NIS2 Betroffenheit KMU 2026 richtig prüfen

1Einleitung

NIS2 Betroffenheit KMU ist 2026 kein Randthema mehr, sondern eine ziemlich direkte Geschäftsführungsfrage. Entweder du musst Pflichten aus dem BSIG selbst erfüllen, oder deine Kunden drücken dir die Anforderungen über Verträge, Audits und Sicherheitsfragebögen auf den Tisch.

Das Problem: Im Netz kursieren dazu viele halbgare Aussagen. Mal ist von „persönlicher Haftung ab sofort“ die Rede, mal von Fristen, die angeblich schon wieder verschoben wurden. Für ein Compliance-Thema ist das zu schlampig.

Genau deshalb ziehe ich hier die Linie klarer: Was steht in Gesetz und Primärquellen, was ist belastbare Praxis, und was solltest du als Geschäftsführer oder IT-Verantwortlicher jetzt wirklich tun .

In meiner Arbeit mit Unternehmen in Aachen und der Städteregion sehe ich immer wieder denselben Reflex: Erst wird über Zertifikate gesprochen, obwohl MFA fehlt, Backups nie getestet wurden und niemand einen sauberen Meldeweg für Sicherheitsvorfälle hat. Ehrlich gesagt ist das die falsche Reihenfolge.

2NIS2 Betroffenheit KMU: der konkrete Erstcheck

Der erste Prüfschritt ist nicht „Sind wir wichtig genug?“, sondern: Gehören wir überhaupt zu einem regulierten Sektor? Die NIS2-Umsetzung in Deutschland unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Die Schwellenwerte orientieren sich dabei regelmäßig an Unternehmensgröße und Sektor.

Als belastbare Sekundärquelle ist Secjur hier nützlich: Dort wird die in der Praxis oft genutzte Einordnung beschrieben — 11 wesentliche Sektoren typischerweise ab 250 Mitarbeitenden oder 50 Mio. € Umsatz sowie 7 weitere wichtige Sektoren typischerweise ab 50 Mitarbeitenden oder 10 Mio. € Umsatz. Den rechtlichen Rahmen liefert das BSI zum NIS2UmsuCG.

Heißt für dich: Nicht jedes Unternehmen mit 60 Mitarbeitenden ist automatisch drin. Aber wenn dein Sektor passt, musst du die Einordnung sauber prüfen und dokumentieren — nicht schätzen.

Eine kompakte Praxissicht auf typische KMU-relevante Sektoren sieht so aus:

Gerade in Aachen und der Städteregion ist das kein Theorieproblem. Hier sitzen viele technische Zulieferer, IT-Dienstleister, Gesundheitsakteure und produzierende Unternehmen, die an größere regulierte Kunden liefern. Formal nicht direkt erfasst zu sein, hilft dir dann oft nur juristisch — operativ kommen die Anforderungen trotzdem.

3Direkt, indirekt oder faktisch betroffen?

Ich halte die Dreiteilung aus dem CCNet-Beitrag für praktisch hilfreich: direkt betroffen, indirekt betroffen über Kundenanforderungen und faktisch betroffen, weil dein Ausfall kritische Prozesse beim Kunden blockiert.

Direkt betroffen bist du nicht „gefühlt“, sondern nur nach formaler Einordnung. Dafür musst du Sektor, Größe und gegebenenfalls Sonderregeln prüfen. Wenn du hier im Grenzbereich liegst, ist Bauchgefühl gefährlich.

Indirekt betroffen bist du oft viel schneller. Laut Lawcode reichen Pflichten 2026 häufig über Verträge, Ausschreibungen, Sicherheitsfragebögen, Meldepflichten und Audit-Rechte in die Lieferkette hinein. Das sehe ich in der Praxis inzwischen deutlich häufiger als die sauber juristisch festgestellte Direkteinstufung.

Faktisch betroffen bist du, wenn dein Kunde ohne dich ein Problem hat. Ein kleiner MSP, Softwarezulieferer oder Fernwartungsdienstleister kann unterhalb aller Schwellenwerte liegen — und trotzdem ohne MFA, Notfallplan und Vorfallprozess keinen Auftrag mehr bekommen .

4Registrierung, Fristen und Bußgelder: was 2026 belastbar gilt

Hier musste der erste Draft klarer werden. Also sauber getrennt: Gesetzliche Pflicht, behördische Kommunikation, Blog-Interpretationen.

Die Registrierungspflicht ergibt sich aus § 33 BSIG. Die Bußgeldbewehrung für Verstöße gegen diese Pflicht ist in § 65 BSIG geregelt. Den Gesetzestext solltest du nicht aus Drittsites abschreiben, sondern direkt im BSI-Gesetz (BSIG) bei gesetze-im-internet.de nachlesen. Genau das ist die Primärquelle, auf die es am Ende ankommt.

Für die praktische Fristlage 2026 wird in mehreren Fachquellen der 6. März 2026 als Ende der ursprünglichen Registrierungsfrist genannt, ausgehend vom Start des BSI-Portals am 6. Januar 2026, etwa bei shattered.io und Certiscan. Einen belastbaren behördlichen Primärbeleg für eine generelle, flächendeckende Verschiebung auf 31. Juli 2026 konnte ich in der vorliegenden Recherche nicht verifizieren.

Darum ist die saubere Formulierung: Arbeite nicht mit der Juli-Aussage als gesichertem Standard, solange du dazu keine aktuelle Primärquelle des BSI oder BMI hast. Für die Unternehmenspraxis heißt das schlicht: Wenn du registrierungspflichtig bist und noch nicht registriert bist, geh von Verzug aus und handle sofort.

Bei den Bußgeldern gilt ebenfalls: sauber unterscheiden. Secjur verweist für wesentliche Einrichtungen auf Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Für die unterlassene Registrierung wird in der Praxis regelmäßig auf bis zu 500.000 € nach § 65 BSIG verwiesen; das greift auch Certiscan auf.

5Was tun, wenn die Frist schon verpasst ist?

Das ist die operative Frage, die 2026 viele Geschäftsführer erst googeln, wenn es schon spät ist. Die gute Nachricht: Eine verpasste Frist bedeutet nicht, dass „alles vorbei“ ist. Die schlechte: Wegducken ist keine Option.

Certiscan formuliert das praxisnah: Es gibt keine automatische Sanktion exakt am Stichtag, aber die Pflicht aus § 33 BSIG bleibt bestehen. Genau deshalb ist „unverzüglich nachholen“ der richtige Move.

1. 1
   1. Status klären

   Prüfe sofort, ob dein Unternehmen formal registrierungspflichtig ist oder ob du nur indirekt betroffen bist.
2. 2
   2. Registrierung nachholen

   Wenn die Pflicht besteht, registriere dich ohne weitere Verzögerung und dokumentiere intern, wann und warum nachgeholt wurde.
3. 3
   3. Maßnahmenlage offenlegen

   Halte parallel fest, welche Sicherheitsmaßnahmen bereits umgesetzt sind, welche Lücken bestehen und wer bis wann verantwortlich ist.

Das ist übrigens kein Bereich für Ausreden. Wenn du seit Wochen über Zuständigkeiten diskutierst, aber noch nicht einmal den formalen Status geklärt hast, ist das ein Führungsproblem — kein IT-Problem.

6Geschäftsführerhaftung: was § 38 BSIG praktisch bedeutet

Auch hier lohnt sich Präzision. § 38 BSIG bedeutet nicht automatisch eine völlig neue persönliche Spezialhaftung, die alle bisherigen Rechtsgrundsätze ersetzt. Aber die Geschäftsleitung muss Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und Schulungen wahrnehmen. Den Normtext findest du ebenfalls im BSIG auf gesetze-im-internet.de.

Ich finde die Einordnung von Certiscan hier deutlich sauberer als manche Alarm-Überschrift: NIS2 schafft nicht aus dem Nichts einen komplett neuen Haftungstatbestand, aber im Schadensfall wird sich die Geschäftsleitung kaum darauf zurückziehen können, von alldem nichts gewusst zu haben.

Praktisch heißt das: Du darfst operative Aufgaben delegieren, aber nicht die Verantwortung für Prioritäten, Budget, Kontrolle und Risikobewertung. Wer als Geschäftsführer IT-Sicherheit nur „an die IT abgegeben“ hat, hat das Thema nicht verstanden.

7Was auf dich zukommt: die Maßnahmen in drei Ebenen

Wenn du betroffen bist, verlangt § 30 BSIG Risikomanagementmaßnahmen — von Risikoanalyse über Incident Handling, Backups und Lieferkettensicherheit bis zu Schulungen, Kryptografie, Zugriffskontrolle und MFA. Den Gesetzesrahmen findest du in der Primärquelle gesetze-im-internet.de.

Ich übersetze das für KMU lieber in drei Ebenen: Zugänge absichern, Betriebsfähigkeit sichern, Melde- und Führungsfähigkeit herstellen. Wie du diese zehn Maßnahmenfelder konkret und in sinnvoller Reihenfolge umsetzt — inklusive Meldepflichten nach § 32 und der Frage, was ISO 27001 oder TISAX schon abdecken — habe ich in einem eigenen Guide ausführlich aufgeschrieben: NIS2 im Mittelstand pragmatisch umsetzen.

8Und dann? Der Weg in die Umsetzung

Wenn der Check ergibt, dass du handeln musst, starte nicht mit Papier und PowerPoint, sondern mit den Quick Wins am Betrieb — erst danach Governance, Lieferkette und Nachweise. Den kompletten 90-Tage-Fahrplan mit allen Schritten, typischen Umsetzungsfehlern und der Nachweis-Logik findest du im Umsetzungs-Guide: NIS2 im Mittelstand pragmatisch umsetzen.

Genau so arbeite ich in Projekten auch lieber: erst ein ehrlicher Betriebscheck, dann Prioritäten, dann saubere Dokumentation. Wenn du dafür Unterstützung brauchst, ist eine strukturierte IT-Beratung meistens sinnvoller als die nächste Tool-Demo.

9Lieferkette: warum auch kleine Zulieferer handeln müssen

NIS2 hört nicht an der Unternehmensgrenze auf. Wer selbst betroffen ist, muss Risiken in der Lieferkette berücksichtigen. Genau dadurch entsteht Druck auf kleinere IT-Dienstleister, Softwareanbieter, Fernwartungspartner und technische Zulieferer.

Lawcode nennt typische Rollen sehr greifbar: IT-Dienstleister, Cloud- und Hosting-Anbieter, MSPs, Software-Zulieferer, Wartungs- und Fernzugriffs-Dienstleister sowie kritische Plattform- oder Logistikpartner. Audatis und Secjur zur Lieferkette zeigen denselben Effekt: Pflichten werden über Kundenbeziehungen nach unten durchgereicht.

Das ist für viele Betriebe in Aachen absolut real. Wer bei einem regionalen Gesundheitsverbund, einem industriellen Auftraggeber oder einem IT-nahen Betreiber in der Lieferkette hängt, braucht 2026 oft Antworten auf MFA, Backup, Patch-Prozess, Meldewege und Notfallkontakte — lange bevor ein Auditor auftaucht.

10Was bleibt

NIS2 wird oft unnötig mystifiziert. Am Ende geht es nicht darum, ob dein Ordner schön aussieht, sondern ob dein Unternehmen bei einem Vorfall handlungsfähig bleibt.

Mein nüchterner Rat: Prüfe deine Betroffenheit formal sauber, halte dich bei Fristen an Primärquellen, und starte technisch mit den Maßnahmen, die echte Angriffsflächen schließen. Wer 2026 noch über Buzzwords diskutiert, aber keinen Restore-Test und keinen Meldeweg hat, setzt die falschen Prioritäten.

Direkt betroffen? Dann musst du liefern. Indirekt betroffen? Dann meistens fast genauso. So einfach ist es leider.