NIS2 ist da: Was das neue Cybersicherheitsgesetz für den Mittelstand bedeutet

Wenn dein Unternehmen in einem von 18 regulierten Sektoren tätig ist und mindestens 50 Beschäftigte oder über 10 Mio. EUR Jahresumsatz hat, dann gelten die NIS2-Pflichten für dich seit dem 6. Dezember 2025 — sofort und ohne Übergangsfrist. Das deutsche NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist nach jahrelanger Hängepartie in Kraft, und die jahrelange Diskussion darüber, “ob das überhaupt kommt”, ist damit beendet. Wer noch wartet, ist nicht mehr früh dran, sondern bereits spät.

TL;DR

• In Kraft seit 6. Dezember 2025: Bundestag (13.11.2025) und Bundesrat (21.11.2025) haben das NIS2UmsuCG verabschiedet. Die Pflichten gelten ohne Übergangsfrist.
• Wer betroffen ist: mittlere und große Unternehmen in 18 regulierten Sektoren — Grundregel ab 50 Beschäftigten oder über 10 Mio. EUR Umsatz. KRITIS-Betreiber und bestimmte digitale Dienste sind größenunabhängig betroffen.
• Registrierungsfrist ist abgelaufen: Die 3-monatige BSI-Registrierungsfrist endete am 6.3.2026. Mitte 2026 hatten sich erst rund 11.500 von geschätzt ~29.500 betroffenen Unternehmen registriert.
• Was du tun musst: Registrierung beim BSI, Risikomanagement nach §30 BSIG (10 Pflichtbereiche), dreistufige Meldepflicht (24 h / 72 h / 1 Monat).
• Chefsache mit Haftung: Die Geschäftsleitung muss die Maßnahmen billigen und überwachen (§38) — mit persönlicher Haftung. Bußgelder sind möglich.
• Das hier ist eine Orientierung, keine Rechtsberatung.

Was ist NIS2 überhaupt?

NIS2 ist die Kurzform für die NIS-2-Richtlinie (EU) 2022/2555 — ein europaweites Regelwerk, das ein gemeinsames hohes Cybersicherheitsniveau in der EU sicherstellen soll. Eine EU-Richtlinie gilt aber nicht direkt, sie muss von jedem Mitgliedstaat in nationales Recht gegossen werden. In Deutschland ist das mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) passiert.

Lange war unklar, wann und ob das deutsche Gesetz überhaupt kommt — der Entwurf hing über Jahre fest. Seit dem 6. Dezember 2025 ist diese Unsicherheit vorbei. Das Gesetz ist in Kraft, und es gibt keine sanfte Einführungsphase: Die Pflichten gelten ohne Übergangsfrist. Das unterscheidet NIS2 von vielen anderen Regulierungen, bei denen man sich nach Inkrafttreten noch ein, zwei Jahre Zeit lassen konnte.

Wenn du den Überblick über die aktuell relevanten EU- und Bundesregulierungen behalten willst, findest du auf unserem Regulierungs-Radar eine laufend aktualisierte Übersicht.

Ist mein Unternehmen betroffen?

Das ist die erste Frage, die du klären solltest — und sie hat zwei Dimensionen: Sektor und Größe.

Die 18 regulierten Sektoren umfassen unter anderem:

• Energie
• Verkehr
• Bankwesen / Finanzmarkt
• Gesundheit
• Trink- und Abwasser
• digitale Infrastruktur und IKT-Dienste
• öffentliche Verwaltung
• Post und Kurier
• Abfall
• Chemie
• Lebensmittel
• verarbeitendes Gewerbe
• digitale Anbieter

Gerade der letzte Punkt — verarbeitendes Gewerbe und digitale Anbieter — trifft im Mittelstand viel mehr Unternehmen, als die meisten Geschäftsführungen vermuten. NIS2 ist eben kein reines “KRITIS-Thema” für Strom- und Wasserversorger mehr.

Die Größenschwelle als Grundregel: Wer in einem der Sektoren liegt und ab 50 Beschäftigten oder über 10 Mio. EUR Jahresumsatz kommt, sollte davon ausgehen, betroffen zu sein. Das Gesetz unterscheidet darüber hinaus zwischen wichtigen und besonders wichtigen Einrichtungen — von dieser Einordnung hängt die Aufsichtsintensität ab.

Wichtig: KRITIS-Betreiber und bestimmte digitale Dienste sind größenunabhängig betroffen — bei ihnen spielt die Mitarbeiterzahl keine Rolle.

Die genaue Einordnung — auch ob du “wichtig” oder “besonders wichtig” bist — gehört in eine saubere rechtliche Prüfung. Aber die grobe Selbsteinschätzung anhand von Sektor und der 50-Mitarbeiter- bzw. 10-Mio.-Schwelle kannst und solltest du sofort machen.

Die Registrierungsfrist ist schon vorbei — was jetzt?

Ehrlich gesagt: Wenn du dich bisher nicht beim BSI registriert hast, bist du nicht allein — aber du bist über der Zeit. Die Pflicht lautet, sich binnen 3 Monaten ab Betroffenheit beim BSI zu registrieren. Da das Gesetz am 6.12.2025 in Kraft trat, lief diese Frist für die meisten bereits am 6. März 2026 ab.

Die Zahlen zeigen, wie groß die Lücke ist: Mitte 2026 hatten sich erst rund 11.500 von geschätzt ~29.500 betroffenen Unternehmen registriert. Anders gesagt: Mehr als die Hälfte der betroffenen Unternehmen ist der Registrierungspflicht noch nicht nachgekommen.

Daraus solltest du nicht den Umkehrschluss ziehen, dass es “nicht so eng” gesehen wird. Im Gegenteil: Wer noch nicht registriert ist, sollte das nicht weiter aufschieben, sondern die Registrierung zügig nachholen und parallel die inhaltlichen Pflichten angehen. Eine versäumte Frist wird nicht besser, indem man auch noch die Risikomanagement-Pflichten ignoriert.

Welche Pflichten habe ich konkret?

NIS2 ist mehr als ein Eintrag in einem Register. Die wesentlichen Pflichtenblöcke sind:

1. Registrierung beim BSI

Binnen 3 Monaten ab Betroffenheit. Siehe oben — diese Frist ist für viele bereits gelaufen.

2. Risikomanagementmaßnahmen nach §30 BSIG

Das Gesetz nennt 10 Pflichtbereiche, die du technisch und organisatorisch abdecken musst. Dazu gehören unter anderem:

• Risikoanalyse
• Vorfallbehandlung
• Business Continuity / Krisenmanagement
• Lieferkettensicherheit
• sichere Beschaffung und Entwicklung
• Kryptografie
• Zugriffskontrolle
• Schulung

Das ist kein “wir kaufen mal eine Firewall”-Thema, sondern ein durchgängiges Managementsystem. Besonders die Lieferkettensicherheit wird unterschätzt: Du bist nicht nur für deine eigene IT verantwortlich, sondern musst auch deine Dienstleister und Zulieferer in den Blick nehmen.

3. Dreistufige Meldepflicht an das BSI

Wenn ein erheblicher Sicherheitsvorfall passiert, gilt ein gestaffeltes Meldeschema:

Stufe	Frist
Frühwarnung	binnen 24 Stunden
Folgemeldung	binnen 72 Stunden
Abschlussbericht	binnen 1 Monat

24 Stunden sind im Ernstfall sehr knapp. Das bedeutet: Du brauchst vorher definierte Prozesse, klare Zuständigkeiten und eine Vorstellung davon, wer im Vorfall meldet — nicht erst, wenn die Systeme schon brennen.

4. Verantwortung der Geschäftsleitung (§38)

Das ist der Punkt, der vielen Geschäftsführungen noch nicht klar ist: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen — mit persönlicher Haftung. NIS2 lässt sich nicht vollständig an die IT-Abteilung “wegdelegieren”. Die Letztverantwortung bleibt oben.

Bei Verstößen sind außerdem Bußgelder möglich.

Warum NIS2 Chefsache ist — und nicht nur ein IT-Thema

Der größte Denkfehler, den wir bei Rocket-Monkeys in Gesprächen mit Mittelständlern sehen: NIS2 wird als rein technisches Projekt verstanden, das man “der IT überlässt”. §38 macht das unmöglich. Wenn die Geschäftsleitung persönlich haftet, dann ist die Frage nach Cybersicherheit eine Frage der Unternehmensführung — vergleichbar mit Arbeitssicherheit oder Datenschutz.

Praktisch heißt das: Die Maßnahmen müssen dokumentiert, von der Leitung freigegeben und nachweisbar überwacht werden. Im Ernstfall — bei einer Prüfung oder nach einem Vorfall — zählt nicht, was du “eigentlich vorhattest”, sondern was du belegen kannst.

Wo NIS2 an Grenzen stößt — und wo nicht

Ehrlichkeit gehört dazu: NIS2 macht dich nicht automatisch sicher. Ein erfülltes Pflichtenheft ist kein Garant gegen Angriffe — es ist ein Mindeststandard und ein Nachweisrahmen. Umgekehrt schützt dich ein hohes faktisches Sicherheitsniveau nicht vor Bußgeldern, wenn die formalen Pflichten (Registrierung, Meldewege, dokumentierte Freigabe durch die Leitung) nicht erfüllt sind.

Und: Die genaue Betroffenheits-Einordnung ist im Detail komplex. Ob du “wichtig” oder “besonders wichtig” bist, ob ein Tochterunternehmen separat zählt, ob ein Mischbetrieb in mehrere Sektoren fällt — das sind Fragen, die in die juristische und fachliche Prüfung gehören. Dieser Artikel ist eine Orientierung, keine Rechtsberatung.

Die nächsten Schritte für dich

Wenn du wissen willst, wo du stehst, ist eine pragmatische Reihenfolge:

1. Betroffenheit klären — Sektor und Größenschwelle abgleichen.
2. Registrierung nachholen, falls noch nicht geschehen (Frist ist für viele bereits abgelaufen).
3. Ist-Stand zu §30 erheben — welche der 10 Pflichtbereiche sind schon abgedeckt, wo gibt es Lücken?
4. Meldeprozesse aufsetzen — wer meldet binnen 24 h, an wen, mit welchen Informationen?
5. Geschäftsleitung einbinden — Freigabe und Überwachung dokumentieren (§38).

Wir bei Rocket-Monkeys begleiten Mittelständler aus München und darüber hinaus bei genau dieser Übersetzungsarbeit: vom Gesetzestext zur konkreten, technisch umgesetzten und nachweisbaren Maßnahme — von der Risikoanalyse über Zugriffskontrolle und Kryptografie bis zur sicheren Entwicklung. Wenn du unsicher bist, ob und wie stark dich NIS2 betrifft, lass uns unverbindlich darüber sprechen.

Schreib uns einfach an info@rocket-monkeys.com für ein kostenloses Erstgespräch. Wir schauen gemeinsam, wo du stehst — ohne Panikmache, aber mit klarem Blick auf das, was jetzt ansteht.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Die konkrete Betroffenheit hängt vom Einzelfall ab.