Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Deutschland in Kraft – ohne Übergangsfrist. Die BSI-Registrierungsfrist für betroffene Unternehmen ist am 6. März 2026 abgelaufen. Wer noch nicht gehandelt hat, muss jetzt aktiv werden.
Bin ich als KMU überhaupt betroffen?
NIS2 gilt direkt für Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz in 18 kritischen Sektoren (u.a. Energie, Produktion, Logistik, digitale Dienste). Auch kleinere Unternehmen geraten in den Scope – als Zulieferer oder Dienstleister für betroffene Unternehmen. Eine erste Einschätzung bietet die NIS2-Betroffenheitsprüfung des BSI.
NIS2-Checkliste für KMU
1. Betroffenheit klären
- Sektor-Zuordnung prüfen (direkt oder über die Lieferkette?)
- Mitarbeiterzahl und Umsatz gegen NIS2-Schwellen prüfen
- BSI-Betroffenheitsprüfung durchführen
2. BSI-Registrierung nachholen
- Registrierung über das BSI-Portal MUK (muk.bsi.bund.de)
- Voraussetzung: ELSTER-Organisationszertifikat
- Registrierungsfrist (6. März 2026) ist abgelaufen – verspätete Registrierung weiterhin möglich und dringend empfohlen
3. Risikoanalyse durchführen
- IT-Infrastruktur inventarisieren: Server, Endgeräte, Cloud-Dienste
- Kritische Geschäftsprozesse identifizieren
- BSI-autorisierter CyberRisikoCheck (DIN SPEC 27076) als strukturierten Einstieg nutzen
4. Technische Mindestmaßnahmen (§30 BSIG)
- Multi-Faktor-Authentifizierung (MFA) aktivieren
- Patch-Management-Prozess einrichten
- Backup-Strategie prüfen (3-2-1-Regel, regelmäßiger Wiederherstellungstest)
- Netzwerksegmentierung einrichten
- BitLocker-Verschlüsselung auf allen mobilen Geräten
- Endpoint Detection & Response (EDR) implementieren
5. Organisatorische Maßnahmen
- IT-Sicherheitsverantwortlichen benennen
- Notfall- und Incident-Response-Plan erstellen
- Mitarbeiter schulen: Phishing, Passwortsicherheit, Social Engineering
- Geschäftsleitung einbinden – persönliche Haftung nach §38 BSIG
6. Meldepflichten vorbereiten
- Meldestelle: BSI (über MUK-Portal)
- Sicherheitsvorfall: 24-Stunden-Frühwarnung, 72-Stunden-Bericht, 1-Monats-Abschluss
- Dokumentationspflichten einrichten
Was droht bei Nicht-Einhaltung?
Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Neu: Persönliche Haftung der Geschäftsleitung – eine reine Delegation an die IT-Abteilung reicht nicht mehr aus.
BSI-autorisierter CyberRisikoCheck als Einstieg
Als BSI-autorisierter Anbieter des CyberRisikoChecks (DIN SPEC 27076) und qualifizierter Servicepartner der Cyberhotline Berlin unterstützen wir Berliner KMU mit einer strukturierten Standortbestimmung ihrer IT-Sicherheit. Dauer: ca. 2–3 Stunden. Ergebnis: konkreter Maßnahmenplan mit priorisierten Handlungsempfehlungen.
Mehr zum BSI-autorisierten CyberRisikoCheck für Berliner Unternehmen →
