NIS2 für den Mittelstand: Was KMU jetzt konkret tun müssen

Die Bundesregierung rechnet damit, dass in Deutschland rund 8.250 Unternehmen als besonders wichtige und rund 21.600 als wichtige Einrichtungen unter die NIS2-Pflichten fallen – zusammen also rund 30.000. Nach den Annahmen des Gesetzentwurfs entfallen rund 87 Prozent der wichtigen Einrichtungen auf mittlere Unternehmen, von denen die meisten vorher nie mit einer Cybersicherheitsregulierung zu tun hatten.[1] Wer bisher dachte, NIS2 sei ein Thema für Energiekonzerne und Rechenzentren, hat die Schwellenwerte übersehen: Ist ein Unternehmen einer der in den Anlagen 1 und 2 zum BSIG genannten Einrichtungsarten zuzuordnen und beschäftigt es mindestens 50 Mitarbeitende oder weist es einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro auf, gilt es in der Regel mindestens als „wichtige Einrichtung“[2] – das kann einen Maschinenbauer mit 60 Beschäftigten ebenso treffen wie einen regionalen IT-Dienstleister, der als Managed Service Provider tätig ist.

Die gute Nachricht: § 30 BSIG verlangt keine perfekte Sicherheitsarchitektur, sondern verhältnismäßige Maßnahmen – und für ein 60-Personen-Unternehmen sieht „verhältnismäßig“ anders aus als für einen Konzern mit eigener SOC-Abteilung. Anders als bei vielen früheren Regulierungswellen gibt es dieses Mal keine Schonfrist für Neulinge: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne separate Übergangsfrist in Kraft – wer erstmals über die Schwelle rutscht, ist ab diesem Zeitpunkt voll verpflichtet, nicht erst nach einer Anlaufphase. Dieser Leitfaden zeigt, warum so viele Mittelständler erstmals betroffen sind, wo typische Lücken liegen, wie sich Prioritäten pragmatisch setzen lassen – und welche Maßnahmen sich auch ohne eigene IT-Sicherheitsabteilung in den ersten sechs Monaten umsetzen lassen.

Warum jetzt Tausende Mittelständler betroffen sind

Vor NIS2 unterlagen in Deutschland im Kern vor allem die KRITIS-Betreiber und die Anbieter digitaler Dienste vergleichbaren Cybersicherheitspflichten – nach dem Gesetzentwurf rund 4.700 Unternehmen und damit ein kleiner Bruchteil der heute geschätzt rund 30.000 Einrichtungen.[1] Der Grund für die Ausweitung liegt in der Abgrenzung nach Artikel 2 der NIS2-Richtlinie: Erfasst sind Einrichtungen in den Anhang-I- und Anhang-II-Sektoren, die nach der EU-Definition (Empfehlung 2003/361/EG, Artikel 2 des Anhangs) mindestens als mittleres Unternehmen gelten oder darüber liegen.[3] Ein Handwerksbetrieb mit zwölf Mitarbeitenden bleibt außen vor. Ein Zulieferer mit 60 Mitarbeitenden im Maschinenbau (NACE C28; der Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ steht in Anhang II der Richtlinie bzw. Anlage 2 zum BSIG) oder ein Managed Service Provider mit 55 Beschäftigten (Anlage 1) überschreitet dagegen die Schwelle – und ist ab diesem Moment zur Umsetzung von § 30 BSIG verpflichtet, ohne Übergangsfrist für „kleine“ Neulinge.

Wie viele Mittelständler tatsächlich betroffen sind, lässt sich nur annähern – eine amtliche Aufschlüsselung nach Unternehmensgröße gibt es nicht. Bis zum 30.09.2026 hatten sich im BSI-Portal 20.141 Einrichtungen nach NIS-2 registriert, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen; auf den Sektor „Verarbeitendes Gewerbe/Herstellung von Waren“ entfielen 4.739 Registrierungen, wobei Einrichtungen mehrere Sektoren angeben können.[4]

Die genaue Sektor- und Schwellenprüfung gehört nicht in diesen Artikel – dafür gibt es die vollständige Übersicht zu Sektoren und Größenschwellen und den Betroffenheits-Check mit Entscheidungsbaum. Zur Einordnung reicht diese Faustregel:

Kategorie	Schwelle	Typisches Beispiel
Besonders wichtige Einrichtung	≥250 MA oder >50 Mio.€ Umsatz und zugleich >43 Mio.€ Bilanzsumme, nur Anlage-1-Sektor (Anhang I)	Mittelständischer Energieversorger, Klinikverbund
Wichtige Einrichtung	≥50 MA oder >10 Mio.€ Umsatz und zugleich >10 Mio.€ Bilanzsumme, Anlage-1- oder -2-Sektor; Anlage-2-Einrichtungen bleiben auch ab 250 MA „wichtig“	Maschinenbauer mit 60 MA, regionaler Managed Service Provider
In der Regel nicht betroffen	<50 MA und Jahresumsatz oder Bilanzsumme ≤10 Mio.€ (Sonderfälle ausgenommen)	Zulieferer mit 30 MA im Maschinenbau
Größenunabhängige Sonderfälle	Unabhängig von der Mitarbeiterzahl erfasst	Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter, öffentliche Telekommunikationsanbieter, Betreiber kritischer Anlagen

Wer in der Nähe der 50-Mitarbeiter-Linie oder der 10-Millionen-Euro-Schwellen liegt, sollte den Status nicht einmalig, sondern regelmäßig – etwa mit jedem Jahresabschluss – neu prüfen. Nach § 28 Abs. 4 BSIG gilt für die Berechnung die KMU-Empfehlung 2003/361/EG.[2] Nach deren Anhang ändert sich der Größenstatus grundsätzlich erst, wenn die Schwellenwerte in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten werden; die Mitarbeiterzahl wird in Jahresarbeitseinheiten gerechnet, nicht nach Köpfen.[5] Ein einzelnes starkes Geschäftsjahr verschiebt die Einstufung also in der Regel noch nicht – zwei in Folge können es.

Drei weitere Details aus § 28 BSIG sind gerade für mittelständische Unternehmensgruppen wichtig.[2] Erstens sind nach Abs. 4 die Daten von Partner- oder verbundenen Unternehmen grundsätzlich hinzuzurechnen – eine kleine Tochtergesellschaft einer größeren Gruppe kann dadurch über die Schwelle rutschen. Das gilt nicht, wenn das Unternehmen „mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig“ von seinen Partner- oder verbundenen Unternehmen ist; wer sich darauf stützt, sollte die IT-Eigenständigkeit (eigene Systeme, eigener Betrieb, keine gemeinsam genutzte Gruppen-IT) nachvollziehbar dokumentieren. Zweitens können nach Abs. 3 Geschäftstätigkeiten unberücksichtigt bleiben, die „im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar“ sind – eine untergeordnete Nebentätigkeit macht ein Unternehmen also nicht ohne Weiteres zu einer Einrichtung der betreffenden Anlage-Kategorie. Drittens werden Unternehmen, die nur einer Anlage-2-Einrichtungsart zuzuordnen sind – etwa Maschinenbau, Lebensmittelproduktion oder Chemie –, nach § 28 Abs. 1 Nr. 4 BSIG nicht aufgrund ihrer Größe zu besonders wichtigen Einrichtungen: Sie bleiben auch mit mehr als 250 Mitarbeitenden „wichtige Einrichtungen“, sofern sie nicht zugleich eine kritische Anlage betreiben.

Auf EU-Ebene hat die Kommission im November 2025 mit dem sogenannten „Digital Omnibus“ (COM(2025) 837) unter anderem eine zentrale Anlaufstelle vorgeschlagen, über die Meldepflichten nach NIS2, DSGVO, DORA, eIDAS-Verordnung und CER-Richtlinie gebündelt erfüllt werden sollen.[6] Der Vorschlag durchläuft noch das EU-Gesetzgebungsverfahren und ist nicht in Kraft – an den hier beschriebenen Schwellenwerten und Pflichten ändert sich dadurch bislang nichts. Wer seine Planung darauf stützt, dass sich die Schwellen bald verschieben, plant auf Basis eines Vorschlags, nicht geltenden Rechts.

Die typischen Lücken im deutschen Mittelstand

Unternehmen, die NIS2 zum ersten Mal aktiv umsetzen, zeigen fast immer dasselbe Muster: einzelne Sicherheitsmaßnahmen existieren bereits, aber unsystematisch und undokumentiert. Das genügt für § 30 BSIG nicht – die Vorschrift verlangt nachweisbare, dokumentierte Prozesse, keine Bauchgefühl-Sicherheit. Die folgenden Lücken tauchen in der Praxis am häufigsten auf:

Typische Lücke	Warum sie entsteht	Betroffene § 30-Maßnahme
Kein dokumentiertes Risikomanagement	Risiken werden informell im Kopf der Geschäftsführung bewertet, nie schriftlich fixiert	Risikoanalyse und IT-Sicherheitskonzepte
Kein Incident-Response-Plan	Vorfälle wurden bisher improvisiert gelöst, es gab noch nie eine meldepflichtige Störung	Bewältigung von Sicherheitsvorfällen
MFA fehlt beim Fernzugriff	VPN-Zugänge stammen aus der Zeit vor Homeoffice-Ausbau, nie nachgerüstet	Multi-Faktor-Authentifizierung
Keine Lieferantenübersicht mit Kritikalität	IT-Dienstleister und Softwarelieferanten wurden nach Preis, nie nach Risiko ausgewählt	Lieferkettensicherheit
Backups werden nie auf Wiederherstellbarkeit getestet	Backup läuft automatisiert, niemand hat je einen Restore-Test durchgeführt	Business Continuity / Betriebskontinuität
Geschäftsführung kennt die eigene Haftung nicht	NIS2 wird als „IT-Thema“ an die IT-Abteilung delegiert, nie auf Geschäftsleitungsebene besprochen	Umsetzung und Überwachung durch die Leitung (§ 38 BSIG)

Die letzte Zeile ist die teuerste Lücke: Nach § 38 Abs. 1 BSIG ist die Geschäftsleitung verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen; verletzt sie diese Pflicht, haftet sie nach § 38 Abs. 2 ihrer Einrichtung für einen schuldhaft verursachten Schaden[7] – nicht abstrakt, sondern nach den gesellschaftsrechtlichen Haftungsregeln der jeweiligen Rechtsform, bei der GmbH etwa nach § 43 GmbHG. Hinzu kommt nach § 38 Abs. 3 die Pflicht der Geschäftsleitung, regelmäßig an Schulungen teilzunehmen. Wer NIS2 rein als IT-Projekt behandelt, übersieht, dass Umsetzung und Überwachung der Maßnahmen ausdrücklich Chefsache sind.

Ein struktureller Grund, warum diese Lücken im Mittelstand so verbreitet sind: Die meisten betroffenen Unternehmen haben schlicht nie eine dedizierte Sicherheitsrolle besetzt, weil der regulatorische Druck dafür bislang fehlte. Nicht jede dieser Lücken ist deshalb zuerst ein Personalproblem, das durch eine Neueinstellung gelöst wird – oft ist sie zunächst ein Strukturproblem: Wer zuständig ist, wurde nie schriftlich festgelegt, und einzelne Aufgaben landen bei der Person, die gerade Zeit hat, statt bei der Person mit der passenden Verantwortung. Eine klare schriftliche Rollenzuordnung (siehe Abschnitt weiter unten) kostet nichts und schließt einen Teil dieser Lücken, bevor überhaupt neues Personal gesucht wird.

Verhältnismäßigkeit nach § 30 BSIG: kein Freibrief, aber ein Realitätscheck

§ 30 Absatz 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu „geeigneten, verhältnismäßigen und wirksamen“ Maßnahmen. Bei der Bewertung der Verhältnismäßigkeit sind ausdrücklich „das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen“ zu berücksichtigen.[8] Das ist der Mechanismus, der ein 60-Personen-Unternehmen konkret entlasten kann: Von einem mittelständischen Maschinenbauer ist in aller Regel kein 24/7-Security-Operations-Center und keine dedizierte Red-Team-Übung zu erwarten – wohl aber ein dokumentiertes, nachvollziehbares Vorgehen, das zur tatsächlichen Risikoexposition des Betriebs passt. Die Dokumentation verlangt § 30 Abs. 1 Satz 3 BSIG ausdrücklich.

Verhältnismäßigkeit reduziert den Aufwand pro Maßnahme, nicht die Anzahl der Maßnahmen selbst. Auch eine kleine wichtige Einrichtung muss alle zehn in § 30 Absatz 2 BSIG genannten Bereiche – von Risikoanalyse über Lieferkettensicherheit bis Kryptografie – irgendwie adressieren; sie darf die Umsetzung nur schlanker gestalten, etwa mit einer einseitigen Risikomatrix statt eines 40-seitigen ISMS-Handbuchs. Und die Maßnahmen „sollen“ den Stand der Technik einhalten – eine Soll-Vorschrift, keine absolute Pflicht zur jeweils neuesten Technologie, aber auch kein Freibrief, veraltete Systeme unbegrenzt weiterzubetreiben.

Konkret heißt das für einen 60-Personen-Betrieb: Ein dokumentiertes Incident-Response-Konzept kann eine einzige DIN-A4-Seite mit Namen, Telefonnummern und einer Eskalationsreihenfolge sein – solange es tatsächlich existiert, allen relevanten Personen bekannt ist und im Ernstfall funktioniert. Ein Konzern mit mehreren Standorten braucht dafür in der Regel ein mehrstufiges Krisenteam mit Stellvertreterregelung; für einen Mittelständler wäre das häufig nicht verhältnismäßig. Die Messlatte ist „angemessen zur eigenen Risikoexposition“, nicht „identisch zum Marktführer der Branche“.

Pragmatische Priorisierung: die Gap-Analyse in vier Schritten

Der häufigste Fehler bei der ersten NIS2-Umsetzung ist, alle zehn Maßnahmen gleichzeitig in Angriff zu nehmen – das überfordert ein kleines Team binnen Wochen. Wirksamer ist eine einfache Gap-Analyse: Ist-Zustand erfassen, Soll-Zustand aus § 30 Absatz 2 BSIG ableiten, Aufwand realistisch schätzen, danach priorisieren.

Maßnahme	Typischer Ist-Zustand im Mittelstand	Aufwand zur Behebung	Priorität
MFA für Fernzugriff	Fehlt komplett oder nur für einzelne Nutzer	Niedrig	Sofort (Wochen)
Vorfallmeldeprozess (24h/72h)	Keine definierte Eskalationskette	Niedrig	Sofort (Wochen)
Backup-Wiederherstellungstest	Backup läuft, wurde nie getestet	Niedrig-mittel	Sofort (Wochen)
Lieferanten-Kritikalitätsregister	Excel-Liste ohne Risikobewertung oder gar keine Liste	Mittel	Kurzfristig (1–3 Monate)
Dokumentiertes Risikomanagement	Informelle Einschätzung, nichts schriftlich	Mittel	Kurzfristig (1–3 Monate)
Schulungsprogramm für Belegschaft	Keine regelmäßige Sensibilisierung	Mittel	Mittelfristig (3–6 Monate)
Kryptografiekonzept	Verschlüsselung uneinheitlich, kein Konzept	Hoch	Mittelfristig (6–12 Monate)

Diese Reihenfolge ist keine Zufallsauswahl: Sie beginnt bei Maßnahmen, die wenig kosten, aber das größte Einzelrisiko schließen (ungeschützte Fernzugänge gelten als verbreiteter Einfallsweg für Ransomware), und schiebt teurere, organisatorisch aufwendigere Themen wie ein vollständiges Kryptografiekonzept bewusst nach hinten – ohne sie zu streichen.

Quick Wins für die ersten sechs Monate

Ohne eigene IT-Sicherheitsabteilung lässt sich trotzdem in kurzer Zeit sichtbarer Fortschritt zeigen. Diese Maßnahmen brauchen in der Regel kein großes Budget und keinen externen Berater:

• MFA auf allen administrativen und Fernzugriffen aktivieren – oft ein reiner Konfigurationsschritt in bestehender Software, keine Neuanschaffung. Gestohlene oder erratene Zugangsdaten für VPN- und Admin-Konten zählen zu den bekannten Einfallswegen für Ransomware; MFA ist deshalb oft eine der wirksamsten Maßnahmen im Verhältnis zum Aufwand.
• Einen Restore-Test durchführen und das Ergebnis dokumentieren – zeigt sofort, ob das Backup im Ernstfall überhaupt funktioniert. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme, kein Nachweis.
• Eine Ein-Seiten-Meldekette erstellen: wer ruft bei einem Vorfall wen an, wer meldet über das BSI-Portal, welche Frist gilt. Ohne diese Liste verstreicht die 24-Stunden-Frühwarnfrist häufig allein dadurch, dass niemand weiß, wer den ersten Anruf tätigen soll.
• Eine einfache Lieferantenliste mit Risikoeinstufung beginnen – auch eine Tabelle mit drei Kritikalitätsstufen (kritisch/mittel/gering) ist ein dokumentierter Anfang und lässt sich später verfeinern.
• Eine einstündige Sensibilisierungsschulung für die gesamte Belegschaft ansetzen, Phishing-Beispiele und interne Meldewege inklusive – viele erfolgreiche Angriffe beginnen nicht bei der Technik, sondern bei einer angeklickten E-Mail.
• Die BSI-Registrierung im BSI-Portal nachholen, falls noch nicht geschehen – nach § 33 BSIG war sie spätestens drei Monate nach dem erstmaligen Erfassen fällig, für die seit Inkrafttreten erfassten Einrichtungen also am 6. März 2026.[9] Die Pflicht besteht fort, und eine verspätete Registrierung ist in aller Regel besser als gar keine.

Für den Einstieg ohne eigenes Sicherheitswissen bietet der kostenlose FitNIS2-Navigator, den Deutschland sicher im Netz e.V. gemeinsam mit der Transferstelle Cybersicherheit im Mittelstand und der Universität Paderborn entwickelt hat, eine erste Orientierung: Das Tool führt von der Prüfung der Betroffenheit über eine Bestandsaufnahme vorhandener IT-Sicherheitsmaßnahmen bis zu Handlungsempfehlungen und individuellen Aktionsplänen[10] – ein sinnvoller erster Schritt, bevor größere Investitionen anstehen. Für die vollständige, schrittweise Umsetzung über alle zehn Maßnahmen hinweg lohnt sich anschließend der detaillierte Umsetzungsleitfaden.

Rollen im Kleinbetrieb: wer trägt was ohne eigene Sicherheitsabteilung

Die meisten NIS2-Rollenmodelle gehen von einem CISO, einer IT-Abteilung und einem Compliance-Team aus – in einem 60-Personen-Betrieb existiert davon oft nur die IT, und die ist meist eine einzelne Person oder ein externer Dienstleister. Realistisch verteilt sich die Verantwortung so:

Rolle im Kleinbetrieb	Verantwortung nach §§ 30, 38 BSIG
Geschäftsführung	Setzt die Risikomanagementmaßnahmen um und überwacht ihre Umsetzung, nimmt regelmäßig an Schulungen teil; haftet der Einrichtung bei schuldhafter Pflichtverletzung (§ 38 BSIG)
IT-Verantwortlicher / externer IT-Dienstleister	Setzt technische Maßnahmen um (MFA, Backup, Netzwerksicherheit), meldet Vorfälle intern
Kaufmännische Leitung	Pflegt Lieferantenverträge und -übersicht, dokumentiert Nachweise für eine spätere Prüfung
Externer Berater (optional)	Unterstützt punktuell bei Gap-Analyse, Schulung oder Auditvorbereitung – ersetzt nicht die interne Verantwortung

Entscheidend ist, dass diese Verteilung schriftlich festgehalten wird. Ohne dokumentierte Zuständigkeiten lässt sich gegenüber einer Aufsichtsbehörde nicht belegen, dass die Geschäftsleitung ihrer Umsetzungs- und Überwachungspflicht überhaupt nachgekommen ist.

Bußgelder und Haftung: was auf dem Spiel steht

Die Bußgeldrahmen richten sich in erster Linie nach der Einrichtungskategorie und erst oberhalb von 500 Millionen Euro Gesamtumsatz auch nach dem Umsatz. Bei Verstößen gegen zentrale Pflichten – etwa die Risikomanagementmaßnahmen nach § 30 BSIG, deren Dokumentation oder die Meldepflichten nach § 32 – können nach § 65 BSIG gegenüber besonders wichtigen Einrichtungen Geldbußen bis zu zehn Millionen Euro verhängt werden, bei einem Gesamtumsatz von mehr als 500 Millionen Euro auch bis zu zwei Prozent dieses Umsatzes; gegenüber wichtigen Einrichtungen bis zu sieben Millionen Euro beziehungsweise bis zu 1,4 Prozent.[11] Maßgeblich ist der weltweite Umsatz des Unternehmens, dem die Einrichtung angehört (§ 65 Abs. 8) – für die Tochter einer größeren Gruppe also nicht nur der eigene Umsatz. Eine nicht oder nicht rechtzeitig übermittelte Registrierung kann mit bis zu 500.000 Euro geahndet werden; zuständige Bußgeldbehörde ist in der Regel das BSI. Für die meisten mittelständischen „wichtigen Einrichtungen“ unterhalb der 500-Millionen-Umsatzgrenze gilt damit ein Rahmen von bis zu sieben Millionen Euro – Unternehmen aus Anlage-2-Sektoren wie dem Maschinenbau bleiben auch als Großunternehmen in dieser Kategorie. Schon ein Bruchteil dieses Höchstbetrags kann für einen 60-Personen-Betrieb existenzbedrohend sein.

Wichtiger als die abstrakte Bußgeldhöhe ist für die Praxis oft die Kombination mit der Organhaftung: Ein Bußgeldverfahren gegen die Einrichtung und Schadensersatzansprüche der Gesellschaft gegen die eigene Geschäftsleitung nach § 38 Abs. 2 BSIG in Verbindung mit dem Gesellschaftsrecht schließen sich nicht aus. Wer die vollständige Fristenlogik und den Schritt-für-Schritt-Ablauf zur Umsetzung nachvollziehen will, findet sie im Umsetzungsleitfaden; wer zunächst nur die eigene Betroffenheit klären möchte, nutzt den Betroffenheits-Check.

Häufige Fragen

Muss ein Unternehmen mit 55 Mitarbeitenden wirklich alle zehn Maßnahmen umsetzen?
Wenn es als wichtige Einrichtung gilt, ja – die Maßnahmen müssen nach § 30 Absatz 2 BSIG „zumindest“ alle zehn dort genannten Bereiche umfassen, unabhängig von der Unternehmensgröße. Die Größe beeinflusst laut § 30 Absatz 1 nur, wie aufwendig die Umsetzung jeder einzelnen Maßnahme ausfallen muss. Ausnahmen regelt § 28 Absatz 5 und 6 BSIG, etwa für Telekommunikations- und bestimmte Energieunternehmen sowie für Finanzunternehmen unter DORA.

Was passiert, wenn die BSI-Registrierungsfrist bereits verpasst wurde?
Die Frist nach § 33 Absatz 1 BSIG endete für die seit Inkrafttreten des Gesetzes erfassten Einrichtungen am 6. März 2026; die Pflicht besteht aber fort. Eine verspätete Registrierung ist in aller Regel besser als keine – sie sollte umgehend im BSI-Portal nachgeholt werden, statt auf eine behördliche Aufforderung zu warten. Das BSI kann die Registrierung nach § 33 Absatz 3 auch selbst vornehmen; eine nicht oder nicht rechtzeitig übermittelte Angabe kann mit einem Bußgeld von bis zu 500.000 Euro geahndet werden.

Reicht eine bestehende ISO-27001-Zertifizierung aus, um NIS2-konform zu sein?
Eine ISO-27001-Zertifizierung deckt viele, aber nicht automatisch alle zehn Bereiche aus § 30 Absatz 2 BSIG in der von NIS2 geforderten Ausprägung ab – insbesondere die konkrete Meldefristenlogik (24h/72h) ist eine ISO-27001-fremde Anforderung, und die Pflichten der Geschäftsleitung nach § 38 BSIG ergeben sich aus dem Gesetz, nicht aus der Norm. Eine bestehende Zertifizierung ist ein guter Ausgangspunkt, ersetzt aber keine eigene Gap-Analyse.

Wie viel Budget braucht ein 60-Personen-Betrieb realistisch?
Eine belastbare Zahl für den Einzelfall gibt es nicht. Der Gesetzentwurf der Bundesregierung nimmt für wichtige Einrichtungen – ausdrücklich mangels verfügbarer Daten – einen durchschnittlichen jährlichen Erfüllungsaufwand von rund 1.100 Personalstunden und rund 24.300 Euro Sachkosten an; den einmaligen Aufwand setzt er vereinfachend in Höhe eines Jahresaufwands an. Für mittlere Unternehmen unterstellt der Entwurf dabei einen geringeren Aufwand als für große.[1] Das ist ein Durchschnittswert für die Gesetzesfolgenabschätzung, keine Planungsgröße für einen konkreten Betrieb. Seriöser ist es, den in diesem Artikel beschriebenen Gap-Analyse-Ansatz durchzuführen und die Kosten pro identifizierter Lücke einzeln zu schätzen: Ein MFA-Rollout kann bei vorhandener Software mit überschaubarem Aufwand verbunden sein, ein vollständiges Kryptografiekonzept mit externer Beratung dagegen deutlich teurer werden – die Bandbreite ist zu groß für eine seriöse Pauschalzahl. Für den Dokumentationsteil können Sie die Kosten für Ihr Unternehmen schätzen: Der Rechner vergleicht externe Beratung, selbst angepasste Vorlagen und eine Mischform mit Ihren eigenen Stunden- und Tagessätzen.

Gilt die Verhältnismäßigkeit aus § 30 Absatz 1 BSIG auch für die Meldefristen?
Nein. Die frühe Erstmeldung binnen 24 Stunden und die Meldung binnen 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall gelten nach § 32 Absatz 1 BSIG für besonders wichtige und wichtige Einrichtungen unabhängig von ihrer Größe; spätestens einen Monat nach der 72-Stunden-Meldung folgt eine Abschlussmeldung.[12] Sonderregeln bestehen nach § 28 Absatz 5 und 6 BSIG unter anderem für Telekommunikations- und bestimmte Energieunternehmen sowie DORA-Finanzunternehmen. Verhältnismäßigkeit betrifft den Umfang der Risikomanagementmaßnahmen selbst, nicht die Meldefristen.

Quellen

• [1] Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie, BT-Drucksache 21/1501 (Erfüllungsaufwand, KMU-Test) — dserver.bundestag.de
• [2] § 28 BSIG (Besonders wichtige Einrichtungen und wichtige Einrichtungen) — gesetze-im-internet.de
• [3] NIS2-Richtlinie (EU) 2022/2555, Artikel 2 — eur-lex.europa.eu
• [4] BSI: „NIS-2 in Zahlen“ (Stand 30.09.2026) — bsi.bund.de
• [5] Empfehlung der Kommission 2003/361/EG (KMU-Definition), Anhang Art. 4 und 5 — eur-lex.europa.eu
• [6] Europäische Kommission: Vorschlag „Digital Omnibus“, COM(2025) 837 final — eur-lex.europa.eu
• [7] § 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen) — gesetze-im-internet.de
• [8] § 30 BSIG (Risikomanagementmaßnahmen) — gesetze-im-internet.de
• [9] § 33 BSIG (Registrierungspflicht) — gesetze-im-internet.de
• [10] FitNIS2-Navigator — Deutschland sicher im Netz e.V. / Transferstelle Cybersicherheit im Mittelstand / Universität Paderborn — fitnis2.de
• [11] § 65 BSIG (Bußgeldvorschriften) — gesetze-im-internet.de
• [12] § 32 BSIG (Meldepflichten) — gesetze-im-internet.de

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsform, Sektor und Einzelfall abweichen. Konsultieren Sie für eine auf Ihr Unternehmen zugeschnittene Bewertung eine qualifizierte Rechts- oder Compliance-Fachkraft.