NIS2 gilt für mittlere und große Unternehmen in den achtzehn aufgeführten Sektoren, nicht nur für große. Nach der KMU-Definition der EU bedeutet das: ab 50 Beschäftigten oder mit mehr als 10 Mio. EUR sowohl beim Jahresumsatz als auch bei der Bilanzsumme. Kleinst- und Kleinunternehmen sind meist nicht erfasst. Beliefern sie aber regulierte Unternehmen, geben diese Kunden NIS2-ähnliche Anforderungen an sie weiter.
Dieser Leitfaden behandelt, wer betroffen ist, wie Sie das prüfen, warum NIS2 auch KMU außerhalb des Anwendungsbereichs erreicht, was Kunden verlangen werden, welche Unterstützung KMU erwarten können und wie Sie sich vorbereiten.
| Ihr Unternehmen | In einem Sektor aus Anhang I oder II? | NIS2-Status |
|---|---|---|
| Kleinst- oder Kleinunternehmen (unter 50 Beschäftigte und Umsatz oder Bilanzsumme bis 10 Mio. EUR) | Ja | Nicht erfasst, außer in einer Kategorie, die unabhängig von der Größe gilt |
| Mittleres Unternehmen (50 bis 249 Beschäftigte oder über den Schwellenwerten für kleine Unternehmen) | Anhang I oder II | Erfasst, meist als wichtige Einrichtung |
| Großunternehmen (über den Schwellenwerten für mittlere Unternehmen) | Anhang I | Erfasst als wesentliche Einrichtung |
| Großunternehmen | Anhang II | Erfasst als wichtige Einrichtung |
| Jede Größe | Nein | Nicht erfasst, aber über die Lieferkettenpflichten der Kunden erreicht |
Gilt NIS2 für KMU?
Teilweise. NIS2 verwendet die EU-Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen aus der Empfehlung 2003/361/EG der Kommission:
- Kleinstunternehmen: weniger als 10 Beschäftigte und Jahresumsatz oder Jahresbilanzsumme bis 2 Mio. EUR.
- Kleines Unternehmen: weniger als 50 Beschäftigte und Jahresumsatz oder Jahresbilanzsumme bis 10 Mio. EUR.
- Mittleres Unternehmen: weniger als 250 Beschäftigte und Jahresumsatz bis 50 Mio. EUR oder Jahresbilanzsumme bis 43 Mio. EUR.
Die Richtlinie gilt für Einrichtungen in den aufgeführten Sektoren, die mindestens mittlere Unternehmen sind. Der mittlere Teil der KMU fällt also in den Anwendungsbereich, und genau diesen Teil übersehen die meisten. Ein Hersteller elektrischer Ausrüstungen mit 60 Beschäftigten oder ein Anbieter verwalteter Dienste mit 80 Beschäftigten ist erfasst.
Kleinst- und Kleinunternehmen sind nicht erfasst, mit Ausnahmen, die unabhängig von der Größe gelten: Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste, Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung sowie Einrichtungen, die eine nationale Behörde bestimmt, weil eine Störung schwerwiegende Auswirkungen hätte. Beschäftigtenzahl und Finanzdaten können auch die verbundener Unternehmen derselben Gruppe einschließen. Eine kleine Tochtergesellschaft einer größeren Gruppe kann daher erfasst sein.
Nationale Gesetze wenden dieselbe Prüfung an. In Luxemburg ist das Artikel 1 des Gesetzes vom 5. Mai 2026, erläutert in NIS2 in Luxemburg.
Wie prüfen Sie, ob Ihr Unternehmen unter NIS2 fällt?
Zwei Fragen entscheiden: Ist Ihre Tätigkeit in Anhang I oder Anhang II aufgeführt, und sind Sie mindestens ein mittleres Unternehmen? Der NIS2-Check zum Anwendungsbereich fragt nach Sektor, Beschäftigtenzahl und Umsatz und gibt Ihnen die Antwort in drei Klicks. Die Einzelheiten hinter der Antwort stehen in Anwendungsbereich und Anwendbarkeit von NIS2, den Unterschied zwischen den beiden Kategorien erklärt wesentliche und wichtige Einrichtungen im Vergleich.
Wenn Sie erfasst sind, gelten die Pflichten vollständig, verhältnismäßig angewandt: die Risikomanagementmaßnahmen nach Artikel 21, die Meldung von Sicherheitsvorfällen mit den Fristen von 24 Stunden, 72 Stunden und einem Monat, die Billigung durch das Leitungsorgan und dessen Schulung sowie die Registrierung. Über die Verhältnismäßigkeit richtet ein mittleres Unternehmen die Maßnahmen an seinem Risiko aus.
Warum erreicht NIS2 auch KMU außerhalb des Anwendungsbereichs?
Über die Lieferkette. Artikel 21 verpflichtet wesentliche und wichtige Einrichtungen, die Sicherheit der Lieferkette zu steuern, einschließlich der sicherheitsbezogenen Aspekte ihrer Beziehungen zu direkten Lieferanten und Diensteanbietern. Nach Artikel 21(3) müssen sie die spezifischen Schwachstellen jedes direkten Lieferanten sowie die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis berücksichtigen.
Erwägungsgrund 56 erklärt, warum. KMU werden zunehmend Ziel von Angriffen auf die Lieferkette, weil ihre Sicherheitsmaßnahmen und Ressourcen begrenzter sind, und eine Kompromittierung bei einem Lieferanten kann sich kaskadenartig auf die größeren Kunden auswirken, die er beliefert. Ein KMU, das einer Bank, einem Energieunternehmen oder einem Krankenhaus Software, Hosting, verwaltete Dienste oder Datenverarbeitung liefert, ist Teil der Angriffsfläche dieses Kunden.
Der Kunde, der Ihnen Fragen stellt, macht es Ihnen nicht absichtlich schwer. Er erfüllt seine eigene Pflicht: Er muss zeigen, dass er seine Lieferanten bewertet und verhältnismäßige Maßnahmen ergriffen hat. Die einfachste Maßnahme besteht darin, von Lieferanten ein Sicherheits-Grundniveau zu verlangen. Für den Lieferanten wird die Vorbereitung damit zur Voraussetzung, um überhaupt Geschäfte zu machen. Wie Kunden dabei vorgehen, beschreibt Lieferkettensicherheit unter NIS2.
Was verlangen regulierte Kunden von KMU-Lieferanten?
Nichts Exotisches. Die Fragen folgen den Maßnahmen nach Artikel 21:
- Asset-Management: wissen, welche Hardware und Software Sie besitzen und betreiben.
- Zugangskontrolle: Nur berechtigte Personen gelangen an Systeme und Daten, mit Mehrfaktor-Authentifizierung für den Fernzugriff.
- Verschlüsselung: für sensible Daten bei der Übertragung und im Ruhezustand.
- Erkennung von und Reaktion auf Sicherheitsvorfälle: eine Möglichkeit, zu bemerken, wenn etwas nicht stimmt, und ein Verfahren für das, was dann geschieht.
- Datensicherung und Wiederherstellung: regelmäßige Sicherungen auf ein separates System, damit Sie sich von Ransomware oder Datenverlust erholen können.
- Schwachstellenmanagement: Systeme werden aktuell gehalten und auf bekannte Schwachstellen gescannt, kritische Probleme werden zeitnah behoben.
- Schulung der Mitarbeitenden: Beschäftigte, die Phishing und Social Engineering erkennen und ihre Rolle kennen.
Das ist seit Langem bewährte Praxis, doch viele KMU wenden sie uneinheitlich an. Ein Lieferant, der regulierte Kunden behalten will, muss zeigen, dass diese Maßnahmen umgesetzt sind und funktionieren, meist über einen Sicherheitsfragebogen.
Welche Unterstützung erhalten KMU unter NIS2?
Die Richtlinie erwartet Hilfe von den Mitgliedstaaten. Nach Artikel 7(2)(i) muss jede nationale Cybersicherheitsstrategie eine Politik zur Stärkung der Cyberresilienz und des Grundniveaus der Cyberhygiene von KMU enthalten, insbesondere derjenigen außerhalb des Anwendungsbereichs der Richtlinie, mit leicht zugänglicher Orientierung und Unterstützung für ihre Bedürfnisse.
Erwägungsgrund 56 ergänzt, dass die Mitgliedstaaten auf nationaler oder regionaler Ebene eine Anlaufstelle für KMU haben sollten, die Orientierung gibt oder an die zuständigen Stellen verweist, und regt Dienste wie die Konfiguration von Websites und Protokollierung für Kleinst- und Kleinunternehmen an. Das Angebot unterscheidet sich von Land zu Land, von Leitfäden und Selbstbewertungstools bis zu geförderten Audits und Schulungen. Prüfen Sie daher, was Ihre nationale Behörde anbietet. Die Strategiepflicht selbst behandelt nationale Cybersicherheitsstrategien nach Artikel 7.
Warum ist Ransomware für KMU der praktische Grund zu handeln?
Weil sie die Bedrohung ist, der die meisten KMU tatsächlich ausgesetzt sind, und Erwägungsgrund 56 nennt sie ausdrücklich. Ransomware ist ein Massengeschäft: Phishing-E-Mails gehen an Tausende von Organisationen, einige werden geöffnet, einige Nutzer klicken, die Schadsoftware breitet sich aus und die Dateien werden verschlüsselt. Viele KMU werden getroffen, weil sie zufällig auf der Liste standen, nicht weil sie ausgewählt wurden.
NIS2 beseitigt dieses Risiko nicht, aber ihre Maßnahmen sind genau die, die es abschwächen. Datensicherungen bedeuten, dass Sie wiederherstellen können, ohne zu zahlen. Zugangskontrollen erschweren es einem Angreifer, sich auszubreiten. Erkennung entdeckt eine Infektion früher. Schulung sorgt dafür, dass weniger Phishing-E-Mails Erfolg haben. Wie die Richtlinie Ransomware im Einzelnen behandelt, erklärt Ransomware unter NIS2.
Wie sollte sich ein KMU auf NIS2 vorbereiten?
Betrachten Sie die Vorbereitung als stetige Verbesserung, nicht als einmaliges Projekt. In dieser Reihenfolge:
- Bestimmen Sie Ihren Ausgangspunkt. Haben Sie eine Sicherheitsrichtlinie, die Zugänge, Passwörter und die Reaktion auf Sicherheitsvorfälle abdeckt, und wissen Ihre Beschäftigten, dass es sie gibt? Eine zu schreiben kostet nichts und zwingt Sie festzulegen, was geschehen soll.
- Ermitteln Sie, was am wichtigsten ist. Die Systeme, Daten und Infrastruktur, deren Ausfall den Betrieb stoppen würde. Sie können nicht alles gleich gut schützen.
- Patchen Sie nach Plan. Zum Beispiel kritische Sicherheitsupdates innerhalb von 48 Stunden und andere Updates innerhalb von 30 Tagen, wo möglich automatisiert. Viele Angriffe nutzen Schwachstellen aus, die schon Monate zuvor behoben wurden.
- Aktivieren Sie Mehrfaktor-Authentifizierung für den Fernzugriff. Sie verhindert die meisten Kontoübernahmen per Phishing.
- Sichern Sie Ihre Daten und testen Sie die Wiederherstellung. Automatisierte, regelmäßige Sicherungen außer Haus, mit einem Wiederherstellungstest mindestens einmal pro Jahr.
- Schulen Sie Ihre Mitarbeitenden. Phishing, Passwörter und wie man etwas Verdächtiges meldet.
- Halten Sie schriftlich fest, was Sie tun. Wenn ein Kunde nach Ihrer Sicherheitslage fragt, beantwortet eine einseitige Zusammenfassung mit Nachweisen das meiste davon.
Wenn Sie Budget haben, findet ein unabhängiges Sicherheitsaudit die größten Risiken schnell. Wenn Sie erfasst sind, ist das vollständige Programm auf der NIS2-Lösungsseite beschrieben.
NIS2-Checkliste für KMU
- Prüfen Sie, ob Ihre Tätigkeit in Anhang I oder II aufgeführt ist und ob Sie mindestens ein mittleres Unternehmen sind.
- Wenn Sie erfasst sind, registrieren Sie sich bei Ihrer nationalen Behörde und informieren Sie Ihr Leitungsorgan.
- Wenn Sie nicht erfasst sind, listen Sie auf, welche Ihrer Kunden reguliert sind und was diese verlangen werden.
- Setzen Sie zuerst Asset-Management, MFA, Patching, Datensicherung und Schulung um.
- Testen Sie eine Wiederherstellung aus der Datensicherung und messen Sie die Dauer.
- Halten Sie für Fragebögen eine einseitige Sicherheitszusammenfassung und die zugehörigen Nachweise bereit.
- Prüfen Sie, welche Unterstützung Ihre nationale KMU-Anlaufstelle anbietet.
Häufige Fragen
Gilt NIS2 für kleine Unternehmen?
Meist nicht. NIS2 gilt für Einrichtungen in den aufgeführten Sektoren, die nach der KMU-Definition der EU mindestens mittlere Unternehmen sind. Kleinst- und Kleinunternehmen sind nicht erfasst, es sei denn, sie gehören zu einer Kategorie, die unabhängig von der Größe gilt, etwa DNS-Diensteanbieter oder Vertrauensdiensteanbieter, oder ihre nationale Behörde bestimmt sie.
Fällt ein Unternehmen mit 50 Beschäftigten unter NIS2?
Das ist möglich. Ab 50 Beschäftigten ist ein Unternehmen nach der EU-Definition kein kleines Unternehmen mehr. Ist es in einem Sektor aus Anhang I oder II der NIS2 tätig, fällt es daher in den Anwendungsbereich, meist als wichtige Einrichtung.
Was verlangt NIS2 von einem KMU, das in den Anwendungsbereich fällt?
Dieselben Pflichten wie von jeder erfassten Einrichtung, verhältnismäßig angewandt: die Risikomanagementmaßnahmen nach Artikel 21, die Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden, 72 Stunden und einem Monat, die Billigung durch das Leitungsorgan und dessen Schulung sowie die Registrierung bei der nationalen Behörde.
Müssen KMU außerhalb des Anwendungsbereichs von NIS2 die Anforderungen erfüllen?
Gesetzlich nicht. In der Praxis müssen regulierte Kunden die Sicherheit ihrer direkten Lieferanten steuern. Sie werden deshalb von KMU-Lieferanten über Fragebögen und Vertragsklauseln Nachweise für grundlegende Sicherheitsmaßnahmen verlangen.
Welche Unterstützung sieht NIS2 für KMU vor?
Nach Artikel 7(2)(i) muss jede nationale Cybersicherheitsstrategie die Cyberresilienz und Cyberhygiene von KMU stärken, insbesondere derjenigen außerhalb des Anwendungsbereichs der Richtlinie, mit leicht zugänglicher Orientierung und Unterstützung. Erwägungsgrund 56 fordert die Mitgliedstaaten auf, eine Anlaufstelle für KMU vorzusehen.
