NIS2 — warum Cybersicherheit auch den Mittelstand trifft
Cybersicherheit war lange ein Thema für Konzerne und kritische Infrastruktur. Mit NIS2 ändert sich das: In Deutschland sind seit Ende 2025 rund 29.500 Unternehmen direkt verpflichtet — und über die Lieferkette werden noch viel mehr erreicht. Auch, wer selbst unter der Schwelle liegt.
Was NIS2 ist
NIS2 ist eine EU-Richtlinie zur Cybersicherheit. In Deutschland ist sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) und ein novelliertes BSI-Gesetz umgesetzt — seit Dezember 2025 in Kraft, ohne Übergangsfrist. Ziel ist, das Sicherheitsniveau quer durch die Wirtschaft anzuheben, nicht nur bei klassischer kritischer Infrastruktur.
Wer ist betroffen?
Das Gesetz unterscheidet zwei Klassen mit unterschiedlich strengen Pflichten:
- Besonders wichtige Einrichtungen — u. a. Energie, Verkehr, Banken, Gesundheit, Trinkwasser, digitale Infrastruktur, IKT-Dienste. Schwelle grob: ab 250 Beschäftigten oder 50 Mio. € Umsatz.
- Wichtige Einrichtungen — u. a. Post/Logistik, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung. Schwelle grob: ab 50 Beschäftigten oder 10 Mio. € Umsatz.
Die Registrierung beim BSI war für betroffene Einrichtungen verpflichtend; die Frist lief regulär im März 2026 aus, mit einer Nachfrist bis Ende Juli 2026.
Der Punkt, der oft übersehen wird: die Lieferkette
Betroffene Unternehmen müssen ihr Lieferketten-Risiko aktiv managen. In der Praxis heißt das: Sie geben Sicherheitsanforderungen an ihre Zulieferer und Dienstleister weiter — per Vertrag, Fragebogen, Audit. So erreicht NIS2 auch kleine Betriebe, die selbst gar nicht direkt unter das Gesetz fallen.
Welche Pflichten gelten
- Risikomanagement: ein Katalog verpflichtender Maßnahmen (§ 30 BSIG), dokumentiert umgesetzt — von Zugriffskontrolle bis Notfallplan.
- Meldepflichten bei erheblichen Vorfällen: Erstmeldung innerhalb von 24 Stunden, Bestätigung nach 72 Stunden, Abschlussbericht nach einem Monat.
- Geschäftsleiterhaftung: die Verantwortung liegt persönlich bei der Leitung und ist nicht delegierbar.
Meldefristen bei einem erheblichen Sicherheitsvorfall.
Was bei Verstößen droht
Die Bußgelder sind spürbar: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige, bis zu 7 Mio. € für wichtige Einrichtungen. Für die verspätete Registrierung sind eigene Bußgelder vorgesehen.
„NIS2 fragt nicht, ob Sie ein IT-Unternehmen sind — es fragt, ob jemand von Ihrer Sicherheit abhängt."
Was Sie jetzt tun können
- Prüfen, ob Sie direkt betroffen sind (Sektor + Schwellenwerte).
- Auch wenn nicht: mit Kunden klären, welche Sicherheitsanforderungen auf Sie zukommen.
- Zugriffe, Backups und einen Notfallplan sauber dokumentieren.
- Bei Dienstleistern nachfragen, wo Ihre Daten liegen und wie sie geschützt sind.
Wie TitanCore24 in Ihre Lieferkette passt
Kernverarbeitung in der Region Frankfurt (eu-central-1), Verschlüsselung bei Übertragung und Speicherung, ein abgeschotteter Bereich je Kunde, automatische Löschung nach Auftragsende. Das ist keine Zusage, dass überhaupt keine Daten Deutschland oder die Europäische Union berühren — wo das vorkommen kann, benennen wir es einzeln in Abschnitt 9 der Datenschutzerklärung. Das sind genau die Punkte, die ein NIS2-pflichtiger Kunde bei seinen Dienstleistern abfragt.
Mehr zum Thema auf TitanCore24
Auftragsverarbeitung nach Art. 28 DSGVO · Datenschutz bei TitanCore24
Ein Dienstleister, der Ihre Prüfung besteht
Datenstandort Deutschland, klare Trennung je Kunde, nachvollziehbare Protokolle — belegbar für Ihre Lieferketten-Nachweise.
Leistungen ansehen →Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung. Verbindlich sind das NIS2UmsuCG, das BSI-Gesetz und die Richtlinie (EU) 2022/2555. Stand der Angaben: August 2026.