NIS2 für Startups: Die Pflichten greifen früher als gedacht

Startups halten NIS2 oft für ein Thema großer Konzerne. Das Gegenteil ist der Fall: Weil das Gesetz auf Sektor und Unternehmensgröße abstellt und nicht auf einzelne Anlagen, geraten cloud-native Geschäftsmodelle früh in den Anwendungsbereich. Und die entscheidende Frist ist inzwischen abgelaufen, ohne dass ein großer Teil der betroffenen Unternehmen reagiert hätte.

Warum gilt NIS2 für Startups bereits ohne Übergangsfrist?

Weil das NIS2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft getreten ist und keine Schonfrist vorsieht. Die Pflichten gelten seit dem ersten Tag. Bundesweit fallen rund 29.500 Unternehmen aus 18 Sektoren darunter.

Bei der Registrierung wird es konkret, und hier lohnt eine Präzisierung, die viele Darstellungen unterschlagen. Die gesetzliche Registrierungsfrist nach § 33 BSIG endete am 6. März 2026. Der vielzitierte 31. Juli 2026 war keine Verlängerung dieser Frist, sondern reine Vollzugszurückhaltung: Das BSI hatte angekündigt, verspätete Registrierungen bis dahin ohne Sanktionen anzunehmen. Zum Stichtag waren etwa 18.500 Unternehmen registriert, rund 11.000 fehlten, also fast ein Drittel. Wer jetzt noch nicht registriert ist, befindet sich seit dem 7. März 2026 in einem fortlaufenden Verstoß. Die Pflicht besteht unverändert, nur der sanktionsfreie Korridor ist zu.

Wen erfasst NIS2 für Startups, und über welchen Sektor?

Für Tech-Startups läuft der Weg fast immer über die digitale Infrastruktur, und zwar in der Anlage 1 des BSIG. Dort stehen Anbieter von Cloud-Computing-Diensten, wozu Infrastructure, Platform und Software as a Service zählen, dazu Anbieter von Rechenzentrumsdiensten, Managed Services Provider und Managed Security Services Provider. Ein B2B-SaaS-Produkt landet damit im Regelfall in der Anlage 1, nicht in der Anlage 2.

Diese Unterscheidung ist keine Formalie. Die Anlage 2 nennt bei den Anbietern digitaler Dienste ausschließlich Online-Marktplätze, Online-Suchmaschinen und Plattformen sozialer Netzwerke, und Anlage-2-Einrichtungen bleiben immer wichtige Einrichtungen. In der Anlage 1 dagegen ist ein Aufstieg möglich: Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz wird aus der wichtigen eine besonders wichtige Einrichtung, mit strengerer Aufsicht. Für ein wachsendes Startup heißt das, dass eine Finanzierungsrunde oder eine Einstellungswelle die Einstufung verändern kann, und dass die Beteiligungsstruktur mitzählt.

Was kostet ein Versäumnis bei NIS2 für Startups?

Zwei Bußgeldrahmen, die häufig vermischt werden. Für Verstöße gegen die Risikomanagementpflichten drohen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen und bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen. Für die schlichte Nichtregistrierung gilt ein eigener, niedrigerer Rahmen von bis zu 500.000 Euro.

Die 500.000 Euro sind die Zahl, die für die meisten Nachzügler gerade relevant ist, und sie hat einen unangenehmen Nebeneffekt: Wer nicht registriert ist, ist für die Aufsicht unsichtbar und fällt genau dann auf, wenn ein Vorfall gemeldet werden muss. Dazu kommt die persönliche Ebene. Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen billigen und ihre Umsetzung überwachen, die Verantwortung ist nicht delegierbar, und Schulungen der Leitung sind ausdrücklich Teil der Pflicht.

Welche Fristen gehören bei NIS2 für Startups in den Kalender?

Vor allem die gestufte Meldekette nach § 32 BSIG. Bei einem erheblichen Sicherheitsvorfall ist eine Frühwarnung innerhalb von 24 Stunden fällig, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Adressat ist die gemeinsame Meldestelle von BSI und BBK.

Der Punkt, an dem es in der Praxis scheitert, ist der Startzeitpunkt: Die Uhr läuft ab Kenntnis des Vorfalls, nicht ab dem Moment, in dem alle Fakten vorliegen. Die erste Meldung darf unvollständig sein, sie muss nur rechtzeitig eingehen. Wer diese Kette nicht einmal geübt hat, verliert die 24 Stunden mit der Frage, wer entscheiden darf. Deshalb gehören Zuständigkeit, Erreichbarkeit und Eskalationsweg schriftlich fixiert, und zwar bevor sie gebraucht werden.

Wie viel Arbeit ist NIS2 für Startups, wenn schon ein ISMS läuft?

Deutlich weniger als ein Neustart. Die zehn Maßnahmenbereiche des § 30 BSIG lesen sich wie das Inhaltsverzeichnis eines Informationssicherheits-Managementsystems: Risikoanalyse, Vorfallbehandlung, Backup und Notfallplan, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitskontrolle, Schulungen, Kryptografie, Zugriffskontrolle und Mehrfaktor-Authentifizierung. Wer ein ISMS nach ISO 27001 betreibt, hat den Großteil davon abgedeckt.

Drei Dinge liefert das Zertifikat allerdings nicht mit. Die Registrierung beim BSI ist ein eigener Akt. Die Meldekette an die Behörde ist kein Bestandteil der Norm und muss zusätzlich aufgebaut werden. Und der Nachweis, dass die Geschäftsleitung geschult ist und die Maßnahmen gebilligt hat, ist eine gesetzliche Anforderung, die über die Managementbewertung hinausgeht. Der Grundsatz der Verhältnismäßigkeit hilft dabei: Verlangt ist ein Schutzniveau, das zu Größe und Risiko des Unternehmens passt, nicht das eines Konzerns.

Was steht im Whitepaper?

• Warum die Schwelle bei Startups nach unten verschoben ist und wie Beteiligungen die Betroffenheit über die Gruppe erzeugen
• Fünf Angriffsszenarien aus der Praxis cloud-nativer Unternehmen, von übernommenen Zugängen bis zum Datenabfluss aus der Datenbank
• Was das Gesetz konkret verlangt, entlang der fünf Paragraphen zu Betroffenheit, Risikomanagement, Meldepflichten, Leitungspflichten und Sanktionen
• Eine Roadmap in sechs Schritten, die vorhandene Strukturen nutzt statt bei null zu beginnen
• Wie sich NIS2 und ein bestehendes ISMS in einem Aufbau gemeinsam abdecken lassen

Das Whitepaper richtet sich an Gründerinnen und Gründer, Geschäftsführungen sowie Technik- und Sicherheitsverantwortliche in Startups und Scale-ups mit digitalem Geschäftsmodell. Laden Sie es kostenfrei herunter.