingend erforderlich sind und wie Sie Haftungsrisiken, Meldepflichten und Auditrechte rechtssicher regeln. So verwandeln Sie Ihre Lieferkette von einem Risikofaktor in einen wirksamen Baustein Ihrer Cyber-Resilienz.
Viele Unternehmen unterschätzen die Bedeutung interner Audits und Management Reviews in der ISO 27001, dabei sind sie der Schlüssel zu einem lebendigen, wirksamen ISMS. Dieser Leitfaden zeigt, wie Sie Leistungsbewertung und kontinuierliche Verbesserung nicht als Pflicht, sondern als strategisches Steuerungsinstrument nutzen. Erfahren Sie, wie Sie Audits effizient gestalten, typische Fehler vermeiden und Ihr Sicherheitsmanagement zu einem echten Wettbewerbsvorteil weiterentwickeln.
Viele Unternehmen betreiben Qualitäts- und Informationssicherheitsmanagement getrennt und verschenken damit Effizienz und Sicherheit. Erfahren Sie, wie die Kombination von ISO 9001 und ISO 27001 zu einem integrierten Managementsystem führt, das Prozesse vereinfacht, Risiken ganzheitlich steuert und Ihr Unternehmen optimal auf NIS2 und zukünftige Anforderungen vorbereitet.
.svg)
.svg)
.svg){kind=small}