Das NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Die Registrierungspflicht nach §33 BSIG lief drei Monate später ab, am 6. März 2026. Von den rund 29.500 Unternehmen, die nach Schätzung des Gesetzgebers betroffen sind, hatten sich bis dahin etwa 11.500 beim BSI gemeldet. Das BSI hat daraufhin gegenüber den Wirtschaftsverbänden eine Nachfrist bis zum 31. Juli 2026 kommuniziert – juristisch keine Fristverlängerung, sondern eine Duldung. Auch die ist inzwischen vorbei.

Anders gesagt: Mehr als die Hälfte der betroffenen Unternehmen befindet sich seit Monaten im gesetzeswidrigen Zustand. Nicht aus Trotz. Sondern weil die meisten davon gar nicht wissen, dass sie gemeint sind.

Das eigentliche Problem ist die Betroffenheitsprüfung

Wer „NIS-2" hört, denkt an Energieversorger, Rechenzentren, Krankenhäuser. Also an KRITIS. Das war die alte Logik. NIS-2 hat den Kreis massiv erweitert: Fertigung, Maschinenbau, Chemie, Lebensmittelproduktion, Pharma, Abfallwirtschaft, Post- und Kurierdienste, Logistik, digitale Dienste. Die Schwelle liegt bei 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz – Werte, die ein durchschnittlicher Maschinenbauer im Sauerland seit zwanzig Jahren überschreitet.

Dazu kommt die indirekte Betroffenheit über die Lieferkette. Wer nicht selbst unter das Gesetz fällt, aber an ein betroffenes Unternehmen liefert, bekommt die Anforderungen über den Vertrag durchgereicht. In der Praxis sehen wir das längst: Einkaufsabteilungen großer Industriekunden verschicken Sicherheitsfragebögen, deren Beantwortung über den nächsten Rahmenvertrag entscheidet. Das ist kein Compliance-Thema mehr, sondern ein Vertriebsthema.

Die teuerste Annahme im Mittelstand lautet gerade: „Wir sind doch keine kritische Infrastruktur."

Die Betroffenheitsprüfung ist kein Großprojekt. Sie dauert, sauber gemacht, einen halben Tag: Anlage 1 und 2 des BSIG gegen die eigenen Geschäftstätigkeiten halten, Mitarbeiterzahl und Umsatz konzernweit ermitteln, Ergebnis dokumentieren. Der wichtigste Teil ist der letzte. Auch ein begründetes „nicht betroffen" braucht ein Dokument mit Datum und Unterschrift – sonst hat man im Zweifel nicht geprüft, sondern nur gehofft.

Registrierung ist der Anfang, nicht das Ziel

Viele Unternehmen, die sich im Frühjahr registriert haben, haben damit das Thema mental abgehakt. Das ist der zweite große Irrtum. Die Registrierung nach §33 BSIG ist eine Meldung – sie sagt dem BSI, dass es Sie gibt. Die inhaltlichen Pflichten stehen woanders.

Konkret: Risikomanagementmaßnahmen nach §30 BSIG – Risikoanalyse, Incident Handling, Business Continuity, Lieferkettensicherheit, Zugriffskontrolle, Kryptografie, Awareness. Und Meldepflichten nach §32 BSIG mit einer Erstmeldung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, einer Folgemeldung nach 72 Stunden und einem Abschlussbericht nach einem Monat.

24 Stunden sind kurz. Sie sind vor allem dann kurz, wenn der Vorfall an einem Freitagabend beginnt und niemand definiert hat, wer entscheidet, ob etwas „erheblich" ist. Wir haben in Vorfallsübungen erlebt, dass allein diese Frage – wer darf melden, wer muss vorher gefragt werden – zwei Stunden gekostet hat. Das ist ein Achtel der Frist, verbraucht für eine Organisationsfrage, die man an einem ruhigen Dienstag in zwanzig Minuten hätte klären können.

Praxis-Tipp: Bevor Sie in Technik investieren, schreiben Sie eine einseitige Meldekette auf: Wer stellt fest, wer bewertet, wer entscheidet, wer meldet, wer vertritt jeden dieser Menschen im Urlaub. Mit Handynummern. Diese eine Seite ist im Ernstfall mehr wert als das nächste Security-Tool – und sie kostet eine Stunde.

§38 BSIG macht daraus ein Geschäftsführungsthema

Der Paragraf, der in den meisten Präsentationen zu kurz kommt, ist §38. Er verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Und er verpflichtet sie, regelmäßig an Schulungen teilzunehmen, um Risiken selbst beurteilen zu können. Delegieren kann man die Aufgabe – die Verantwortung nicht.

Das verschiebt die Perspektive. NIS-2 ist damit strukturell näher an der Buchführungspflicht als an einem IT-Projekt. Niemand würde die Frage, ob ein Jahresabschluss aufgestellt wird, an die Buchhaltung delegieren und sich dann nicht mehr dafür interessieren. Genau das passiert aber gerade mit Informationssicherheit: Sie wandert zur IT, und die Geschäftsführung erfährt vom Stand der Dinge, wenn etwas schiefgeht.

Der Nachweis ist dabei alles. Ein Geschäftsführer, der behauptet, er habe die Maßnahmen gebilligt, aber kein Protokoll vorlegen kann, steht im Zweifel schlechter da als einer, der dokumentiert hat, dass er ein Risiko bewusst und begründet akzeptiert hat. Bußgelder gehen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis 7 Mio. € oder 1,4 % für wichtige. Für die versäumte Registrierung allein stehen bis zu 500.000 € im Raum. Die realistischere Gefahr für einen Mittelständler ist trotzdem nicht das Bußgeld, sondern der ausgefallene Rahmenvertrag und die Diskussion mit der D&O-Versicherung nach einem Vorfall.

Was ISO 27001 abdeckt – und was nicht

Unternehmen mit einem zertifizierten ISMS nach ISO 27001 haben einen erheblichen Vorsprung. Risikoanalyse, Asset-Inventar, Zugriffskonzepte, Lieferantenbewertung, Awareness, interne Audits – das ist der Großteil dessen, was §30 BSIG verlangt, und es ist bereits gelebt und geprüft. Die Erfahrung aus unseren Mandaten: Wer ISO 27001 sauber betreibt, deckt grob drei Viertel der NIS-2-Anforderungen ab.

Das letzte Viertel ist allerdings kein Nachjustieren am Rand. Es sind vier Dinge, die ISO 27001 so nicht kennt: die Registrierung beim BSI, die harten Meldefristen von 24/72 Stunden an eine Behörde, die persönliche Pflicht und Schulung der Geschäftsleitung nach §38 – und die Tatsache, dass NIS-2 gilt, ob man den Scope so zuschneidet oder nicht. Der klassische ISO-Trick, den Geltungsbereich eng zu ziehen, funktioniert hier nicht. Das Gesetz fragt nicht, was im Zertifikat steht.

Umgekehrt gilt: Wer NIS-2 ohnehin umsetzen muss und mit Industriekunden arbeitet, sollte prüfen, ob er den Weg gleich bis zur Zertifizierung geht. Der Zusatzaufwand ist kleiner, als die meisten vermuten – und das Zertifikat beantwortet die Lieferantenfragebögen, die sonst jeder Einkauf einzeln stellt.

Ein pragmatischer Pfad für die nächsten 90 Tage

Für ein Unternehmen, das bei null steht, sieht eine realistische Reihenfolge so aus:

  1. Woche 1–2: Betroffenheit klären und dokumentieren. Ergebnis ist ein unterschriebenes Dokument – betroffen als wichtige oder besonders wichtige Einrichtung, oder begründet nicht betroffen.
  2. Woche 2–3: Registrieren, falls betroffen. Verspätet ist deutlich besser als gar nicht. Wer sich nach Ablauf der Duldung von selbst meldet, argumentiert aus einer anderen Position als jemand, den das BSI findet.
  3. Woche 3–6: Gap-Analyse gegen §30. Ehrlich, nicht schön. Eine Liste mit Ampel und Verantwortlichen reicht – ein 80-seitiges Gutachten hilft niemandem.
  4. Woche 4: Meldekette und Vorfallsdefinition festlegen. Die eine Seite von oben. Danach einmal trocken durchspielen.
  5. Woche 6–12: Die drei größten Lücken schließen. Nicht alle. Die drei, die im Ernstfall den Unterschied machen – meist Backup-Wiederherstellung, Zugriffsrechte und Patch-Management.
  6. Parallel: Geschäftsführung schulen und Billigung protokollieren. Ein halber Tag, ein Protokoll, ein Datum.

Das ist kein Zertifizierungsprojekt. Es ist ein strukturierter Quartalsdurchlauf, den ein Mittelständler mit vorhandenen Leuten und punktueller externer Unterstützung schafft. Der teure Weg ist der andere: das Thema weitere zwölf Monate liegen zu lassen und dann unter Zeitdruck eines Kundenaudits oder eines tatsächlichen Vorfalls anzufangen.

Zusammenfassung

NIS-2 ist keine IT-Frage und kein Zertifikat, das man kauft. Es ist eine Sorgfaltspflicht der Geschäftsleitung mit dokumentationspflichtigem Nachweis. Die drei Schritte, die jetzt zählen, sind unspektakulär: Betroffenheit prüfen und schriftlich festhalten, registrieren falls nötig, und die Meldekette definieren, bevor man sie braucht. Alles Weitere lässt sich über zwei bis drei Quartale geordnet aufbauen.

Wer bereits nach ISO 27001 arbeitet, ist näher am Ziel, als er denkt – aber nicht da. Und wer bisher davon ausgegangen ist, nicht betroffen zu sein, sollte diese Annahme einmal ernsthaft prüfen lassen. Es ist die billigste Stunde in diesem ganzen Thema.

Wenn Sie nicht sicher sind, wo Ihr Unternehmen steht – sprechen Sie uns an. Eine erste Standortbestimmung dauert eine gute Stunde und liefert eine klare Antwort auf die einzige Frage, die am Anfang zählt: betroffen oder nicht.