NIS2 im Mittelstand: Betroffenheit prüfen und richtig starten
Von Nico Freitag, Geschäftsführer, Cybersecurity und GovernanceSeit dem 6. Dezember 2025 gelten in Deutschland die Registrierungs- und Meldepflichten des NIS2-Umsetzungsgesetzes. Unternehmen sollten zuerst Sektor, Größe und mögliche Sonderregeln prüfen, die Entscheidung dokumentieren und bei Betroffenheit Verantwortlichkeiten, Registrierung, Risikomanagement und Meldewege aufsetzen.
Wie beginnt die Betroffenheitsprüfung?
Prüfe zunächst, ob die Tätigkeit einem erfassten Sektor zugeordnet ist und welche Größenmerkmale gelten. Konzernzugehörigkeit und besondere Einordnung können das Ergebnis beeinflussen. Halte Quellen, Annahmen und Entscheidung schriftlich fest und lass Grenzfälle rechtlich prüfen. Eine technische Sicherheitsanalyse ersetzt diese Einordnung nicht.
Was folgt bei einer Betroffenheit?
Benennen Sie eine verantwortliche Leitung, registrieren Sie das Unternehmen über das vorgesehene BSI-Portal und definieren Sie einen belastbaren Meldeweg. Parallel braucht es ein risikobasiertes Sicherheitsprogramm mit Schutzbedarf, Maßnahmen, Lieferkettenbetrachtung, Übungen und nachvollziehbarer Leitungskontrolle.
Welche Reihenfolge ist praktisch?
Starten Sie mit kritischen Diensten, Verantwortlichkeiten und dem aktuellen Sicherheitsstand. Schließen Sie zuerst Lücken, die einen großen Schaden mit realistischem Aufwand verhindern. Meldeprozess, Notfallkontakte und Wiederherstellung sollten früh geübt werden, weil reine Dokumentation im Vorfall nicht genügt.
Quellen und Grundlage
Zentrale Aussagen dieses Beitrags wurden anhand der folgenden Primärquellen geprüft.
Häufige Fragen
- Ist jedes mittelständische Unternehmen betroffen?
- Nein. Sektor, Tätigkeit, Größe und mögliche Sonderregeln entscheiden. Die Prüfung sollte dokumentiert werden.
- Wo erfolgt die Registrierung?
- Das BSI verweist für die Registrierung gemäß NIS2 auf sein BSI-Portal.