NIS2 Umsetzung Checkliste: Pflichten für Unternehmen

Worum es bei NIS2 geht

NIS2 ist die zweite EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen. Sie löst die erste NIS-Richtlinie ab und erweitert den Kreis der Unternehmen deutlich, die ihre Cybersicherheit nachvollziehbar organisieren und schwere Vorfälle melden müssen. Viele Mittelständler, die bisher nie mit KRITIS-Regeln zu tun hatten, fallen jetzt darunter.

Eine Richtlinie gilt nicht unmittelbar. Jeder Mitgliedstaat setzt sie in eigenes Recht um. Deutschland hat das mit dem NIS2-Umsetzungsgesetz getan, einem Mantelgesetz, das mehrere bestehende Gesetze anpasst. Die Grundpflichten stammen aber aus der Richtlinie und sind in allen EU-Ländern gleich.

Diese Checkliste folgt genau diesen Grundpflichten: Wer betroffen ist, welche zehn Maßnahmenbereiche gelten, wie die Meldepflicht abläuft, welche Rolle die Geschäftsführung spielt und warum auch Zulieferer Fragen bekommen. Für den verbindlichen Wortlaut zählt immer der deutsche Gesetzestext.

NIS2 betroffene Unternehmen: Sektor, Größe, Ausnahmen

Ob Ihr Unternehmen betroffen ist, hängt von zwei Fragen ab. Erstens: Sind Sie in einem Sektor aus Anhang I oder Anhang II der Richtlinie tätig? Zweitens: Sind Sie ein mittleres oder großes Unternehmen? Als Schwelle gelten mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz bzw. Jahresbilanzsumme, gemessen nach der EU-Definition für kleine und mittlere Unternehmen.

Anhang I umfasst unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Weltraum. Anhang II umfasst unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. Die Richtlinie unterscheidet dabei „wesentliche“ und „wichtige“ Einrichtungen.

Unabhängig von der Größe können auch kleine Unternehmen erfasst sein, und zwar wenn:

• sie in einem Mitgliedstaat der einzige Anbieter eines Dienstes sind, der für wichtige gesellschaftliche oder wirtschaftliche Tätigkeiten unverzichtbar ist,
• ein Ausfall ihres Dienstes erhebliche grenzüberschreitende Auswirkungen haben könnte,
• sie qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries oder DNS-Diensteanbieter sind,
• sie öffentliche elektronische Kommunikationsnetze oder -dienste oberhalb bestimmter Schwellen anbieten,
• der Staat sie aus besonderen nationalen Gründen als kritisch einstuft.

Stand der Umsetzung in Deutschland und der EU

Die EU-Frist für die Umsetzung lief am 17.10.2024 ab. Deutschland hat sie verpasst. Nach aktuellem Stand haben Bundestag und Bundesrat das NIS2-Umsetzungsgesetz im November 2025 verabschiedet, es ist am 05.12.2025 in Kraft getreten, und seit dem 06.03.2026 läuft die aktive Aufsichtsphase. Die Pflichten gelten also bereits.

Andere Länder sind noch weiter zurück. Am 08.07.2026 hat die EU-Kommission Irland, Spanien, Frankreich und die Niederlande wegen fehlender Umsetzung vor den Gerichtshof der EU gebracht. Wenn Sie Standorte oder Tochtergesellschaften im Ausland haben, prüfen Sie dort jeweils das nationale Recht.

Die zehn Maßnahmenbereiche nach Art. 21

Artikel 21 der Richtlinie verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Verhältnismäßig heißt: Ein Maschinenbauer mit 80 Mitarbeitenden braucht kein Sicherheitsprogramm wie eine Großbank, aber nachvollziehbare Regeln und funktionierende Technik.

Die zehn Bereiche in Alltagssprache, jeweils mit einem Beispiel aus dem Mittelstand:

• Konzepte für Risikoanalyse und Sicherheit der Informationssysteme: eine schriftliche Übersicht der wichtigsten Systeme, Risiken und Verantwortlichen.
• Bewältigung von Sicherheitsvorfällen: ein kurzer Ablaufplan, wer was tut, wenn etwas passiert.
• Aufrechterhaltung des Betriebs und Krisenmanagement, etwa Backup-Management und Wiederherstellung: getestete Backups und ein Notfallplan für den Betrieb ohne IT.
• Sicherheit der Lieferkette: wissen, welche Dienstleister Zugriff auf Ihre Systeme haben, und was Sie von ihnen verlangen.
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen, einschließlich Umgang mit Schwachstellen: Updates, sichere Konfiguration, eine Kontaktadresse für Schwachstellenmeldungen.
• Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten: regelmäßige Überprüfungen oder Audits.
• Grundlegende Cyberhygiene und Schulungen: Updates, sichere Passwörter, Phishing-Sensibilisierung für alle Beschäftigten.
• Konzepte für Kryptografie und, wo sinnvoll, Verschlüsselung: zum Beispiel verschlüsselte Laptops und Verbindungen.
• Personalsicherheit, Zugriffskontrolle und Management von Anlagen: aktuelle Geräte- und Kontenliste, Zugänge beim Austritt sofort sperren.
• Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und gesicherte Notfallkommunikation, wo angemessen.

Meldepflicht: 24 Stunden, 72 Stunden, ein Monat (Art. 23)

Artikel 23 regelt die Meldung erheblicher Sicherheitsvorfälle, also solcher, die schwere Betriebsstörungen oder Schäden verursachen oder verursachen können. Gemeldet wird an die Stelle, die das deutsche Gesetz dafür vorsieht.

Die Frist beginnt, sobald Sie von dem erheblichen Vorfall Kenntnis erlangen, nicht erst, wenn alles aufgeklärt ist. Deshalb ist die erste Meldung bewusst nur eine Frühwarnung.

Die Geschäftsleitung steht in der Verantwortung

NIS2 macht Cybersicherheit zur Chefsache. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und kann nach nationalem Recht zur Verantwortung gezogen werden, wenn das Unternehmen die Pflichten verletzt. Außerdem sollen Mitglieder der Geschäftsleitung an Schulungen teilnehmen, damit sie Risiken selbst einschätzen können.

Praktisch heißt das: Die Geschäftsführerin oder der Geschäftsführer zeichnet die Sicherheitskonzepte ab, lässt sich regelmäßig kurz über Risiken und Vorfälle berichten und dokumentiert Entscheidungen. Ein datiertes Protokoll, was wann warum entschieden wurde, ist im Ernstfall mehr wert als ein ungelesenes Handbuch.

Die zuständige Behörde kann betroffene Unternehmen beaufsichtigen und bei Verstößen Bußgelder verhängen. Höhe und Verfahren regelt das deutsche Gesetz.

Nicht betroffen? Ihre Kunden fragen trotzdem

Weil die Sicherheit der Lieferkette zu den zehn Maßnahmenbereichen gehört, schicken betroffene Unternehmen ihren Zulieferern und Dienstleistern in der Praxis häufig Sicherheitsfragebögen und nehmen Sicherheitsklauseln in Verträge auf. Das trifft auch kleine Firmen, die selbst gar nicht unter NIS2 fallen.

Ein Beispiel: Eine Webagentur mit 12 Mitarbeitenden betreut den Onlineshop eines Lebensmittelherstellers. Der Kunde fragt, ob die Agentur Multi-Faktor-Authentifizierung nutzt, wie Backups laufen und wie schnell sie einen Vorfall meldet. Das ist eine vertragliche Anforderung des Kunden, keine gesetzliche NIS2-Pflicht der Agentur. Wer solche Fragen nicht beantworten kann, riskiert aber den Auftrag.

Kleine Zulieferer sind gut beraten, eine kurze, ehrliche Sicherheitsübersicht bereitzuhalten: genutzte Systeme, Zugriffskontrolle, Backups, Ansprechpartner im Notfall.

Was Sie jetzt tun sollten

Schritt 1: Prüfen Sie Sektor, Größe und Ausnahmen. Halten Sie das Ergebnis und die Begründung schriftlich fest.

Schritt 2: Lesen Sie im deutschen NIS2-Umsetzungsgesetz nach, welche Melde- und Nachweispflichten für Sie gelten und welche Stelle zuständig ist.

Schritt 3: Machen Sie eine Lückenanalyse entlang der zehn Maßnahmenbereiche. Beginnen Sie mit dem, was viel Risiko für wenig Aufwand senkt: Multi-Faktor-Authentifizierung, getestete Backups, Rechteprüfung, Updates.

Schritt 4: Schreiben Sie einen kurzen Ablaufplan für Vorfälle mit den Stufen 24 Stunden, 72 Stunden und ein Monat, mit Namen und Meldeweg.

Schritt 5: Legen Sie die Maßnahmen der Geschäftsleitung zur Freigabe vor, planen Sie deren Schulung und einen Termin für die erste Überprüfung.

Schritt 6: Listen Sie Ihre kritischen Dienstleister auf und legen Sie fest, was Sie von ihnen verlangen. Sind Sie selbst Zulieferer, bereiten Sie Ihre Sicherheitsübersicht vor.

Technische Maßnahmen wie Zugriffskontrolle, Protokollierung, Backups und Multi-Faktor-Authentifizierung müssen in den Systemen stecken, mit denen Sie täglich arbeiten. Synelo baut sie in die KI-Assistenten, Automatisierungen und Websysteme ein, die wir entwickeln; eine Zertifizierungsstelle oder Kanzlei sind wir nicht.

Dies ist eine allgemeine Information mit Stand Oktober 2026 und keine Rechtsberatung; klären Sie Einzelheiten mit Ihrer Rechtsberatung oder der zuständigen Behörde.