NIS2 für kleine Betriebe: Wen es wirklich trifft

Kaum ein Kürzel hat kleine Betriebe in den letzten Monaten so verunsichert wie NIS2. Die Bandbreite der Reaktionen reicht von „betrifft mich nicht" bis zu Beratungsangeboten, die einem Dreimannbetrieb ein Informationssicherheits-Managementsystem verkaufen wollen. Beides geht an der Sache vorbei. Dieser Beitrag sortiert, was seit Dezember 2025 tatsächlich gilt — und an welcher Stelle es auch Betriebe trifft, die das Gesetz gar nicht meint.

Der Betroffenheitstest in zwei Schritten

NIS2 greift nur, wenn beide Bedingungen zutreffen. Das wird in der Diskussion regelmäßig vermischt.

• Sektor. Der Betrieb muss in einem der 18 regulierten Sektoren tätig sein — darunter Energie, Wasser, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienste, Abfallwirtschaft, Lebensmittelproduktion und Teile des verarbeitenden Gewerbes.
• Größe. Zusätzlich braucht es mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz.

Das Bundesamt für Sicherheit in der Informationstechnik geht von rund 29.500 betroffenen Einrichtungen in ganz Deutschland aus. Zum Vergleich: allein im Handwerk gibt es bundesweit etwa eine Million Betriebe. Ein Elektro-, Sanitär- oder Malerbetrieb im Vogelsbergkreis fällt praktisch nie unter NIS2 — nicht, weil er zu unwichtig wäre, sondern weil die Größenschwelle ihn ausnimmt.

Die Fristen sind bereits verstrichen

Anders als bei früheren Gesetzen gab es keine Übergangszeit. Das NIS2-Umsetzungsgesetz und das novellierte BSI-Gesetz sind am 6. Dezember 2025 in Kraft getreten — sofort und vollständig.

Die Registrierungspflicht nach § 33 BSIG lief zunächst bis zum 6. März 2026. Weil Ende Mai 2026 erst rund 18.500 der geschätzt 29.500 Einrichtungen registriert waren, hat das BSI eine Nachfrist bis zum 31. Juli 2026 eingeräumt. Auch diese ist inzwischen abgelaufen. Wer betroffen ist und sich bis heute nicht registriert hat, befindet sich im Verzug.

Was betroffene Einrichtungen leisten müssen

Drei Pflichtenblöcke, die sich nicht delegieren lassen — die Geschäftsleitung haftet persönlich für die Umsetzung.

• Registrierung beim BSI. Einmalig, mit Benennung einer Kontaktstelle.
• Meldepflicht bei erheblichen Sicherheitsvorfällen. Gestaffelt: Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
• Risikomanagement in zehn Bereichen. Dazu zählen Risikoanalyse, Backup- und Wiederanlaufmanagement, Zugriffskontrolle, Mehr-Faktor-Authentisierung, Schulungen, Kryptografie, Umgang mit Schwachstellen — und, für alle anderen entscheidend, die Sicherheit der Lieferkette.

Die Bußgelder sind gestaffelt. Ein reiner Registrierungsverstoß kann bis zu 500.000 Euro kosten. Bei materiellen Pflichtverstößen besonders wichtiger Einrichtungen sind bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich.

Der Punkt, der kleine Betriebe wirklich betrifft

Hier liegt der Grund, warum dieser Beitrag auch für einen Zehnmannbetrieb relevant ist. Die Lieferkettensicherheit ist eine der zehn Pflichtmaßnahmen. Eine betroffene Einrichtung muss also nachweisen, dass ihre Zulieferer und Dienstleister keine Einfallstore öffnen.

Diese Pflicht wird weitergereicht. Wer als Handwerks- oder IT-Betrieb für ein Stadtwerk, ein Krankenhaus, einen Wasserverband oder einen größeren Industriebetrieb arbeitet, bekommt die Anforderungen künftig vertraglich zugestellt — als Fragebogen, als Sicherheitsanhang zum Rahmenvertrag, als Voraussetzung für die Aufnahme in die Lieferantenliste. Rechtlich ist das kein NIS2 für den kleinen Betrieb. Praktisch entscheidet es darüber, ob er den Auftrag behält.

Typisch abgefragt werden: Mehr-Faktor-Authentisierung für Fernzugriffe, ein dokumentiertes Backup-Konzept mit nachgewiesener Wiederherstellung, ein benannter Ansprechpartner für Sicherheitsvorfälle, Patch-Stände der eingesetzten Systeme und eine Regelung, wer nach dem Ausscheiden von Mitarbeitern welche Zugänge schließt.

Wer in der Region tatsächlich betroffen ist

Abstrakte Sektorenlisten helfen wenig. Konkret trifft NIS2 im Vogelsbergkreis und den angrenzenden Landkreisen vor allem Einrichtungen dieser Art — sofern sie die Größenschwelle erreichen:

• Stadtwerke und kommunale Versorger für Strom, Gas, Wärme
• Wasserversorger und Abwasserzweckverbände
• Kliniken, größere medizinische Versorgungszentren und Labore
• Abfallwirtschaftsbetriebe
• Lebensmittelverarbeitende Betriebe oberhalb der Schwelle
• IT-Dienstleister, Rechenzentren und Managed-Service-Anbieter — dieser Sektor ist ausdrücklich erfasst

Für alle anderen gilt die Regel aus dem vorigen Abschnitt: nicht das Gesetz ist der Hebel, sondern der Vertrag mit einem dieser Auftraggeber.

Drei Irrtümer, die immer wieder auftauchen

• „Wir sind unter 50 Mitarbeitern, also raus." Die Schwelle ist ein Oder: 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz. Ein umsatzstarker Betrieb mit 30 Beschäftigten kann erfasst sein. Außerdem gibt es Sonderfälle, in denen die Größe keine Rolle spielt — etwa bei Betreibern kritischer Anlagen.
• „Wir haben eine Firewall, das reicht." Die zehn Maßnahmenbereiche sind organisatorisch, nicht technisch gedacht. Gefordert sind nachweisbare Prozesse — wer meldet wann, wie wird wiederhergestellt, wie werden Lieferanten geprüft.
• „Das macht unser IT-Dienstleister." Die Umsetzung lässt sich auslagern, die Verantwortung nicht. Das BSI-Gesetz nimmt die Geschäftsleitung ausdrücklich in die Pflicht, inklusive einer Schulungspflicht für die Leitungsebene.

Was jetzt sinnvoll ist — und was nicht

Für einen kleinen Betrieb ohne NIS2-Pflicht ist ein zertifiziertes Managementsystem unverhältnismäßig. Sinnvoll ist die schlichte Vorbereitung auf den Fragebogen, der irgendwann kommt:

• Eine Liste aller Fernzugänge — und Abschalten dessen, was niemand mehr braucht. Alte Wartungszugänge sind ein wiederkehrendes Einfallstor.
• Mehr-Faktor-Authentisierung für E-Mail und alle Fernzugriffe. Der wirksamste Einzelschritt, gemessen am Aufwand.
• Ein Backup, dessen Wiederherstellung mindestens einmal tatsächlich getestet wurde. Ein ungetestetes Backup ist eine Annahme, kein Schutz.
• Zwei Seiten Papier: Wer ist Ansprechpartner, wer wird bei einem Vorfall in welcher Reihenfolge informiert, wo liegen die Zugangsdaten für den Notfall.

Das ist keine NIS2-Umsetzung und soll auch keine sein. Es ist die Antwort auf die Fragen, die Auftraggeber künftig stellen — und zugleich der Schutz, der im Alltag wirkt. Welche Angriffe kleine Betriebe tatsächlich treffen und welche Maßnahmen dagegen helfen, steht ausführlich in unserem Beitrag zu IT-Sicherheit im Handwerk.

Fazit

NIS2 verpflichtet die allermeisten kleinen Betriebe nicht. Es erreicht sie über die Lieferkette ihrer Auftraggeber — und zwar nicht als Bußgeldrisiko, sondern als Auftragsvoraussetzung. Wer die vier Punkte oben geordnet hat, kann den Fragebogen ausfüllen, statt ihn zu fürchten.