Die NIS2-Richtlinie hat in vielen mittelständischen Unternehmen Unsicherheit ausgelöst. Wer fällt überhaupt darunter? Welche Pflichten gelten konkret? Und gibt es Spielraum für kleinere Betriebe? Die Antwort ist differenzierter, als die öffentliche Debatte oft vermuten lässt. NIS2 trifft den Mittelstand nicht pauschal, sondern nach klaren Kriterien, und das Regelwerk enthält durchaus Abstufungen, die den Aufwand für viele Unternehmen begrenzen.
Wer die eigene Betroffenheit und das konkrete Pflichtenbild kennt, kann gezielt handeln, statt auf Verdacht alles umzusetzen. Dieser Beitrag erklärt, wie NIS2 den Mittelstand tatsächlich trifft, welche Erleichterungen das Rahmenwerk vorsieht und wo Lieferkettenpflichten trotzdem Relevanz entfalten können.
Wen NIS2 wirklich trifft und wen nicht
NIS2 gilt nicht für alle Unternehmen. Die Richtlinie definiert Schwellenwerte, unterhalb derer Betriebe grundsätzlich nicht erfasst werden: Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz unter 10 Millionen Euro fallen in der Regel nicht in den Anwendungsbereich. Damit sind viele kleine Betriebe formal ausgenommen.
Für mittlere und größere Unternehmen hängt die Betroffenheit von zwei Faktoren ab: der Unternehmensgröße und der Zugehörigkeit zu einem der in NIS2 definierten Sektoren. Die Richtlinie unterscheidet zwischen hochkritischen Sektoren (etwa Energie, Gesundheit, Wasser, digitale Infrastruktur) und weiteren kritischen Sektoren (darunter Maschinenbau, Chemie, Lebensmittel, Post und Kurierdienste, Abfallwirtschaft). Wer in einem dieser Sektoren tätig ist und die Größenschwellen überschreitet, ist betroffen, unabhängig davon, ob das Unternehmen sich selbst als „kritisch“ einschätzt.
Eine Besonderheit: In bestimmten Fällen kann auch die Größe allein ausreichen. Unternehmen, die als einziger Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat gelten oder deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit hätte, können unabhängig von der Mitarbeiterzahl erfasst werden. Das ist die Ausnahme, aber sie zeigt, dass die Schwellenwerte nicht das einzige Kriterium sind. Eine NIS2-Betroffenheitsprüfung schafft hier Klarheit.
Abgestufte Pflichten: wichtige vs. wesentliche Einrichtungen
NIS2 unterscheidet zwischen zwei Kategorien: wesentliche Einrichtungen und wichtige Einrichtungen. Diese Unterscheidung ist für den Mittelstand direkt relevant, weil sie bestimmt, wie intensiv Aufsicht und Kontrolle ausfallen.
Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht durch die zuständigen Behörden. Das bedeutet: Kontrollen können anlasslos stattfinden, und die Anforderungen an Nachweise und Dokumentation sind höher. Wichtige Einrichtungen hingegen werden reaktiv beaufsichtigt, also in der Regel erst dann, wenn Hinweise auf Verstöße vorliegen. Für viele mittelständische Unternehmen, die in die Kategorie der wichtigen Einrichtungen fallen, ist das ein spürbarer Unterschied im Alltag.
Die inhaltlichen Sicherheitspflichten sind in beiden Kategorien weitgehend identisch: Risikomanagement, Meldepflichten, Maßnahmen zur Geschäftskontinuität, Lieferkettensicherheit und technische Schutzmaßnahmen gehören für alle betroffenen Einrichtungen dazu. Der Unterschied liegt nicht im Was, sondern im Wie der Kontrolle und in der Intensität der Nachweispflichten.
Verhältnismäßigkeit als Grundprinzip der NIS2-Umsetzung
NIS2 schreibt keine einheitliche Messlatte vor, die jedes betroffene Unternehmen gleich hoch überspringen muss. Das Verhältnismäßigkeitsprinzip ist im Regelwerk ausdrücklich verankert: Maßnahmen müssen dem Risiko angemessen sein, unter Berücksichtigung von Unternehmensgröße, Risikoexposition und den möglichen Auswirkungen eines Sicherheitsvorfalls.
In der Praxis bedeutet das, dass ein mittelständischer Maschinenbauer mit 120 Mitarbeitern nicht dieselbe Sicherheitsarchitektur aufbauen muss wie ein Betreiber kritischer Infrastruktur mit Tausenden Systemen. Entscheidend ist, dass die getroffenen Maßnahmen das tatsächliche Risikoprofil des Unternehmens abdecken und nachvollziehbar dokumentiert sind. Eine risikobasierte Herangehensweise ist also nicht nur erlaubt, sondern ausdrücklich vorgesehen.
Das entbindet Unternehmen nicht davon, die Mindestanforderungen zu erfüllen, zu denen Patch-Management, Zugangskontrollen, Verschlüsselung, Incident-Response-Prozesse und Sicherheitsbewusstsein bei Mitarbeitern gehören. Aber es schafft Spielraum bei der konkreten Ausgestaltung. Wer seinen Ansatz gut begründen kann, steht auf solidem Boden.
Lieferkettenpflichten und wann sie den Mittelstand betreffen
Ein oft unterschätzter Aspekt: NIS2 kann Unternehmen auch dann betreffen, wenn sie selbst nicht direkt in den Anwendungsbereich fallen. Große, regulierte Unternehmen sind verpflichtet, Risiken in ihrer Lieferkette zu managen, und das schließt ihre Dienstleister und Zulieferer ein.
Wer also als IT-Dienstleister, Softwareanbieter, Logistikpartner oder produzierender Zulieferer für eine wesentliche oder wichtige Einrichtung tätig ist, wird über vertragliche Anforderungen mit NIS2-Pflichten konfrontiert. Diese kommen nicht vom Gesetzgeber direkt, sondern vom Auftraggeber, der seinerseits nachweisen muss, dass seine Lieferkette sicher ist. In der Automobilindustrie kennt man dieses Muster bereits von TISAX, und NIS2 etabliert eine ähnliche Dynamik nun branchenübergreifend.
Für den Mittelstand bedeutet das: Auch ohne formale Betroffenheit lohnt es sich, die eigene Sicherheitslage zu prüfen. Wer auf Anfragen von Geschäftspartnern nicht antworten kann oder keine Nachweise liefern kann, riskiert Aufträge. Die Lieferkettenpflichten sind damit ein indirekter, aber sehr realer Treiber für NIS2-Konformität im Mittelstand.
Erste Schritte zur NIS2-Konformität im Mittelstand
Der sinnvollste Einstieg ist eine ehrliche Bestandsaufnahme. Bevor Maßnahmen geplant werden, muss klar sein, ob das Unternehmen überhaupt betroffen ist, in welche Kategorie es fällt und welche Anforderungen sich daraus ableiten. Eine strukturierte Betroffenheitsanalyse und ein Gap-Assessment geben Orientierung und verhindern, dass Ressourcen in die falsche Richtung fließen.
Wer betroffen ist, sollte die Umsetzung in beherrschbare Schritte aufteilen. Governance-Strukturen, Risikomanagement und Meldeprozesse lassen sich schrittweise aufbauen. Technische Maßnahmen wie Schwachstellen-Scanning, Patch-Management und Log-Management können parallel eingeführt werden. Wichtig ist, dass alles dokumentiert wird, denn Nachvollziehbarkeit ist ein zentrales Element der NIS2-Konformität.
Unternehmen, die intern keine spezialisierten Ressourcen haben, können Teile davon auslagern. Ein externer Informationssicherheitsbeauftragter oder ein Managed Service für Monitoring und Incident Response schließt Lücken, ohne dass eigene Spezialisten aufgebaut werden müssen. Das entspricht genau dem Modell, das viele mittelständische Betriebe für den IT-Betrieb bereits kennen.
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE begleitet mittelständische Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Konformität. Der Ansatz kombiniert Audit-Expertise mit technischer Umsetzungskompetenz, sodass keine Lücke zwischen Beratung und Betrieb entsteht.
- NIS2-Audit mit Betroffenheitsanalyse, Pflichtenbild und strukturierter GAP-Analyse
- Aufbau von Governance, Risikomanagement und Meldeprozessen nach NIS2-Anforderungen
- Technische Maßnahmen wie 24/7-Monitoring, SIEM, Schwachstellen-Scanning und Patch-Management
- Managed Service für kontinuierliche Überwachung, Reviews und Optimierung
- Externer ISB/CISO für Unternehmen ohne eigene Sicherheitsverantwortliche
- Flexible Buchung als vollständiges Paket oder als einzelne Komponenten
Wer wissen möchte, wie der eigene Stand aussieht und welche Schritte konkret notwendig sind, kann mit einem kostenlosen Erstaudit starten. UBESAFE analysiert die Ausgangslage, bewertet Anwendbarkeit und Reifegrad und zeigt auf, was als Nächstes zu tun ist, ohne unnötigen Aufwand und ohne Schnittstellen zwischen Beratung und Umsetzung.