IT-Sicherheit
NIS2: Betrifft das Ihren Betrieb?
Kurze Antwort für die meisten kleinen Betriebe: direkt nicht. Und trotzdem landet der Fragebogen bei Ihnen auf dem Tisch, weil Ihr größter Kunde betroffen ist.
Was Ihr Kunde von Ihnen wissen will, auf zwei Seiten.
Wie das bei den meisten anfängt
Nicht mit einem Brief vom Amt. Sondern mit einer Mail von Ihrem größten Kunden: bitte einmal diesen Fragebogen ausfüllen, bis nächsten Freitag. Achtzehn Fragen zu Sicherungskonzept, Meldewegen, Patchmanagement und Notfallplan.
Dahinter steckt kein Misstrauen. Ihr Kunde ist selbst betroffen und muss die Sicherheit seiner Lieferkette nachweisen. Also fragt er die, von denen er abhängt. Und das sind Sie.
NIS2 erreicht kleine Betriebe nicht über das Gesetz. Es erreicht sie über den Vertrag.
Drei Fragen, dann wissen Sie, wo Sie stehen
Klicken Sie sich durch. Keine Adresse, kein Download, nur die Antwort.
Hat Ihr Betrieb mindestens 50 Mitarbeiter oder mehr als 10 Millionen Euro Jahresumsatz?
Hat ein Kunde Ihnen schon einen Sicherheitsfragebogen geschickt, oder stehen in neuen Verträgen auf einmal Sicherheitsanforderungen und Meldepflichten?
Haben Sie Kunden mit 50 und mehr Mitarbeitern?
Dann kann NIS2 Sie direkt treffen.
Ob wirklich, hängt an Ihrem Sektor. Die verbindliche Antwort gibt Ihnen die kostenlose Betroffenheitsprüfung des BSI, in ein paar Minuten. Und falls ja: Die technische Hälfte der Pflichten ist unser Fach.
Das ist der Lieferketten-Fall. Das Gesetz gilt nicht für Sie, der Vertrag schon.
Ihr Kunde muss die Sicherheit seiner Lieferkette nachweisen und reicht die Anforderungen an Sie weiter. Genau dafür gibt es unsere Checkliste: die üblichen Fragen aus dem Lieferantenfragebogen, in normalem Deutsch, mit dem, was eine gute Antwort enthält.
Dann kommt der Fragebogen vermutlich noch.
Betroffene Kunden müssen ihre Lieferanten nach der Sicherheit fragen, das schreibt ihnen das Gesetz vor. Wer die Checkliste vorher kennt, beantwortet den Fragebogen an einem Vormittag statt in einer hektischen Woche.
Dann ist NIS2 für Sie heute kein Thema.
Ehrliche Antwort: Sie müssen nichts tun und nichts kaufen. Wenn der erste Fragebogen doch irgendwann kommt, wissen Sie ja, wo diese Seite steht.
Eine Einordnung, keine Rechtsberatung. Die amtliche Prüfung ist die des BSI.
Wer direkt betroffen ist, und wer nicht
Direkt betroffen sind Einrichtungen aus achtzehn Sektoren, die mindestens 50 Mitarbeiter haben oder über 10 Millionen Euro Jahresumsatz machen. Der Kreis ist mit dem neuen Gesetz von rund 4.500 auf rund 29.500 Einrichtungen gewachsen.
Wenn Sie unter diesen Schwellen liegen, gilt das Gesetz für Sie nicht. Das sagen wir so deutlich, weil gerade viel Gegenteiliges erzählt wird. Es gibt eine Menge Angebote am Markt, die aus NIS2 eine Pflicht für jeden machen. Das stimmt nicht.
Ob Sie betroffen sind, sagt Ihnen das BSI selbst, kostenlos und in ein paar Minuten: Betroffenheitsprüfung des BSI.
Was gilt, wenn Sie doch betroffen sind
Die vier Punkte, nach denen am häufigsten gefragt wird.
Registrierung beim BSI.
Die gesetzliche Frist war der 6. März 2026, die Nachfrist des BSI lief bis zum 31. Juli 2026. Beide sind vorbei. Wer betroffen ist und sich nicht registriert hat, holt das nach, statt zu warten.
Zehn Maßnahmen im Risikomanagement.
Paragraf 30 BSIG zählt sie auf, von der Risikoanalyse über das Patchmanagement bis zur Bewältigung von Sicherheitsvorfällen. Punkt vier davon ist die Sicherheit der Lieferkette, und der ist der Grund, warum diese Seite existiert.
Die Geschäftsleitung haftet.
Nach Paragraf 38 BSIG persönlich. Das holt die IT aus der Abteilung in die Geschäftsführung. Deshalb haben viele Geschäftsführer das Thema plötzlich selbst auf dem Tisch.
Bußgelder.
Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für besonders wichtige Einrichtungen kommt eine Nachweispflicht bis Dezember 2028 dazu.
Stand dieser Angaben: 25.08.2026. Grundlage sind das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist, und die Angaben des BSI. Das ist eine Einordnung und keine Rechtsberatung: Ob und wie Sie betroffen sind, hängt an Ihrem Sektor und Ihren Zahlen. Die verbindliche Auskunft gibt Ihnen Ihr Anwalt, die amtliche steht beim BSI in den Fragen und Antworten zu NIS-2.
Ob die Maßnahmen bei Ihnen halten, zeigt kein Papier, sondern ein Versuch: ein Penetrationstest, mit Ihrer Erlaubnis.
Der Fall, der Sie wirklich trifft: die Lieferkette
Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette sicherstellen. Das steht in Paragraf 30 Absatz 2 Nummer 4 BSIG und meint ausdrücklich auch die Beziehungen zu unmittelbaren Anbietern und Dienstleistern.
Umsetzen lässt sich das nur auf einem Weg: über Verträge. Deshalb tauchen jetzt reihenweise Klauseln zu Sicherheitsanforderungen, Meldepflichten bei Vorfällen und Prüfrechten in ganz normalen Dienstleistungsverträgen auf. Auch in solchen, die mit IT nichts zu tun haben.
Für einen Betrieb ohne eigene IT-Abteilung ist das die eigentliche Zumutung. Nicht die Vorschrift, sondern der Fragebogen, den niemand im Haus beantworten kann. Und eine Frist, die schon läuft.
Die Checkliste: was Ihr Kunde von Ihnen wissen will
Kostenlose Checkliste: Die Fragen aus dem NIS2-Lieferantenfragebogen, in normalem Deutsch, mit der Angabe, was eine gute Antwort enthält.
Zwei Seiten. Kein Rechtsvortrag, keine Paragrafenliste. Sie gehen sie durch und wissen danach, was Sie schon haben, was fehlt und was davon in einer Stunde erledigt ist.
Fast geschafft. Schauen Sie in Ihr Postfach.
Wir haben Ihnen eine E-Mail mit einem Bestätigungslink geschickt. Ein Klick darauf, und Sie bekommen den Download. Nichts angekommen? Sehen Sie im Spam-Ordner nach oder rufen Sie an: 0221 630615160.
Ihre Anfrage ist da.
Mit dem Versand der Bestätigungs-Mail hat es gerade nicht geklappt. Wir kümmern uns darum und melden uns bei Ihnen. Wenn es eilt, rufen Sie an: 0221 630615160.
Sie wollen nicht warten?Kostenfreies Erstgespräch vereinbaren
Was wir dabei machen, und was nicht
Wir sind Ihr IT-Dienstleister, keine Kanzlei und kein Zertifizierer. Was wir beantworten können, ist die technische Hälfte des Fragebogens: Sicherung, Patchstand, Virenschutz, Meldewege, Zugriffsrechte. Bei den meisten unserer Kunden ist das ohnehin unsere Arbeit, wir müssen sie nur aufschreiben.
Was wir nicht machen: IT-Recht, IT-Forensik und förmliche Zertifizierungen. Dafür haben wir Partner, und wir sagen es Ihnen vorher.
Womit wir Betriebe im Alltag absichern, steht auf IT-Sicherheit.
Was bei KI-Inhalten zu kennzeichnen ist und was Art. 32 DSGVO von Ihrem Betrieb verlangt, steht auf zwei eigenen Seiten.
Fragebogen auf dem Tisch, Frist nächste Woche?
Dann rufen Sie an. Im Erstgespräch gehen wir die Fragen durch, die Ihre IT betreffen, und Sie wissen danach, was Sie ehrlich ankreuzen können und was vorher gemacht werden muss.