NIS2 macht seit Monaten Schlagzeilen, und in vielen kleinen Betrieben herrscht Unsicherheit: Gilt das für mich? Muss ich jetzt etwas tun? Die kurze Antwort lautet fast immer: direkt wahrscheinlich nicht — indirekt vielleicht schon. Diese Unterscheidung ist der ganze Kern. Dieser Artikel ist der Überblick; die einzelnen Pflichten vertiefen wir separat.

Bin ich direkt betroffen? Die Schwellen

Direkt betroffen sind zwei Klassen von Einrichtungen, jeweils definiert über Größe und Branche. Als „wichtige Einrichtung“ gilt grob, wer mindestens rund 50 Beschäftigte oder etwa 10 Millionen Euro Jahresumsatz erreicht; als „besonders wichtige Einrichtung“ wer bei rund 250 Beschäftigten oder etwa 50 Millionen Euro liegt. Entscheidend ist zusätzlich die Zugehörigkeit zu einem der 18 regulierten Sektoren — von Energie, Wasser, Gesundheit und Transport über IT-Dienste und Abfallwirtschaft bis zu Teilen von Produktion und Handel. Wer deutlich kleiner ist und in keinem dieser Sektoren arbeitet, ist in aller Regel nicht direkt verpflichtet. Knapp unter den Schwellen wird es kniffliger: Es zählen Vollzeitäquivalente, bei Mischbetrieben der überwiegende Geschäftszweck, und die genaue Sektor-Zuordnung entscheidet mit — ein Grund mehr, die BSI-Prüfung zu nutzen statt zu schätzen.

Der zweite Weg hinein: über die Lieferkette

Hier wird es für kleine Betriebe konkret. NIS2 verpflichtet die regulierten Unternehmen ausdrücklich, auch die Sicherheit ihrer Lieferkette zu gewährleisten. Ein großer, betroffener Kunde muss also sicherstellen, dass seine Dienstleister und Zulieferer keine offene Flanke sind — und gibt diese Anforderung weiter: über Verträge, Sicherheitsklauseln und Fragebögen. So kann ein 15-köpfiger IT-Dienstleister, ein Softwarehaus oder ein spezialisierter Zulieferer NIS2 zu spüren bekommen, ohne selbst je die Schwellen zu erreichen. Nicht weil das Gesetz ihn direkt adressiert, sondern weil sein Kunde es muss.

Was bedeutet „betroffen“ überhaupt?

Für direkt regulierte Unternehmen bringt NIS2 im Kern vier Dinge mit: die Registrierung beim BSI, verpflichtende Risikomanagement-Maßnahmen, Meldepflichten bei Sicherheitsvorfällen und eine ausdrückliche Verantwortung der Geschäftsführung, die sich nicht wegdelegieren lässt. Jeder dieser Punkte hat eigene Details und Fristen — wir gehen ihnen in eigenen Beiträgen nach. Für die Einordnung hier genügt: „betroffen“ heißt nicht „ein Formular“, sondern ein dauerhaftes Mindestniveau an IT-Sicherheit, das nachweisbar sein muss.

Was jetzt zu tun ist — ob direkt betroffen oder Zulieferer

Die gute Nachricht: Ob Sie das Gesetz direkt verpflichtet oder Ihr Kunde die Anforderung weiterreicht — die Basis ist dieselbe. Es sind die Maßnahmen, die ohnehin jeder Betrieb haben sollte, nur jetzt mit einem konkreten Anlass:

• Mehrfaktor-Anmeldung (MFA) für alle wichtigen Zugänge, besonders E-Mail und Fernzugriff.
• Getrennte, regelmäßig getestete Backups — Sicherung allein reicht nicht, das Zurückspielen muss geprobt sein.
• Ein geregeltes Vorgehen für Updates und Sicherheitslücken, statt Patchen nach Zufall.
• Ein einfacher Notfallplan: Wer tut was, wen rufe ich an, wenn es brennt.
• Klare Zugriffsrechte und ein Überblick, welche Dienstleister Zugang zu welchen Systemen haben.

Diese Basis erfüllt zwei Zwecke gleichzeitig: Sie bereitet auf eine mögliche direkte Pflicht vor und beantwortet zugleich den Kundenfragebogen. Für einen kleinen Betrieb ist das kein Compliance-Projekt, sondern solides Handwerk.

Bußgeld und Verantwortung — ohne Panik

Für direkt regulierte Unternehmen sieht NIS2 spürbare Bußgelder vor: Bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent — je nachdem, welcher Betrag höher ist. Dazu kommt, dass die Geschäftsführung persönlich in der Verantwortung steht. Das klingt drastisch, richtet sich aber an die regulierten Betriebe, nicht an den kleinen Zulieferer. Der Punkt ist nicht Angst, sondern: Die verlangten Maßnahmen sind dieselben, die einen Betrieb ohnehin gegen den häufigsten Ernstfall schützen — den Ransomware-Angriff. Und es gibt einen weiteren handfesten Grund, auch ohne direkte Pflicht: Cyberversicherer knüpfen ihre Leistung zunehmend an zugesicherte Mindeststandards wie Mehrfaktor-Anmeldung, getestete Backups und geregeltes Patchen — sind die im Schadensfall nicht nachweisbar, kann der Versicherungsschutz gekürzt werden oder ganz entfallen.

Für die meisten kleinen Betriebe lautet das Fazit also: nicht direkt verpflichtet, aber über Kunden zunehmend gefordert — und mit einer soliden Sicherheits-Basis auf beides vorbereitet. Wo Sie genau stehen, klärt die BSI-Betroffenheitsprüfung; dieser Text ordnet ein und ersetzt keine Rechtsberatung.