NIS2 Umsetzung für KMU
Die EU-Richtlinie NIS2 betrifft deutlich mehr Unternehmen als erwartet. Finden Sie heraus, ob Ihr KMU handeln muss – und welche konkreten Schritte jetzt nötig sind.
Kurz erklärt: Die EU-Richtlinie NIS2 (Network and Information Security Directive 2) verpflichtet ab 2025 auch viele KMU zu verbindlichen IT-Sicherheitsmaßnahmen. Betroffen sind Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz in 18 kritischen Sektoren. Pflichten umfassen Risikomanagement, Meldepflichten bei Vorfällen (24h), Lieferkettensicherheit und Geschäftsführer-Haftung. Verstöße können bis zu 10 Mio. € oder 2 % des Jahresumsatzes kosten.
NIS2-Schnelltest: Bin ich betroffen?
Beantworten Sie 5 kurze Fragen und erhalten Sie sofort eine Ersteinschätzung, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt.
In welchem Sektor ist Ihr Unternehmen taetig?
NIS2 betrifft 18 regulierte Sektoren. Unternehmen in kritischen Sektoren sind fast immer betroffen.
NIS2-Betroffenheitsanalyse
NIS2 richtet sich nicht nur an Großkonzerne. Auch KMU können als „wesentliche" oder „wichtige Einrichtung" eingestuft werden:
- Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz in regulierten Sektoren
- Zulieferer kritischer Infrastrukturen – unabhängig von der Größe
- Sektoren: Energie, Gesundheit, Transport, digitale Infrastruktur, Produktion, Lebensmittel u. v. m.
- IT-Dienstleister und Managed-Service-Provider als wichtige Einrichtung
Tipp: Kostenlose NIS2-Betroffenheitsanalyse
Unser Sicherheitscheck enthält eine automatische NIS2-Betroffenheitsanalyse. Anhand Ihrer Branche, Größe und Lieferketten-Rolle erhalten Sie eine Ersteinschätzung in wenigen Minuten.
Jetzt NIS2-Betroffenheit prüfenNIS2-Pflichten & Anforderungen
Betroffene Unternehmen müssen umfangreiche Sicherheitsmaßnahmen umsetzen und nachweisen:
Meldepflicht bei Vorfällen
Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden an die zuständige Behörde gemeldet werden. Eine detaillierte Meldung folgt innerhalb von 72 Stunden.
Risikomanagement
Technische und organisatorische Maßnahmen: Risikoanalyse, Incident-Management, Business Continuity, Lieferkettensicherheit und Verschlüsselung.
Dokumentationspflicht
Alle Maßnahmen müssen nachvollziehbar dokumentiert sein. Bei Prüfungen durch Behörden muss die Compliance jederzeit nachgewiesen werden können.
Geschäftsführer-Haftung
Geschäftsführende haften persönlich für die Umsetzung. Bußgelder bis 10 Mio. € oder 2 % des Jahresumsatzes sind möglich.
Lieferketten-Sicherheit
Unternehmen müssen die Cybersicherheit ihrer Lieferkette bewerten und vertraglich absichern – auch bei KMU-Zulieferern.
Schulungspflicht
Mitarbeitende und Geschäftsführung müssen regelmäßig in Cybersicherheit geschult werden. Die Schulungen sind zu dokumentieren.
NIS2-Umsetzungsfristen
Die NIS2-Richtlinie ist bereits in Kraft. Hier die wichtigsten Meilensteine:
NIS2-Richtlinie in Kraft getreten
Die EU-Richtlinie 2022/2555 ist offiziell in Kraft getreten.
Frist für nationale Umsetzung
Bis zu diesem Datum mussten alle EU-Mitgliedstaaten die Richtlinie in nationales Recht umsetzen.
NIS2UmsuCG in Deutschland
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wird in Deutschland schrittweise umgesetzt. Unternehmen sollten sich jetzt vorbereiten.
Registrierungspflicht beim BSI
Betroffene Unternehmen müssen sich beim BSI registrieren und einen Ansprechpartner für IT-Sicherheit benennen.
NIS2-Umsetzung in 4 Schritten
Betroffenheit prüfen
Unser kostenloser NIS2-Check analysiert Ihre Branche, Größe und Lieferketten-Rolle und gibt eine klare Ersteinschätzung.
Lücken identifizieren
Der Sicherheitscheck deckt konkrete Schwachstellen auf: fehlende MFA, unkonfiguriertes DMARC, fehlender Notfallplan u. v. m.
Maßnahmen umsetzen
Sie erhalten einen priorisierten Maßnahmenplan – sortiert nach Dringlichkeit, Aufwand und Wirkung. Ideal als Grundlage für ein ISMS.
Dokumentieren & überwachen
Mit dem Pro-Paket überwachen Sie Ihren Score laufend und können jederzeit nachweisen, welche Maßnahmen umgesetzt wurden.
Aufwand & Kosten
Der Einstieg ist kostenlos. Unser Basis-Check gibt Ihnen eine erste Einschätzung Ihrer NIS2-Betroffenheit ohne Kosten und ohne Verpflichtung.
0 €
Basis-Check inkl. NIS2-Ersteinschätzung
199 €
Einmaliger Report mit KI-Notfallplan
79 €/Monat
Laufendes Monitoring & Compliance-Tracking
Häufige Fragen zu NIS2 für KMU
Was ist NIS2 und seit wann gilt die Richtlinie?
NIS2 (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Cybersicherheit, die seit Oktober 2024 in Kraft ist. Sie verschärft die Anforderungen an IT-Sicherheit und erweitert den Kreis betroffener Unternehmen erheblich.
Bin ich als KMU von NIS2 betroffen?
Potenziell ja. NIS2 betrifft Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz in regulierten Sektoren. Auch kleinere Zulieferer kritischer Infrastrukturen können betroffen sein – unabhängig von der Größe.
Welche Strafen drohen bei Nicht-Einhaltung?
Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Zudem haften Geschäftsführende persönlich für die Umsetzung der NIS2-Anforderungen.
Was ist der Unterschied zwischen „wesentlichen“ und „wichtigen“ Einrichtungen?
Wesentliche Einrichtungen (essential entities) unterliegen strengerer Aufsicht und proaktiven Prüfungen. Wichtige Einrichtungen (important entities) werden reaktiv geprüft – z. B. nach Vorfällen. Beide müssen die gleichen Sicherheitsmaßnahmen umsetzen.
Brauche ich ein ISMS für NIS2?
Ein formales ISMS (z. B. nach ISO 27001) ist nicht zwingend vorgeschrieben, wird aber empfohlen. NIS2 verlangt nachweisbare Maßnahmen zum Risikomanagement – ein ISMS liefert dafür den strukturierten Rahmen.
Wie prüfe ich meine NIS2-Betroffenheit?
Unser kostenloser Sicherheitscheck enthält eine NIS2-Betroffenheitsanalyse. Anhand Ihrer Branche, Unternehmensgröße und Lieferketten-Rolle erhalten Sie eine Ersteinschätzung in wenigen Minuten.
Jetzt NIS2-Betroffenheit prüfen
Starten Sie jetzt den kostenlosen NIS2-Check und erfahren Sie in wenigen Minuten, ob Ihr Unternehmen handeln muss.