NIS2 für KMU: Das Gesetz und der Kundenfilter

NIS2 wirkt seit dem 6. Dezember 2025 über das deutsche BSI-Gesetz. Für viele kleine Betriebe kommt der erste praktische Kontakt trotzdem nicht von einer Behörde, sondern von einem Kunden: Sicherheitsfragebogen, Vertragsanhang oder Nachweisforderung. Das ist keine automatische gesetzliche Pflicht für jeden Zulieferer. Es ist eine mögliche Folge davon, dass direkt erfasste Unternehmen Risiken in ihrer Lieferkette berücksichtigen müssen.

Das BSI weist ausdrücklich darauf hin, dass mit Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 die gesetzlichen Registrierungs- und Meldepflichten gelten. Registrierung und Vorfallmeldungen laufen über das BSI-Portal. Ob der eigene Betrieb erfasst ist, ergibt sich nicht aus einer einzelnen Zahl, sondern aus § 28 BSIG, den Einrichtungsarten in den Anlagen und möglichen Sonderfällen.

Betrifft mich das überhaupt? Drei Kategorien in Klartext

Sortieren Sie Ihren Betrieb in eine von drei Kategorien:

• Direkt betroffen: Der Betrieb fällt unter eine Einrichtungsart der Anlagen 1 oder 2 und erfüllt die dafür geltenden Größenmerkmale oder einen gesetzlichen Sonderfall. § 28 BSIG unterscheidet dabei besonders wichtige und wichtige Einrichtungen.
• Vertraglich gefordert: Der Betrieb ist selbst nicht direkt erfasst, liefert aber an ein betroffenes Unternehmen. Der Kunde kann Sicherheitsanforderungen, Fragebögen oder Nachweise vertraglich verlangen.
• Derzeit ohne erkennbaren NIS2-Bezug: Weder die eigene Tätigkeit noch die aktuelle Lieferkette ergeben nach der ersten Prüfung einen Bezug. Das ist nur eine Orientierung und sollte bei Änderungen erneut geprüft werden.

Der wahre Hebel: NIS2 durch die Lieferkette

§ 30 BSIG verlangt von erfassten Unternehmen geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen. Dazu gehört auch die Sicherheit der Lieferkette. Daraus kann folgen, dass ein Kunde Mindeststandards, Security-Fragebögen oder Nachweise vertraglich anfordert. Welche Form angemessen ist, hängt vom Risiko und vom Vertrag ab; NIS2 schreibt einem beliebigen Zulieferer nicht pauschal ISO 27001 oder TISAX vor.

In der Automobilindustrie fordern Kunden bereits häufig TISAX-basierte Nachweise. NIS2 erweitert diesen Mechanismus nicht automatisch auf jeden Zulieferer. Es schafft aber für die erfassten Einrichtungen verbindliche Pflichten zu Risikomanagement, Vorfallmeldungen und Verantwortung der Geschäftsleitung. Deshalb können auch Branchen ohne etablierte Automotive-Fragebögen neue Anforderungen in Einkauf und Verträgen sehen.

Die zehn Maßnahmen: was niedrigschwellig ist und was nicht

Artikel 21 NIS2 nennt zehn Maßnahmenbereiche. Mehrere davon sind günstig und schnell umsetzbar:

• Multi-Faktor-Authentifizierung: in vielen vorhandenen Konten bereits enthalten und priorisiert aktivierbar.
• Verschlüsselung: häufig in Betriebssystemen und Standardsoftware vorhanden, aber nur wirksam, wenn sie korrekt eingerichtet ist.
• Schulungen zur Cyberhygiene: klein starten, regelmäßig wiederholen und Teilnahme dokumentieren.

Mehr Aufwand entsteht bei Risikoanalyse, belastbaren Richtlinien, Wiederanlaufplanung und regelmäßiger Wirksamkeitsprüfung. Pauschale Preise wären an dieser Stelle unseriös, weil Systemlandschaft, Schutzbedarf und Nachweisumfang den Aufwand bestimmen. Ein pragmatischer Einstieg ist der IT-Grundschutz des BSI. Welche Maßnahmen in welcher Reihenfolge greifen, klären wir in einem kostenlosen Audit.

Sieben Prüfpunkte für Betriebe unter 50 Beschäftigten

Die Reihenfolge ist ein allgemeiner Einstieg, keine individuelle Priorisierung:

1. MFA aktivieren. Zuerst E-Mail-, Administrator- und Fernzugänge prüfen.
2. Backup und Wiederherstellung testen. Eine Sicherung hilft erst, wenn die Wiederherstellung funktioniert.
3. Beschäftigte sensibilisieren. Verdächtige Nachrichten über einen zweiten Kommunikationsweg prüfen.
4. Notfallplan schreiben. Festhalten, wer im Ernstfall was in welcher Reihenfolge übernimmt.
5. Zugriffsrechte aufräumen. Jede Person erhält nur die benötigten Rechte.
6. Risiken und Regeln dokumentieren. Den vom Kunden verlangten Nachweis vorab vertraglich klären.
7. Eigene Zulieferer einordnen. Abhängigkeiten und kritische Leistungen sichtbar machen.

Verantwortung liegt bei der Geschäftsleitung

§ 38 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Die Leitung muss außerdem regelmäßig an Schulungen teilnehmen. Bei einer schuldhaften Pflichtverletzung richtet sich die Haftung nach den für die jeweilige Rechtsform geltenden Regeln. Die genaue Einordnung gehört in eine Rechtsberatung, nicht in einen pauschalen Online-Check.

Was Förderung leistet und wo der Aufwand bleibt

Förderprogramme können Beratung oder Umsetzung unterstützen. Konditionen, Antragsfenster und Förderfähigkeit ändern sich; maßgeblich sind deshalb die aktuellen Angaben der zuständigen Förderstellen. Welcher Topf zu Ihrem Vorhaben passen könnte, ordnen wir auf unserer Förderübersicht.

Förderung trägt die Beratung, nicht die Disziplin. Den Plan müssen Sie umsetzen. Vor einem formalen Nachweis steht die nüchterne Bestandsaufnahme. Der IT-Sicherheitscheck prüft fünf Grundlagen, ersetzt aber weder eine Zertifizierung noch einen Nachweis gegenüber Kunden. Den nötigen Umfang klären wir anschließend im Audit.