Aktualisiert im September 2026: Das deutsche NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist. Seit Januar 2026 ist das Registrierungsportal des BSI offen, die Registrierungsfrist für bereits betroffene Einrichtungen ist abgelaufen. Wer betroffen ist und noch nicht gehandelt hat, sollte jetzt anfangen. Wie das speziell für Industriebetriebe aussieht, beschreiben wir in NIS2: Was muss ein Produktionsunternehmen in OWL konkret umsetzen?
In den letzten Monaten haben wir mit über zwanzig Mittelständlern aus OWL und NRW über NIS-2 gesprochen. Drei Muster wiederholen sich, und sie haben wenig mit den Folien zu tun, die in Webinaren gezeigt werden.
Wer ist betroffen, wirklich?
Die Schwellen klingen klar: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme in einem der definierten Sektoren. In der Praxis ist die Frage komplexer. NIS-2 unterscheidet zwischen besonders wichtigen (EU: wesentlichen) und wichtigen Einrichtungen, der Sektor entscheidet mit, nicht nur die Größe.
Ein Anlagenbauer in Bielefeld mit 180 Mitarbeitern fällt unter Sektor I.5 (Herstellung) und ist damit eine wichtige Einrichtung. Eine Steuerkanzlei mit 80 Mitarbeitern fällt nicht unter den NIS-2-Sektorenkatalog, also nicht direkt betroffen, aber sehr wohl unter die DSGVO und (falls Mandanten betroffen sind) indirekt über die Lieferkette.
Der erste praktische Schritt ist also nicht der Kauf einer Lösung, sondern die saubere Klärung der Frage: Sind wir betroffen, und falls ja, als wesentliche oder wichtige Einrichtung?
Drei Bereiche, die jetzt zählen
Wenn Sie betroffen sind, gibt es nach unserer Erfahrung drei Bereiche, die im Mittelstand am meisten unterschätzt werden.
Erstens, das Risikomanagement-Konzept
NIS-2 verlangt ein nachweisbares, dokumentiertes Risikomanagement. Nicht "wir haben ja eine Firewall", sondern: Welche Vermögenswerte habe ich, welche Risiken bestehen, welche Maßnahmen treffe ich, wie überprüfe ich das?
Viele Mittelständler haben sehr wohl Sicherheitsmaßnahmen, aber keine schriftliche Risikoanalyse. Das wird im Audit-Fall zum Problem. Wir starten bei Kunden meist mit einem zweitägigen Workshop, der genau dieses Dokument als Output liefert, nicht perfekt, aber existent und verbesserbar.
Zweitens, Reporting-Pflichten
Bei einem erheblichen Sicherheitsvorfall müssen besonders wichtige und wichtige Einrichtungen nach § 32 BSIG innerhalb von 24 Stunden eine erste Meldung an das BSI abgeben, innerhalb von 72 Stunden eine ausführlichere Meldung mit erster Bewertung und nach einem Monat eine Abschlussmeldung. Die deutsche Umsetzung spricht von "besonders wichtigen" statt "wesentlichen" Einrichtungen.
Das klingt bürokratisch und ist es auch, hat aber einen praktischen Hintergrund: Wer im Vorfall keinen Plan hat, wer was wann meldet, eskaliert intern, statt zu reagieren. Wir empfehlen ein einseitiges Incident-Response-Playbook, das die Reporting-Pflichten Schritt für Schritt durchgeht. Das hängt entweder an der Wand im SOC oder ist in Ihrem Ticketsystem hinterlegt.
Drittens, die Lieferkette
Hier liegt der Sprengstoff. NIS-2 verlangt, dass Sie auch Risiken aus Ihrer Lieferkette betrachten und steuern. Konkret: Sie müssen wissen, welche Dienstleister Zugriff auf welche Systeme haben, und Sie müssen das vertraglich absichern.
Im Mittelstand ist das oft historisch gewachsen. Der Steuerberater hat seit Jahren VPN-Zugang ins Buchhaltungssystem, das Systemhaus hat einen Wartungsuser auf den Servern, die Reinigungsfirma hat... naja, hoffentlich keinen Datenzugriff. Eine saubere Lieferanten-Inventarisierung ist meist das erste konkrete NIS-2-Projekt.
Was wir empfehlen
Wenn Sie betroffen sind und noch nicht angefangen haben, ist der wichtigste Schritt jetzt nicht der Kauf einer Lösung, sondern eine Bestandsaufnahme. Was haben wir, was fehlt uns, wo sind die größten Lücken? Daraus ergibt sich ein realistischer Maßnahmenplan, der über die nächsten zwölf Monate abgearbeitet werden kann.
Wir bieten dafür einen halbtägigen Compliance-Workshop an, der mit einem konkreten Maßnahmenkatalog endet. Anschließend setzen wir die Punkte um, die nach Security-Expertise verlangen (24/7 Monitoring, Incident-Response, technisches ISMS), Sie behalten oder vergeben die organisatorischen Themen.
Wer NIS-2 ernst nimmt, baut auf Jahre hinaus eine bessere Security-Position auf. Wer wartet, bis der Aufsichtsbehörde aufgefallen ist, dass nichts läuft, hat einen schlechteren Start. Und seit Dezember 2025 haftet dafür auch die Geschäftsleitung persönlich (§ 38 BSIG).
Nächste Schritte
Wenn Sie unsicher sind, ob Ihr Unternehmen betroffen ist, oder wo Sie im Reifegrad stehen, melden Sie sich. Ein 30-minütiges Erstgespräch reicht, um die wichtigsten Fragen zu klären. Wir machen das ohne Verkaufsdruck, und wenn wir nicht passen, sagen wir das auch. Telefon 05221 1714333 oder Termin vereinbaren.
