NIS2 betrifft Sie vielleicht, ohne dass Sie betroffen sind

Wenn in den letzten Monaten ein Fragebogen zur IT-Sicherheit von einem Ihrer Auftraggeber kam: Sie sind nicht allein, und Sie sind vermutlich auch nicht selbst von NIS2 betroffen. Der Fragebogen kommt trotzdem, und muss beantwortet werden. Dieser Text ordnet ein, warum das so ist und was Sie konkret vorbereiten sollten.

Vorweg: Das hier ist eine praktische Einordnung aus dem Alltag mit kleinen Betrieben, keine Rechtsberatung. Wenn Sie wissen müssen, ob Sie selbst unter das Gesetz fallen, klären Sie das mit jemandem einem Anwalt.

Kurz und ohne Panik: Was gilt seit wann

Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Es betrifft direkt rund 29.500 Unternehmen, im Kern solche ab 50 Mitarbeitern oder 10 Mio. € Umsatz in bestimmten Branchen: Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Abfall, Chemie, Lebensmittel und einige mehr.

Die gesetzliche Frist zur Registrierung beim BSI ist am 6. März 2026 abgelaufen. Das BSI hat danach noch eine Kulanzphase gewährt; die ist zum 31. Juli 2026 beendet.

Ein Missverständnis, das man immer wieder liest: Die Frist wurde nicht verlängert. Sie ist abgelaufen, und die Kulanzphase danach war eine Verwaltungspraxis, keine neue Rechtslage. Zum 30. Juni 2026 waren erst 17.729 Einrichtungen registriert, von rund 29.500. Ein erheblicher Teil der betroffenen Unternehmen hat sich also spät oder noch gar nicht gemeldet.

Das ist der Grund, warum das Thema gerade bei Ihnen aufschlägt.

Warum Sie mit acht Mitarbeitern trotzdem betroffen sein können

NIS2 verlangt von den betroffenen Unternehmen eine Reihe von Maßnahmen. Eine davon ist Sicherheit in der Lieferkette. Im Klartext: Ein betroffenes Unternehmen muss die Sicherheit seiner Dienstleister und Zulieferer berücksichtigen und kann sich nicht darauf verlassen, dass die schon irgendwie sicher sind.

Was macht ein Unternehmen, das diese Pflicht erfüllen muss? Es fragt nach. Es verschickt Fragebögen an seine Lieferanten, lässt sich Zusagen geben und nimmt Anforderungen in neue Verträge auf.

Sie sind damit nicht selbst NIS2-pflichtig. Aber Ihr Auftraggeber gibt seine Pflicht als Anforderung an Sie weiter, und weil viele Unternehmen sich erst spät mit dem Thema befasst haben, kommen diese Fragebögen jetzt in Wellen.

Wenn Sie an einen Krankenhausbetreiber, ein Stadtwerk, einen Lebensmittelverarbeiter oder ein Logistikunternehmen liefern: Rechnen Sie damit.

Wie das praktisch aussieht

Der typische Fragebogen ist zwei bis sechs Seiten lang, kommt als PDF oder Excel-Datei und stellt Fragen dieser Art:

• Setzen Sie auf allen Endgeräten und Servern eine Schutzsoftware ein? Wie stellen Sie sicher, dass sie aktiv und aktuell ist?
• Wie sichern Sie Ihre Daten? Wann haben Sie zuletzt eine Wiederherstellung getestet?
• Nutzen Sie Mehr-Faktor-Authentifizierung für den Zugriff auf E-Mail und Cloud-Dienste?
• Was ist Ihr Ablauf, wenn Sie einen Sicherheitsvorfall bemerken? Innerhalb welcher Frist informieren Sie uns?
• Wer ist bei Ihnen für IT-Sicherheit zuständig? Name und Kontakt.
• Haben Ihre Mitarbeiter eine Schulung zu Phishing und Social Engineering erhalten?

Was auffällt, wenn man ein paar davon gesehen hat: Es wird kaum nach Technik gefragt. Es wird nach Nachweisbarkeit gefragt. Nicht „haben Sie Virenschutz“, sondern „woher wissen Sie, dass er überall läuft“.

Was Sie beantworten können müssen

Fünf Punkte decken den Großteil aller Fragebögen ab. Dazu jeweils eine ehrliche Einschätzung, was das an Aufwand bedeutet.

1. Virenschutz auf allen Geräten, und nachweisbar. Der erste Teil ist meistens erfüllt. Der zweite selten. „Nachweisbar“ heißt: Sie können auf Nachfrage sagen, wie viele Geräte Sie haben und auf wie vielen davon der Schutz aktiv ist. Wer das nur aus dem Gedächtnis beantworten kann, hat genau die Lücke, nach der gefragt wird. Aufwand: gering, wenn zentral verwaltet. Hoch, wenn jedes Gerät einzeln nachgesehen werden muss.

2. Backup mit getesteter Wiederherstellung. Die Frage lautet fast nie „machen Sie Backups“, sondern „wann haben Sie zuletzt eine Wiederherstellung getestet“. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung. Ein Test einmal im Jahr, kurz dokumentiert mit Datum und Ergebnis, reicht für die Antwort. Aufwand: ein halber Tag im Jahr.

3. Mehr-Faktor-Anmeldung. Mindestens für E-Mail und alle Cloud-Dienste. Bei Microsoft 365 und den meisten anderen Diensten ist das eine Einstellung, keine Anschaffung. Aufwand: gering, aber es braucht eine kurze Ansage an die Belegschaft.

4. Ein dokumentierter Ablauf bei einem Vorfall. Kein Handbuch. Eine Seite reicht: Wer wird als Erstes informiert, wer entscheidet über eine Abschaltung, wen müssen wir extern benachrichtigen und innerhalb welcher Frist, wo stehen die Zugangsdaten für den Notfall. Ausdrucken und in den Ordner: im Ernstfall funktioniert das Netzwerk vielleicht nicht mehr. Aufwand: zwei Stunden einmalig.

5. Ein benannter Ansprechpartner. Eine Person mit Namen und Telefonnummer, die für IT-Sicherheit zuständig ist. Das darf ein externer Dienstleister sein. Es darf nur nicht „der Chef, wenn er Zeit hat“ sein. Aufwand: eine Entscheidung.

Was Sie nicht brauchen

Dieser Abschnitt ist der wichtigste, weil hier das meiste Geld verbrannt wird.

Sie brauchen keine Zertifizierung. Weder ISO 27001 noch TISAX noch sonst etwas mit Urkunde. Ein Fragebogen fragt nach Maßnahmen, nicht nach Zertifikaten. Wenn ein Anbieter Ihnen erklärt, für NIS2-Konformität in der Lieferkette sei eine Zertifizierung nötig, verkauft er Ihnen ein Projekt.

Sie brauchen kein ISMS. Ein Informationssicherheits-Managementsystem ist für einen Betrieb mit acht Leuten ein Instrument ohne Zweck. Die fünf Punkte oben sind das, was gefragt wird.

Sie brauchen keinen externen Auditor. Niemand kommt vorbei und prüft Sie. Ihr Auftraggeber will eine ausgefüllte Selbstauskunft, die plausibel ist und im Zweifel stimmt.

Sie müssen sich nicht beim BSI registrieren, solange Sie nicht selbst unter das Gesetz fallen. Die Registrierungspflicht trifft die betroffenen Einrichtungen, nicht deren Lieferanten.

Was Sie brauchen, ist die Fähigkeit, fünf Fragen wahrheitsgemäß und ohne langes Suchen zu beantworten. Mehr nicht.

Wenn Sie bei den ersten beiden Punkten ins Stocken kommen, ist das der übliche Fall und genau der Punkt, an dem betreuter Virenschutz einen Unterschied macht: nicht wegen besserer Erkennung, sondern weil jemand die Antwort auf die Frage hat. Wie wir das machen, steht auf der Seite zu Sicherheit as a Service.