Die NIS2-Richtlinie gilt in der öffentlichen Wahrnehmung oft als Thema für Konzerne und kritische Infrastrukturen. Doch diese Einschätzung greift zu kurz. Viele kleine und mittlere Unternehmen sind entweder direkt betroffen oder geraten über ihre Lieferketten unter Druck, NIS2-konforme Sicherheitsstandards nachzuweisen. Wer jetzt noch abwartet, riskiert nicht nur regulatorische Konsequenzen, sondern auch den Verlust wichtiger Geschäftsbeziehungen.
Die Frage, ob NIS2 für das eigene Unternehmen gilt, lässt sich nicht pauschal beantworten. Sie hängt von Unternehmensgröße, Branchenzugehörigkeit und der Rolle in der Wertschöpfungskette ab. Dieser Artikel erklärt, wann KMU direkt unter die Richtlinie fallen, wann sie indirekt betroffen sind und welche konkreten Schritte eine rechtssichere Umsetzung erfordern.
Schwellenwerte und Sektoren: Wer fällt unter NIS2?
NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen und knüpft die Pflicht zur Einhaltung an zwei Kriterien: Unternehmensgröße und Sektorzugehörigkeit. Als Faustregel gilt: Unternehmen mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz bzw. einer Jahresbilanzsumme von mehr als 10 Millionen Euro, die in einem der erfassten Sektoren tätig sind, fallen grundsätzlich in den Anwendungsbereich.
Die erfassten Sektoren sind deutlich breiter als unter der Vorgängerrichtlinie NIS1. Neben klassischen Bereichen wie Energie, Transport und Gesundheitswesen zählen jetzt auch digitale Infrastruktur, Abfallwirtschaft, Lebensmittelproduktion, Maschinenbau und viele weitere Branchen dazu. Für produzierende Mittelständler, Logistikunternehmen oder IT-Dienstleister bedeutet das: Die Betroffenheit ist keine Ausnahme, sondern eine reale Möglichkeit, die aktiv geprüft werden muss.
Kleinunternehmen unter diesen Schwellenwerten sind grundsätzlich ausgenommen, sofern sie keine kritische Funktion in einem Sektor übernehmen. Doch selbst unterhalb der Schwellenwerte kann eine faktische Pflicht entstehen, wenn Kunden oder Auftraggeber die Einhaltung von NIS2-Standards vertraglich einfordern.
Indirekte NIS2-Pflichten durch die Lieferkette
Einer der weitreichendsten Aspekte von NIS2 ist die explizite Anforderung an betroffene Unternehmen, ihre Lieferkettensicherheit aktiv zu managen. Das bedeutet: Wer als Zulieferer, Dienstleister oder Softwareanbieter für eine NIS2-pflichtige Organisation arbeitet, wird zunehmend mit Sicherheitsanforderungen konfrontiert, die vertraglich weitergegeben werden.
In der Praxis sieht das so aus: Ein Automobilzulieferer, der selbst knapp unter den NIS2-Schwellenwerten liegt, erhält vom OEM oder Tier-1-Kunden eine Anforderung zur Nachweisführung über Informationssicherheitsmaßnahmen. Ähnliches gilt für IT-Dienstleister, die Systeme für Krankenhäuser oder Energieversorger betreiben. Die NIS2-Betroffenheit entsteht hier nicht durch das Gesetz selbst, sondern durch die Vertragsbeziehung mit einer regulierten Einrichtung.
Wer diese indirekten Anforderungen ignoriert, gefährdet bestehende Kundenbeziehungen und schließt sich möglicherweise von zukünftigen Ausschreibungen aus. Die Lieferkettenpflichten von NIS2 wirken damit als Multiplikator, der die Reichweite der Richtlinie weit über den formalen Anwendungsbereich hinaus ausdehnt.
Welche Maßnahmen NIS2 konkret verlangt
NIS2 definiert einen Mindeststandard für technische und organisatorische Sicherheitsmaßnahmen, der verbindlich umzusetzen ist. Die Anforderungen sind keine abstrakten Ziele, sondern konkrete Handlungsfelder.
Technische Maßnahmen
Auf der technischen Seite verlangt NIS2 unter anderem ein funktionsfähiges Patch- und Schwachstellenmanagement, Netzwerksegmentierung, Zugangskontrolle nach dem Least-Privilege-Prinzip sowie die Fähigkeit zur Erkennung und Reaktion auf Sicherheitsvorfälle. Kontinuierliches Monitoring, etwa durch ein SIEM-System, ist dabei kein optionales Add-on, sondern ein zentrales Instrument zur Erfüllung der Nachweispflichten.
Organisatorische Anforderungen
Gleichwertig dazu stehen organisatorische Pflichten: Unternehmen müssen ein Risikomanagementsystem einführen, Sicherheitsverantwortlichkeiten klar benennen, Mitarbeitende schulen und Meldeprozesse für Sicherheitsvorfälle etablieren. Die Meldepflicht ist dabei besonders streng: Erhebliche Vorfälle müssen innerhalb von 24 Stunden an die zuständige Behörde gemeldet werden, mit einem vollständigen Bericht innerhalb von 72 Stunden.
Für KMU ohne dediziertes Sicherheitsteam ist die Kombination dieser Anforderungen eine erhebliche Herausforderung. Die Richtlinie macht dabei keine Ausnahmen für kleinere Organisationen, die formal in den Anwendungsbereich fallen.
Typische Lücken in der NIS2-Umsetzung bei KMU
In der Praxis zeigen sich bei mittelständischen Unternehmen immer wieder ähnliche Schwachstellen, wenn es um die NIS2-Konformität geht. Diese entstehen selten aus Gleichgültigkeit, sondern meist aus fehlenden Ressourcen und unklaren Zuständigkeiten.
Eine häufige Lücke ist das Fehlen eines dokumentierten Risikomanagementprozesses. Viele KMU betreiben Informationssicherheit reaktiv, also erst dann, wenn etwas passiert. NIS2 verlangt jedoch einen proaktiven, nachvollziehbaren Ansatz, der regelmäßig überprüft und angepasst wird. Ohne diese Dokumentation fehlt die Grundlage für alle weiteren Maßnahmen.
Ein zweites Problem ist die unzureichende Absicherung der Lieferkette. Unternehmen prüfen ihre eigenen Systeme, vernachlässigen aber die Sicherheitsstandards ihrer Dienstleister und Software-Anbieter. NIS2 macht die betroffene Einrichtung jedoch mitverantwortlich für Sicherheitsrisiken, die aus der Lieferkette stammen.
Schließlich fehlen in vielen KMU klare Meldeprozesse. Wer im Ernstfall nicht weiß, wer intern zuständig ist, welche Vorfälle meldepflichtig sind und wie die Behördenkommunikation abläuft, wird die 24-Stunden-Frist kaum einhalten können.
Erste Schritte zur NIS2-Konformität für KMU
Der Einstieg in die NIS2-Compliance muss nicht mit einem vollständigen Sicherheitsprogramm beginnen. Sinnvoller ist ein strukturierter Ansatz, der zuerst Klarheit schafft und dann gezielt Lücken schließt.
Der erste Schritt ist eine Betroffenheitsanalyse: Fällt das Unternehmen direkt unter NIS2 oder entstehen Anforderungen über die Lieferkette? Diese Frage lässt sich oft nicht intern beantworten, weil sie Kenntnis der Sektordefinitionen und der eigenen Vertragslandschaft erfordert.
Danach folgt eine Gap-Analyse, die den aktuellen Sicherheitszustand mit den NIS2-Anforderungen abgleicht. Das Ergebnis ist eine priorisierte Maßnahmenliste, die sowohl technische als auch organisatorische Handlungsfelder abdeckt. Wer diesen Schritt überspringt und direkt mit Einzelmaßnahmen beginnt, läuft Gefahr, Ressourcen in Bereichen zu investieren, die gar nicht die größten Lücken darstellen.
Parallel dazu empfiehlt es sich, Meldeprozesse frühzeitig zu definieren und intern zu kommunizieren. Diese kosten wenig, sind aber im Ernstfall entscheidend für die Einhaltung der gesetzlichen Fristen. Auch die Einbindung eines externen Informationssicherheitsbeauftragten kann für KMU ohne eigene Sicherheitsabteilung eine pragmatische Lösung sein, um geprüfte Expertise ohne Vollzeitstelle zu erhalten.
Wie UBESAFE KMU bei der NIS2-Umsetzung unterstützt
UBESAFE begleitet kleine und mittlere Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Konformität. Das Leistungsangebot umfasst:
- Betroffenheitsanalyse und Pflichtenbild: Klärung, ob und in welchem Umfang NIS2 gilt, inklusive Lieferkettenperspektive
- NIS2-Audit mit Gap-Analyse: strukturierte Bewertung des aktuellen Reifegrads und konkreter Handlungsbedarf
- Aufbau von Governance und Meldeprozessen: dokumentierte Strukturen, die im Ernstfall funktionieren
- Technische Umsetzung: 24/7-Monitoring, SIEM, Schwachstellen-Scan und Patchmanagement aus einer Hand
- Managed Service für kontinuierliche Überwachung, Reviews und Optimierung, damit NIS2 nicht einmalig, sondern dauerhaft erfüllt wird
Audit, Meldeprozesse und technische Maßnahmen werden dabei flexibel als Gesamtpaket oder als einzelne Komponenten angeboten, je nachdem, was das Unternehmen bereits hat und wo der dringlichste Bedarf liegt. Wer wissen möchte, wo das eigene Unternehmen heute steht, kann mit einem kostenlosen Erstaudit starten und bekommt eine klare Einschätzung ohne Verpflichtung.