Was gilt bei NIS2? Pflichten für Unternehmen

Rechtsstand: September 2026

Ein Cyberangriff auf einen Dienstleister, ein fehlendes Notfallkonzept oder eine zu spät abgegebene Meldung kann für Unternehmen heute weit mehr sein als ein IT-Problem. Was gilt bei NIS2? Für viele mittelständische Unternehmen in Deutschland gelten konkrete gesetzliche Anforderungen an Cybersicherheit, Meldewege und die Verantwortung der Geschäftsleitung. Wer betroffen ist, sollte die eigene Einordnung nicht aufschieben.

Die NIS2-Richtlinie der Europäischen Union soll ein einheitlich hohes Niveau der Cybersicherheit schaffen. In Deutschland werden ihre Vorgaben durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt. Zuständige zentrale Behörde ist in vielen Fragen das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI.

NIS2 verlangt keine theoretische IT-Sicherheit auf dem Papier. Gefordert sind angemessene technische, operative und organisatorische Maßnahmen, die zum Risiko und zur Bedeutung des Unternehmens passen. Gerade bei gewachsenen IT-Strukturen, externen Dienstleistern und knappen Ressourcen liegt die praktische Herausforderung.

Welche Unternehmen fallen unter NIS2?

NIS2 richtet sich an Einrichtungen in besonders wichtigen und wichtigen Sektoren. Dazu gehören unter anderem Energie, Verkehr, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Finanzwesen, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, bestimmte Produktionsbereiche, digitale Dienste sowie Forschung.

Nicht jede Tätigkeit in diesen Bereichen führt automatisch zur NIS2-Pflicht. Als Ausgangspunkt gilt häufig: Das Unternehmen beschäftigt mindestens 50 Personen und erzielt einen Jahresumsatz oder eine Jahresbilanzsumme von mindestens 10 Millionen Euro. Bei verbundenen Unternehmen ist die Betrachtung allerdings komplexer. Beteiligungen, Konzernstrukturen und die Einstufung als kleines oder mittleres Unternehmen können das Ergebnis beeinflussen.

Für einzelne Dienstleistungsarten gelten Sonderregeln. Bestimmte Anbieter digitaler Infrastruktur, Vertrauensdienste, Domain-Name-System-Dienste oder Telekommunikationsdienste können unabhängig von diesen allgemeinen Schwellenwerten erfasst sein. Auch ein regional tätiges Unternehmen im Raum Stuttgart kann betroffen sein, wenn es etwa kritische digitale Dienste erbringt oder Teil einer relevanten Lieferkette ist.

Die Einordnung hängt zudem nicht allein von der Branche ab. Entscheidend ist, welche Dienste tatsächlich angeboten werden und welche rechtliche Kategorie auf das Unternehmen zutrifft. Eine Handelsgesellschaft mit eigener IT ist nicht automatisch NIS2-pflichtig. Ein IT-Dienstleister kann hingegen erfasst sein, wenn seine konkrete Leistung einem regulierten digitalen Dienst entspricht.

Was gilt bei NIS2 für Geschäftsführung und Vorstand?

NIS2 verlagert Cybersicherheit deutlich in die Leitungsebene. Geschäftsführung und Vorstand müssen die Maßnahmen zum Risikomanagement billigen, ihre Umsetzung überwachen und sich fortbilden. Eine vollständige Delegation an die IT-Abteilung oder einen externen IT-Dienstleister genügt nicht.

Das bedeutet nicht, dass die Geschäftsführung jede Sicherheitslücke technisch beurteilen muss. Sie muss aber nachvollziehbar entscheiden können, welche Risiken bestehen, welche Maßnahmen priorisiert werden und ob ausreichende Ressourcen bereitstehen. Regelmäßige Berichte, klare Zuständigkeiten und dokumentierte Entscheidungen sind deshalb keine Formalität, sondern Teil einer belastbaren Governance.

Bei Pflichtverstößen können behördliche Maßnahmen und Bußgelder drohen. Daneben können sich gesellschaftsrechtliche Haftungsfragen stellen, wenn Leitungsorgane ihre Überwachungs- und Organisationspflichten verletzen. Welche Risiken im Einzelfall bestehen, hängt unter anderem von der Unternehmensform, der konkreten Pflicht und dem Verlauf eines Sicherheitsvorfalls ab.

Welche Sicherheitsmaßnahmen sind erforderlich?

Das Gesetz fordert ein risikobasiertes Konzept. Es gibt daher keine identische Maßnahmenliste für jedes Unternehmen. Ein Produktionsbetrieb mit vernetzter Anlagensteuerung benötigt andere Schutzvorkehrungen als ein Anbieter von Cloud-Diensten oder ein Unternehmen mit überwiegend kaufmännischer IT.

Typischerweise muss das Sicherheitskonzept insbesondere diese Bereiche abdecken:

• Risikoanalysen und Sicherheitskonzepte für IT-Systeme und Prozesse

• Verfahren zur Erkennung, Behandlung und Dokumentation von Sicherheitsvorfällen

• Notfallmanagement, Datensicherung und Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs

• Sicherheitsanforderungen an Lieferanten, Managed-Service-Provider und sonstige Dienstleister

• Schwachstellenmanagement, Updates, Tests und regelmäßige Wirksamkeitskontrollen

• Zugriffsschutz, Berechtigungsmanagement, Mehrfaktor-Authentifizierung und gegebenenfalls Verschlüsselung

• Schulungen für Beschäftigte und Verantwortliche in der Leitungsebene

Entscheidend ist die Umsetzung im Alltag. Eine Richtlinie hilft wenig, wenn niemand weiß, wer bei einem Ransomware-Angriff entscheidet, wie Systeme isoliert werden oder welche Stelle informiert werden muss. Ebenso genügt ein Vertrag mit einem IT-Dienstleister nicht, wenn dessen Sicherheitsleistungen, Reaktionszeiten und Meldepflichten unklar bleiben.

NIS2 verlangt keine absolute Sicherheit. Sie verlangt jedoch, erkennbare Risiken angemessen zu steuern. Bei besonders kritischen Systemen können deshalb engmaschigere Kontrollen, technische Redundanzen und Übungen erforderlich sein. Bei weniger kritischen Bereichen kann ein schlankeres Konzept angemessen sein, sofern es nachvollziehbar begründet und wirksam umgesetzt wird.

Meldepflichten bei erheblichen Sicherheitsvorfällen

Ein zentraler Punkt sind die kurzen Meldefristen. Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle grundsätzlich über das vorgesehene Verfahren an die zuständigen Stellen melden. Als erheblich gelten Vorfälle insbesondere dann, wenn sie schwerwiegende Betriebsstörungen verursachen oder verursachen können, andere Personen oder Unternehmen erheblich beeinträchtigen oder zu erheblichen Schäden führen können.

Die Meldung erfolgt gestuft. Zunächst ist regelmäßig innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung abzugeben. Innerhalb von 72 Stunden folgt eine weitergehende Meldung mit verfügbaren Informationen. Ein Abschlussbericht ist grundsätzlich innerhalb eines Monats vorgesehen. Wenn die Untersuchung noch läuft, können Zwischenberichte erforderlich sein.

Diese Fristen zeigen, weshalb ein Incident-Response-Prozess vor dem Ernstfall stehen muss. Das Unternehmen sollte vorab festlegen, wer einen Vorfall bewertet, wer die Geschäftsleitung informiert, wer die Kommunikation mit IT-Dienstleistern führt und wer Meldungen freigibt. Dabei können neben NIS2 weitere Pflichten relevant werden, etwa bei personenbezogenen Daten nach der Datenschutz-Grundverordnung. Die Meldewege und Fristen sollten deshalb aufeinander abgestimmt sein.

Registrierung, Nachweise und behördliche Aufsicht

Erfasste Unternehmen müssen sich grundsätzlich registrieren und aktuelle Kontaktinformationen hinterlegen. Änderungen sind fristgerecht nachzupflegen. Eine belastbare interne Dokumentation ist dabei unverzichtbar: Risikobewertungen, Sicherheitsrichtlinien, Verträge mit Dienstleistern, Schulungsnachweise, Notfallübungen und Entscheidungen der Geschäftsleitung sollten geordnet verfügbar sein.

Die Aufsicht unterscheidet sich je nach Einordnung als besonders wichtige oder wichtige Einrichtung. Besonders wichtige Einrichtungen können stärker und auch anlasslos überwacht werden. Bei wichtigen Einrichtungen steht die Aufsicht typischerweise stärker im Zusammenhang mit konkreten Anlässen. In beiden Fällen kann das BSI Informationen anfordern, Prüfungen vornehmen und bei Mängeln Anordnungen treffen.

Bußgelder können erheblich sein. Die gesetzlichen Höchstbeträge unterscheiden sich nach Kategorie der Einrichtung und können sich auch am weltweiten Jahresumsatz orientieren. Für die Unternehmenspraxis ist aber nicht nur die Sanktion relevant. Sicherheitsvorfälle gefährden oft Lieferbeziehungen, Betriebsabläufe, vertrauliche Informationen und das Vertrauen von Kunden.

Die ersten Schritte für betroffene Unternehmen

Am Anfang steht eine rechtliche und tatsächliche Bestandsaufnahme. Welche Gesellschaft erbringt welche Dienste? Welcher Sektor ist betroffen? Werden die maßgeblichen Größenwerte erreicht? Gibt es Sonderregeln? Diese Fragen sollten vor einer rein technischen Projektplanung geklärt werden.

Anschließend empfiehlt sich ein Abgleich zwischen den NIS2-Anforderungen und dem vorhandenen Sicherheitsniveau. Viele Unternehmen verfügen bereits über Teile eines geeigneten Systems: Backup-Konzepte, Berechtigungskonzepte, externe IT-Betreuung oder Datenschutzprozesse. Häufig fehlen jedoch klare Verantwortlichkeiten, belastbare Nachweise, Lieferantenanforderungen oder ein erprobter Meldeprozess.

Besondere Aufmerksamkeit verdient die Zusammenarbeit mit Dienstleistern. Verträge sollten Aufgaben, Sicherheitsstandards, Reaktionszeiten, Informationspflichten bei Vorfällen und Mitwirkung bei Untersuchungen klar regeln. Das gilt nicht nur für klassische IT-Dienstleister, sondern je nach Betrieb auch für Cloud-Anbieter, Softwarehäuser, Fernwartungsanbieter und Unternehmen mit Zugriff auf sensible Systeme.

Eine frühe Prüfung schafft Handlungsspielraum. Für Unternehmen aus Fellbach, Stuttgart und der Region ebenso wie bundesweit gilt: Wer Zuständigkeiten, Risiken und Dokumentation vor dem Vorfall ordnet, kann im Ernstfall schneller und rechtssicherer handeln. Eine individuelle rechtliche Prüfung kann klären, ob und in welchem Umfang NIS2 auf Ihr Unternehmen Anwendung findet und welche Maßnahmen sinnvoll priorisiert werden sollten.

Quteco unterstützt Unternehmen bei der rechtlichen Einordnung von NIS2, bei Governance- und Meldeprozessen sowie bei der Abstimmung mit Datenschutz und IT-Sicherheit. Recht braucht mehr als Beratung - gerade dann, wenn technische Risiken unter Zeitdruck rechtlich richtig eingeordnet werden müssen.