Entscheidungshilfe für den Mittelstand.
NIS2 betrifft längst nicht nur Konzerne und Betreiber kritischer Infrastruktur. Auch viele mittelständische Unternehmen müssen ihre IT-Sicherheit neu bewerten, Maßnahmen dokumentieren und Verantwortung klar zuordnen. Doch woran erkennen Geschäftsführer und IT-Leiter, ob ihr Unternehmen tatsächlich unter das Gesetz fällt? Eine verständliche Einordnung ohne Paragrafendschungel.
Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft. Für rund 29.500 Unternehmen gelten damit neue gesetzliche Pflichten in der IT-Sicherheit .
„Sind wir überhaupt betroffen?“
Das ist nachvollziehbar. Die Einordnung hängt nicht nur von der Unternehmensgröße ab, sondern auch von Branche, Tätigkeit, Unternehmensstruktur und möglichen Sonderregelungen. Trotzdem lässt sich mit einigen gezielten Fragen schnell erkennen, ob eine genauere Prüfung notwendig ist.
NIS2 im Mittelstand: Wer betroffen sein kann
NIS2 soll das Sicherheitsniveau in wirtschaftlich und gesellschaftlich wichtigen Bereichen erhöhen. Deshalb erfasst das Gesetz wesentlich mehr Unternehmen als die vorherigen Regelungen.
Im Fokus stehen unter anderem Unternehmen aus diesen Bereichen:
* Energie und Versorgung
* Verkehr und Logistik
* Gesundheitswesen
* digitale Infrastruktur
* IT- und Telekommunikationsdienste
* Maschinenbau und verarbeitendes Gewerbe
* Lebensmittelproduktion und Lebensmittelhandel
* Chemie
* Abfallwirtschaft
* bestimmte digitale Dienste
Das bedeutet aber nicht automatisch, dass jedes Unternehmen aus diesen Branchen NIS2-pflichtig ist. Neben der Tätigkeit spielen insbesondere die Unternehmensgröße und die konkrete rechtliche Einordnung eine Rolle.
Gerade im industriell geprägten Raum München und in Nordbayern lohnt sich ein genauer Blick. Viele mittelständische Produktionsbetriebe, Technologieunternehmen und Zulieferer bewegen sich in einem Umfeld, in dem NIS2 entweder direkt oder über Kundenanforderungen relevant wird.
NIS2-Schwellenwerte richtig prüfen
Als erste Orientierung wird häufig folgende Faustregel verwendet:
* mindestens 50 Mitarbeitende
* mindestens 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme
* Tätigkeit in einem erfassten Sektor
Diese Werte sind hilfreich, ersetzen aber keine vollständige Betroffenheitsprüfung. Je nach Einordnung als mittleres oder großes Unternehmen gelten unterschiedliche Kriterien. Außerdem können verbundene oder Partnerunternehmen bei der Berechnung relevant sein.
Hinzu kommen Ausnahmen: Bestimmte Einrichtungen fallen unabhängig von ihrer Größe unter die Regelungen. Umgekehrt ist ein Unternehmen nicht allein deshalb betroffen, weil es mehr als 50 Mitarbeitende beschäftigt.
Die drei entscheidenden Fragen lauten daher:
1. In welchem Sektor und mit welcher konkreten Tätigkeit ist das Unternehmen aktiv?
2. Welche Größenmerkmale gelten unter Einbeziehung der Unternehmensstruktur?
3. Gibt es Sonderregelungen oder direkte gesetzliche Zuordnungen?
Wer bei einer dieser Fragen unsicher ist, sollte die Betroffenheit nachvollziehbar prüfen und das Ergebnis dokumentieren.
NIS2 und Lieferkette: Indirekt betroffen
Nicht jedes Unternehmen, das NIS2-Anforderungen erfüllen muss, ist unmittelbar gesetzlich reguliert.
Viele Anforderungen kommen über die Lieferkette.
Betroffene Unternehmen müssen die Sicherheit ihrer Dienstleister und Lieferanten stärker berücksichtigen. Deshalb verlangen sie zunehmend Nachweise über Sicherheitsmaßnahmen, Notfallvorsorge, Risikomanagement und Meldewege.
Für einen mittelständischen Zulieferer kann das bedeuten:
* neue Sicherheitsanforderungen in Kundenverträgen
* zusätzliche Fragebögen und Audits
* Nachweise über technische und organisatorische Maßnahmen
* dokumentierte Notfall- und Wiederanlaufprozesse
* strengere Regeln für Zugänge und Datenverarbeitung
Damit wird IT-Sicherheit auch außerhalb des direkten gesetzlichen Anwendungsbereichs zu einem Wettbewerbsfaktor.
Wer Sicherheitsanforderungen nachvollziehbar erfüllen kann, reduziert nicht nur Risiken. Er stärkt auch seine Position gegenüber Kunden und Auftraggebern.
NIS2 macht IT-Sicherheit zur Chefsache
NIS2 weist der Geschäftsleitung eine klare Rolle zu.Die Leitungsebene muss die Maßnahmen des Risikomanagements billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teiln ehmen. IT-Sicherheit lässt sich damit nicht mehr vollständig an die interne IT oder einen externen Dienstleister delegieren.
Für Geschäftsführer bedeutet das nicht, dass sie selbst Firewalls konfigurieren oder technische Protokolle prüfen müssen.
Sie müssen aber nachvollziehen können:
* Welche Risiken bestehen für den Geschäftsbetrieb?
* Welche Systeme und Prozesse sind besonders wichtig?
* Welche Schutzmaßnahmen wurden beschlossen?
* Wer kontrolliert deren Umsetzung?
* Wie wird im Sicherheitsvorfall reagiert?
* Welche Entscheidungen und Prüfungen sind dokumentiert?
Für IT-Leiter kann diese Entwicklung hilfreich sein. Sicherheitsmaßnahmen erhalten dadurch mehr Aufmerksamkeit auf Managementebene. Technische Risiken werden nicht mehr isoliert betrachtet, sondern als Teil des unternehmerischen Risikomanagements.
Unser Geschäftsführer Jörg Schumann tritt auch als Keynote-Speaker zu IT-Sicherheit auf.
NIS2-Betroffenheitsprüfung: Fünf Fragen
Eine erste Einschätzung muss nicht kompliziert sein. Beginnen Sie mit diesen fünf Fragen:
1. Gehört unser Unternehmen zu einem von NIS2 erfassten Sektor?
Entscheidend ist nicht nur die Branchenbezeichnung, sondern die konkrete Tätigkeit.
2. Erreichen wir die relevanten Schwellenwerte?
Prüfen Sie Mitarbeitendenzahl, Umsatz und Bilanzsumme. Berücksichtigen Sie dabei gegebenenfalls verbundene Unternehmen.
3. Erbringen wir einen besonders relevanten Dienst?
Einige Einrichtungen können unabhängig von ihrer Größe erfasst werden.
4. Fordern Kunden bereits Sicherheitsnachweise?
Dann ist NIS2 möglicherweise indirekt über die Lieferkette relevant.
5. Können wir unsere IT-Sicherheitsmaßnahmen nachvollziehbar belegen?
Technische Maßnahmen allein reichen nicht. Risiken, Zuständigkeiten, Entscheidungen und Prüfungen müssen dokumentiert sein.
Wenn Sie bei mehreren Punkten unsicher sind, ist eine strukturierte Betroffenheitsprüfung sinnvoll.
IT-Sicherheit für den Mittelstand in München
Die Betroffenheitsprüfung ist nur der erste Schritt. Danach geht es um die Frage, wie gut Ihr Unternehmen heute tatsächlich aufgestellt ist.
Dabei braucht der Mittelstand keine Sicherheitsarchitektur für einen internationalen Großkonzern. Er braucht Maßnahmen, die zum eigenen Risiko, zur Organisation und zu den vorhandenen Ressourcen passen.
Net-D-Sign unterstützt mittelständische Unternehmen im Raum München dabei, den aktuellen Sicherheitsstand realistisch zu bewerten und sinnvolle nächste Schritte festzulegen.
Als ISO-27001-zertifizierter IT-Partner verbinden wir technische Erfahrung mit strukturierten und nachvollziehbaren Prozessen. Das Ziel ist kein möglichst großer Maßnahmenkatalog. Das Ziel ist Klarheit:
* Wo bestehen relevante Risiken?
* Was muss zuerst verbessert werden?
* Welche Maßnahmen sind bereits gut umgesetzt?
* Was muss dokumentiert werden?
* Wie entsteht daraus ein machbarer Plan?
Ein sinnvoller Einstieg ist eine strukturierte Standortbestimmung. Genau dafür wurde SecureStart entwickelt.
Sie möchten wissen, wie sicher Ihr Unternehmen heute aufgestellt ist? Mit SecureStart erhalten Sie eine verständliche Bewertung und konkrete Prioritäten für die nächsten Schritte.
→ Jetzt SecureStart kennenlernen
Garching, im April 2026.
Quelle Titelbild: Adobe Stock
