NIS2 im Mittelstand: Was Unternehmen in Bayerisch-Schwaben jetzt wissen müssen

Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland die europäische NIS2-Richtlinie in nationales Recht übertragen. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten. Im Gegensatz zu den bisherigen KRITIS-Regeln betrifft es nicht mehr nur große Betreiber kritischer Infrastrukturen, sondern auch zahlreiche mittelständische Unternehmen – darunter viele Betriebe in Bayerisch-Schwaben.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Ob und wie Ihr Unternehmen betroffen ist, sollte im Einzelfall geprüft werden.

Wer ist von NIS2 betroffen?

Grundsätzlich fallen Unternehmen unter NIS2, wenn sie in einem der im Gesetz genannten Sektoren tätig sind und eine bestimmte Größe erreichen. Als Faustregel gilt: ab etwa 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Zu den Sektoren zählen unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur und IT-Dienste, aber auch verarbeitendes Gewerbe (z. B. Maschinenbau, Elektrotechnik, Fahrzeugbau), Lebensmittelproduktion, Abfallwirtschaft und Chemie. Gerade für produzierende Betriebe in der Region lohnt sich deshalb ein genauer Blick.

Das Gesetz unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Die Einordnung hängt von Sektor und Unternehmensgröße ab und bestimmt unter anderem, wie streng die Aufsicht ausfällt.

Welche Pflichten bringt NIS2 mit sich?

• Registrierung beim BSI: Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren.
• Risikomanagement: Es sind angemessene technische und organisatorische Maßnahmen umzusetzen – etwa Backup- und Notfallkonzepte, Zugriffskontrolle, Schwachstellenmanagement, Verschlüsselung und Schulungen.
• Meldepflichten: Erhebliche Sicherheitsvorfälle müssen in mehreren Stufen gemeldet werden – eine frühe Erstmeldung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht.
• Lieferkette: Auch die Sicherheit von Dienstleistern und Zulieferern muss berücksichtigt werden.
• Verantwortung der Geschäftsleitung: Die Geschäftsführung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Sie kann bei Verstößen persönlich haften.

Was passiert bei Verstößen?

NIS2 sieht deutlich höhere Bußgelder vor als bisher. Für besonders wichtige Einrichtungen sind Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Mindestens genauso schwer wiegt aber der praktische Schaden eines Cyberangriffs.

Auch nicht direkt betroffen? Dann trotzdem relevant

Viele kleinere Unternehmen fallen nicht direkt unter NIS2 – spüren die Auswirkungen aber trotzdem. Denn betroffene Kunden müssen ihre Lieferkette absichern und verlangen zunehmend Nachweise über IT-Sicherheitsmaßnahmen von ihren Zulieferern und Dienstleistern. Wer hier gut aufgestellt ist, hat einen Wettbewerbsvorteil.

Erste Schritte für Ihr Unternehmen

1. Betroffenheit prüfen: Sektor und Unternehmensgröße abgleichen. Das BSI bietet dafür auf seiner Website eine Betroffenheitsprüfung an.
2. Bestandsaufnahme der IT: Welche Systeme, Daten und Dienstleister sind geschäftskritisch?
3. Lücken schließen: Backup, Updates, Zwei-Faktor-Anmeldung, Firewall, Endpoint-Schutz und Zugriffsrechte überprüfen.
4. Notfall- und Meldeprozess festlegen: Wer erkennt einen Vorfall, wer entscheidet, wer meldet?
5. Dokumentieren und schulen: Maßnahmen nachvollziehbar festhalten und Mitarbeitende sowie Geschäftsführung schulen.

Unterstützung aus der Region

Die C.S.M. EDV-Service GmbH aus Lauingen (Donau) unterstützt Unternehmen in Bayerisch-Schwaben bei der technischen Umsetzung: von der Bestandsaufnahme über Firewall, Endpoint-Schutz (EDR) und Backup-Konzepte bis zum Monitoring Ihrer Systeme. Für die rechtliche Bewertung arbeiten Sie am besten mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten zusammen – die technische Seite übernehmen wir. Jetzt Erstgespräch vereinbaren.

Häufige Fragen

Seit wann gilt NIS2 in Deutschland?

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten.

Ist mein Unternehmen mit unter 50 Mitarbeitenden betroffen?

In der Regel nicht direkt, es gibt aber Ausnahmen für bestimmte Sektoren und Dienste. Zudem können Anforderungen indirekt über Kunden in der Lieferkette auf Sie zukommen.

Wie lange habe ich Zeit, einen Sicherheitsvorfall zu melden?

Eine erste Meldung muss innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls erfolgen, eine ausführlichere Meldung innerhalb von 72 Stunden.

‍