Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, vierzehn Monate nach der EU-Frist. Seitdem verkaufen einige Anbieter „NIS2-Compliance-Pakete" an Betriebe, die gar nicht betroffen sind.
Die nüchterne Einordnung ist einfacher, als der Lärm vermuten lässt.
Wer betroffen ist
Es braucht beides: die richtige Branche und die richtige Größe.
- Besonders wichtige Einrichtungen: ab 250 Beschäftigten oder 50 Millionen Euro Umsatz, in elf Sektoren wie Energie, Wasser, Verkehr, Gesundheit, digitale Infrastruktur.
- Wichtige Einrichtungen: ab 50 Beschäftigten oder 10 Millionen Euro Umsatz, in sieben weiteren Sektoren wie Produktion, Lebensmittel, Chemie, Post.
Insgesamt sind in Deutschland rund 29.500 Unternehmen erfasst. Ein Handwerksbetrieb mit acht Leuten ist keines davon.
Wo es dich trotzdem erreicht
Über die Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferanten in ihr Risikomanagement einbeziehen. Praktisch heißt das: Wenn du für einen größeren Hersteller arbeitest, kommt irgendwann ein Fragebogen.
Darin steht sinngemäß: Habt ihr Backups, testet ihr sie, gibt es Zwei-Faktor-Authentifizierung, wie meldet ihr Vorfälle, wer ist zuständig?
Wer darauf nicht antworten kann, verliert im Zweifel den Auftrag. Nicht wegen NIS2 — wegen des Kunden, der NIS2 erfüllen muss.
Was das praktisch bedeutet
Die gute Nachricht: Die Antworten auf diesen Fragebogen sind genau die Dinge, die ein Betrieb ohnehin haben sollte.
- Eine Sicherung, die getestet ist — warum das nicht dasselbe ist wie „Backups vorhanden"
- Zwei Faktoren für alles, was von außen erreichbar ist — Einführung ohne Aussperren
- Ein aktueller Patchstand, dokumentiert
- Eine benannte Person, die im Ernstfall zuständig ist
- Ein Blatt Papier, auf dem steht, wen man anruft, wenn nichts mehr geht
Das ist kein Zertifizierungsprojekt. Das sind fünf Punkte, die man an einem Nachmittag festhalten kann, wenn die Technik dahinter existiert.
Was wir davon halten
Wir verkaufen keine NIS2-Pakete. Wenn du einen Lieferantenfragebogen bekommst, sehen wir ihn uns an, sagen dir, was davon bei dir schon erfüllt ist, und setzen den Rest um. In den meisten Fällen ist die Lücke kleiner als befürchtet.
Ob dein Betrieb direkt unter das Gesetz fällt, ist eine juristische Frage. Die Sektorenzuordnung ist im BSI-Gesetz geregelt, und im Grenzfall gehört sie zu einem Anwalt.