NIS-2 für KMU: was kommt, was kostet es, was muss bis wann erledigt sein

Einordnung

Abschnitt 01

Wer ist betroffen — die zwei Kategorien

NIS-2 unterscheidet zwei Kategorien betroffener Einrichtungen. (1) Wesentliche Einrichtungen: Unternehmen mit mindestens 250 Mitarbeitern ODER Umsatz über 50 Mio € in den Sektoren Energie, Verkehr, Banken, Finanzmarkt-Infrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Service-Management, öffentliche Verwaltung, Raumfahrt. (2) Wichtige Einrichtungen: ab 50 Mitarbeitern oder 10 Mio € Umsatz in den Sektoren Post- und Kurier, Abfall, Chemie, Lebensmittel, Manufaktur (Maschinenbau, Elektro, KFZ), digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung. Wichtig: auch wenn ein KMU selbst nicht direkt in den Sektoren liegt, kann es als Zulieferer einer betroffenen Einrichtung mittelbar zur Compliance verpflichtet werden.

Abschnitt 02

Die 10 Kernpflichten konkret

NIS-2 schreibt 10 zentrale Maßnahmen-Bereiche vor (§30 NIS2UmsuCG): (1) Risiko-Analysen und Sicherheitskonzepte. (2) Bewältigung von Sicherheitsvorfällen. (3) Aufrechterhaltung des Geschäftsbetriebs (Business Continuity, Backup-Management, Krisenmanagement). (4) Sicherheit der Lieferkette einschließlich Sicherheitsaspekten in den Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. (5) Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, Komponenten und Diensten, einschließlich Schwachstellenmanagement. (6) Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. (7) Grundlegende Cyber-Hygiene und Schulungen. (8) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung. (9) Personalsicherheit, Konzepte für die Zugriffskontrolle und Asset-Management. (10) Verwendung von Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie ggf. gesicherte Notfallkommunikation.

Abschnitt 03

Geschäftsführer-Haftung: das entscheidende Detail

§38 NIS2UmsuCG begründet eine persönliche Haftung der Geschäftsleitung. Konkret: Geschäftsführer haften persönlich für die Umsetzung der Cybersecurity-Maßnahmen. Die Haftung gilt UNABHÄNGIG davon, ob die Geschäftsführung über die NIS-2-Pflichten informiert war. Sie können nicht delegieren und sich auf "die IT macht das" berufen. Wer eine NIS-2-Pflichtverletzung zu vertreten hat (Vorsatz oder Fahrlässigkeit), haftet auch nach Ende der Geschäftsführer-Position für die Dauer der Verjährungsfrist. Das macht NIS-2 für die meisten KMU-Geschäftsführer zu einer der wichtigsten Compliance-Aufgaben des Jahres 2026.

Abschnitt 04

Strafen: was wirklich gezahlt wird

Die Strafrahmen sind hoch: Wesentliche Einrichtungen bis 10 Mio € oder 2% des weltweiten Konzern-Jahresumsatzes, je nachdem was höher ist. Wichtige Einrichtungen bis 7 Mio € oder 1.4%. Diese Maximal-Beträge werden erfahrungsgemäß nicht ausgeschöpft, aber: das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat angekündigt, in der Durchsetzungs-Phase (ab April 2026) prioritär bei eklatanten Verstößen wie fehlender Vorfalls-Meldung oder fehlender Geschäftsführer-Beteiligung am Risiko-Management nachzugehen. Erste Bußgelder werden im Bereich 50.000 - 500.000 € erwartet, mit aufsteigender Tendenz. Wichtiger als die Strafe selbst ist der Reputations-Schaden bei Veröffentlichung.

Abschnitt 05

Vorfalls-Meldung: 24h-Regel verstehen

§32 NIS2UmsuCG verpflichtet zur Meldung erheblicher Vorfälle binnen 24 Stunden an das BSI in einer "Frühwarn-Meldung". Eine vollständige Vorfalls-Meldung muss binnen 72 Stunden folgen, ein Abschlussbericht binnen einem Monat. "Erheblich" ist definiert als: Beeinträchtigung der Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von gespeicherten, übertragenen oder verarbeiteten Daten oder Diensten mit erheblichen finanziellen Auswirkungen, erheblicher Stör der Dienste oder Auswirkungen auf andere natürliche oder juristische Personen. Die Meldung muss über das BSI-Meldeportal (Meldeplattform CSEM) erfolgen. KMUs sollten diesen Workflow trocken üben, bevor der Ernstfall eintritt.

Abschnitt 06

9-Monats-Umsetzungsplan

Phase 1 (Monat 1-2): Scope-Klärung, Asset-Inventory, Risiko-Bewertung nach ISO 27005-Methodologie. Phase 2 (Monat 3-4): Maßnahmen-Plan, Priorisierung nach Risiko, Budget-Allokation. Investitionen typisch 35.000-180.000 € für eine 100-MA-Firma. Phase 3 (Monat 5-7): Maßnahmen-Umsetzung. Hier liegt der größte Aufwand: MFA-Rollout, Backup-Strategie, Patch-Management, Lieferketten-Audit, Incident-Response-Plan. Phase 4 (Monat 8-9): Schulungen, Tests, Tabletop-Übungen, Dokumentation für Audit-Bereitschaft. Wichtig: BSI registriert sich nicht "voraus" — die Pflicht zur Registrierung galt September 2025. Wer noch nicht registriert ist, sollte das sofort tun und dokumentieren.

Abschnitt 07

Lieferketten-Audit: der unterschätzte Block

§30 Nr. 4 NIS2UmsuCG fordert "Sicherheit der Lieferkette einschließlich Sicherheitsaspekten in den Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern". Konkret: jeder Anbieter mit Zugriff auf kritische Systeme oder Daten muss bewertet werden. Bewertungs-Kriterien: hat der Anbieter selbst ein ISMS, gibt es ein dokumentiertes Sicherheitskonzept, gibt es eine Vorfalls-Meldung-Klausel im Vertrag, ist das Land/Standort akzeptabel. Bei kritischen Anbietern ist eine Sub-Auftragsverarbeiter-Liste vom Anbieter zu fordern. In der Praxis ist der Lieferketten-Audit für viele KMU der zeit-aufwendigste Teil, weil 30-80 Anbieter zu bewerten sind. DSGVO-KI-Audit-Suite unterstützt diesen Workflow mit Standard-Fragebögen pro Anbieter-Typ.

Abschnitt 08

Multi-Faktor-Authentifizierung verpflichtend

§30 Nr. 10 macht MFA für privilegierte Konten und für administrativen Zugriff verpflichtend. Privilegierte Konten umfassen: alle Admin-Accounts, alle Zugriffe auf Backup-Systeme, alle Zugriffe auf das Identity-Management, alle Zugriffe auf Customer-Daten in größerem Umfang. MFA-Methoden müssen "phishing-resistent" sein, was Standard-SMS oder einfache TOTP-Apps in Frage stellt. Empfohlen: FIDO2/WebAuthn mit Hardware-Token oder Passkey-basierte Lösungen. Setup-Aufwand für ein 50-MA-Unternehmen mit gemischten Systemen: 8-15 Tage Konfiguration plus Hardware-Token-Beschaffung (rund 25-45 € pro Mitarbeiter).

Abschnitt 09

Was ändert sich für KMU-Geschäftsführer-Schulung

§38 Abs. 4 verpflichtet die Geschäftsleitung zu regelmäßiger Cybersecurity-Schulung. Diese Schulungen sind nicht mit den allgemeinen Mitarbeiter-Awareness-Trainings vergleichbar — sie müssen die Geschäftsführung in die Lage versetzen, fundierte Entscheidungen zu Risiko-Management und Investitions-Allokationen zu treffen. Typische Schulungs-Inhalte: aktuelle Bedrohungslage, Lieferketten-Risiken, Krisen-Kommunikation, technische Grundbegriffe (RPO/RTO, MFA, Verschlüsselung, Threat-Intelligence). DripBack bietet im Verbund mit zertifizierten Trainern eine 1-Tages-Geschäftsführer-Schulung an, dokumentiert für Audit-Zwecke.

Abschnitt 10

Förderfähigkeit der NIS-2-Umsetzung

Die NIS-2-Umsetzungs-Investitionen sind teilweise förderfähig. (a) ZIM-Förderung für Innovation-bezogene Cybersecurity-Forschung möglich, aber strikt limitiert. (b) Verschiedene Landes-Förder-Programme. DripBack ist nicht als Förderberater gelistet und begleitet den Antragsprozess ausschließlich technisch; die Antragsberatung übernimmt ein zugelassener Förderberater.

Abschnitt 11

Was passiert wenn nichts unternommen wird

Drei Szenarien: (1) Bei aktiver Aufsichtsbehörden-Prüfung (selten in der ersten Phase, ansteigend ab Q3 2026): Bußgeld + Auflagen zur Sofort-Umsetzung mit Frist. (2) Bei Sicherheitsvorfall mit dokumentiertem NIS-2-Verstoß: Bußgeld + persönliche Geschäftsführer-Haftung + Reputations-Schaden. (3) Bei Lieferanten-Anfrage durch Großkunden: Verlust von Aufträgen, wenn keine NIS-2-Konformität nachweisbar. Variante 3 trifft KMU oft am schmerzhaftesten, weil sie schneller eintritt als Behörden-Prüfung. Großkunden in NIS-2-Sektoren werden 2026 systematisch Compliance-Nachweise von ihren Zulieferern fordern.