NIS2 Mittelstand: Was gilt für kleine und mittlere Unternehmen?

Das Wichtigste in Kürze

• „Mittelstand“ ist keine gesetzliche NIS2-Kategorie. Maßgeblich sind konkrete Einrichtungsart, Größe und mögliche Sonderregelungen.
• Für viele Unternehmen beginnt die relevante Prüfung ab 50 Beschäftigten. Auch mit weniger Beschäftigten kann eine direkte Betroffenheit bestehen, wenn Umsatz und Bilanzsumme beide über 10 Millionen Euro liegen oder ein größenunabhängiger Sonderfall greift.
• Konzern- und Beteiligungsstrukturen können die Größenberechnung verändern. Die Betroffenheit wird dennoch einrichtungsbezogen geprüft.
• Auch nicht direkt regulierte Unternehmen spüren NIS2. Betroffene Kunden müssen Lieferkettenrisiken steuern und geben Sicherheits- und Meldeanforderungen häufig vertraglich weiter.

Warum ist NIS2 gerade für den Mittelstand relevant?

Viele mittelständische Unternehmen waren bisher weder als Betreiber Kritischer Infrastrukturen registriert noch an ein formelles BSI-Meldeverfahren angebunden. Informationssicherheit wurde häufig technisch organisiert, aber nicht als durchgängiger Leitungs- und Governance-Prozess dokumentiert.

Typische Ausgangslagen sind:

• gewachsene IT- und Produktionsumgebungen mit unvollständiger Dokumentation,
• starke Abhängigkeit von einzelnen IT-Dienstleistern oder Schlüsselpersonen,
• begrenzte Ressourcen für Informationssicherheit, Recht und Compliance,
• enge Verknüpfungen zwischen Office-IT, Produktion und Lieferkette,
• nicht getestete Krisen- und Meldeprozesse sowie
• fehlende regelmäßige Berichterstattung an die Geschäftsleitung.

NIS2 verlangt deshalb nicht nur zusätzliche technische Maßnahmen. Betroffene Unternehmen benötigen einen nachvollziehbaren Prozess aus Betroffenheitsprüfung, Risikobewertung, Verantwortlichkeiten, Umsetzung, Wirksamkeitskontrolle und Dokumentation.

Mittelstand ist nicht gleich KMU

„Mittelstand“ beschreibt häufig Eigentümerstruktur, Unternehmenskultur oder Marktposition. Das BSI-Gesetz verwendet diesen Begriff nicht als Abgrenzungskriterium.

Für NIS2 zählen stattdessen insbesondere:

• die rechtlich betrachtete Einrichtung,
• ihre konkrete Tätigkeit und Einrichtungsart,
• die Zuordnung zu Anlage 1 oder Anlage 2 des BSI-Gesetzes,
• Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme,
• Partner- und verbundene Unternehmen sowie
• größenunabhängige Sondertatbestände.

Ein inhabergeführtes Industrieunternehmen mit mehreren hundert Beschäftigten kann daher eindeutig Mittelstand und zugleich eine wichtige oder besonders wichtige Einrichtung sein. Die Selbstbeschreibung als KMU oder Mittelständler ersetzt keine Prüfung nach § 28 BSIG.

Wie prüfen Mittelständler ihre NIS2-Betroffenheit?

Eine belastbare Prüfung sollte in vier Schritten erfolgen. Die Reihenfolge ist wichtig: Ohne eine zutreffende Einrichtungsart helfen auch korrekt berechnete Größenwerte nicht weiter.

1. Rechtliche Einheit bestimmen: Welche Gesellschaft oder sonstige Einrichtung wird geprüft? Die Betroffenheit ist grundsätzlich für jede Einrichtung gesondert zu beurteilen.
2. Tätigkeit und Einrichtungsart zuordnen: Erbringt die Einrichtung eine Tätigkeit, die in Anlage 1 oder Anlage 2 BSIG genannt ist?
3. Größenwerte berechnen: Wie viele Beschäftigte sind anzusetzen und welche Umsatz- und Bilanzsummenwerte sind einschließlich relevanter Partner- oder verbundener Unternehmen maßgeblich?
4. Sonderfälle und Ausnahmen prüfen: Greift eine größenunabhängige Einordnung, eine sektorspezifische Sonderregel, DORA oder eine gesetzliche Ausnahme?

Das Ergebnis sollte nicht nur als „betroffen“ oder „nicht betroffen“ festgehalten werden. Ein belastbarer Vermerk dokumentiert die geprüfte Gesellschaft, Tätigkeit, Einrichtungsart, Größenberechnung, Unternehmensverbindungen, Sonderregeln, Quellen und das Ergebnis.

Welche Größenwerte gelten?

Für die üblichen Einrichtungsarten aus den Anlagen 1 und 2 lassen sich zwei zentrale Größenstufen unterscheiden.

Schwelle zur wichtigen Einrichtung

Eine in Anlage 1 oder Anlage 2 genannte Einrichtung gilt grundsätzlich als wichtige Einrichtung, wenn sie:

• mindestens 50 Beschäftigte hat oder
• einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro aufweist.

Das „oder“ zwischen Beschäftigten- und Finanzschwelle ist entscheidend. Ein Unternehmen mit 45 Beschäftigten kann daher erfasst sein, wenn sowohl Jahresumsatz als auch Jahresbilanzsumme über 10 Millionen Euro liegen. Umgekehrt genügt bei weniger als 50 Beschäftigten nicht, dass nur einer der beiden Finanzwerte überschritten wird.

Schwelle zur besonders wichtigen Einrichtung

Für sonstige Einrichtungsarten aus Anlage 1 gilt grundsätzlich die höhere Kategorie, wenn die Einrichtung:

• mindestens 250 Beschäftigte hat oder
• mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme aufweist.

Diese Größenstufe gilt nicht pauschal für jede Einrichtungsart aus Anlage 2. Ein großes Maschinenbauunternehmen fällt beispielsweise über Anlage 2 grundsätzlich in die Kategorie der wichtigen Einrichtung und wird nicht allein wegen 250 oder mehr Beschäftigten zur besonders wichtigen Einrichtung. Eine höhere Einstufung kann sich jedoch aus einer anderen Tätigkeit, dem Betrieb einer kritischen Anlage oder einem weiteren Sondertatbestand ergeben.

Gilt NIS2 für kleine Unternehmen?

Kleine Unternehmen unterhalb der allgemeinen Größenwerte sind häufig nicht direkt als wichtige oder besonders wichtige Einrichtung erfasst. Eine pauschale Entwarnung allein wegen weniger als 50 Beschäftigten wäre dennoch falsch.

Direkte Betroffenheit kann insbesondere bestehen, wenn:

• bei weniger als 50 Beschäftigten sowohl Umsatz als auch Bilanzsumme über 10 Millionen Euro liegen,
• die Einrichtung einen größenunabhängigen Sondertatbestand erfüllt,
• sie Betreiber einer kritischen Anlage ist,
• relevante Werte von Partner- oder verbundenen Unternehmen einzubeziehen sind oder
• neben der offensichtlichen Haupttätigkeit eine weitere NIS2-relevante Einrichtungsart ausgeübt wird.

Davon zu unterscheiden ist die indirekte Betroffenheit. Ein kleiner Zulieferer wird nicht automatisch regulierte Einrichtung, nur weil sein Kunde NIS2-pflichtig ist. Er kann aber vertraglich zu Sicherheitsmaßnahmen, kurzen Meldefristen, Auditrechten, Notfallvorsorge oder Nachweisen verpflichtet werden.

Welche Sonderfälle gelten unabhängig von der üblichen Größe?

Bestimmte Einrichtungen werden unabhängig von den allgemeinen Schwellenwerten erfasst. Besonders relevant sind:

• Betreiber kritischer Anlagen: Sie gelten als besonders wichtige Einrichtungen.
• Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter: Sie gelten größenunabhängig als besonders wichtige Einrichtungen.
• Sonstige Vertrauensdiensteanbieter: Sie gelten größenunabhängig als wichtige Einrichtungen.
• Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze: Sie sind auch unterhalb der allgemeinen Größe erfasst; abhängig von ihren Größenwerten gelten sie als wichtige oder besonders wichtige Einrichtung.

Managed Service Provider und Managed Security Service Provider gehören zwar zu den Einrichtungsarten der Anlage 1. Für sie gilt aber nicht allein wegen dieser Rolle eine größenunabhängige Einstufung. Ohne einen weiteren Sondertatbestand müssen auch hier grundsätzlich die Größenregeln des § 28 BSIG geprüft werden.

Wie werden Konzern- und Beteiligungsstrukturen berücksichtigt?

Die Betroffenheit wird einrichtungsbezogen geprüft. Bei der Größenberechnung kann es dennoch erforderlich sein, Daten von Partner- und verbundenen Unternehmen einzubeziehen.

§ 28 Absatz 4 BSIG verweist hierfür grundsätzlich auf die europäische KMU-Empfehlung 2003/361/EG. Abhängig von Beteiligungsquote und Kontrolle können Beschäftigten-, Umsatz- und Bilanzwerte anteilig oder vollständig hinzugerechnet werden.

Das BSI-Gesetz enthält jedoch eine besondere Ausnahme: Daten von Partner- oder verbundenen Unternehmen sind nicht hinzuzurechnen, wenn die geprüfte Einrichtung unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb ihrer IT-Systeme, Komponenten und Prozesse unabhängig ist.

Für Unternehmensgruppen sind deshalb zwei Fragen getrennt zu beantworten:

1. Welche Gesellschaft übt welche NIS2-relevante Tätigkeit aus?
2. Welche Werte anderer Gesellschaften sind bei ihrer Größenberechnung einzubeziehen?

Welche Branchen sind im Mittelstand besonders relevant?

Das BSI-Gesetz erfasst keine Branche pauschal. Maßgeblich sind die konkret beschriebenen Einrichtungsarten. Für den Mittelstand sind unter anderem folgende Bereiche häufig prüfungsrelevant:

• Maschinenbau sowie Kraftwagen- und sonstiger Fahrzeugbau,
• Herstellung elektrischer, elektronischer und optischer Erzeugnisse,
• Herstellung von Medizinprodukten und In-vitro-Diagnostika,
• Produktion, Verarbeitung und Großhandel mit Lebensmitteln,
• Herstellung und Import bestimmter chemischer Stoffe und Gemische,
• Post-, Kurier- und Abfallwirtschaft,
• Gesundheitswesen und bestimmte Arzneimittelunternehmen,
• Energie, Verkehr, Wasser und Abwasser,
• Cloud-, Rechenzentrums-, Managed-Service- und Sicherheitsdienste sowie
• bestimmte digitale Dienste und Forschungseinrichtungen.

Ein Maschinenbauer ist also nicht betroffen, weil „Industrie“ allgemein reguliert wäre, sondern weil bestimmte Tätigkeiten des Maschinenbaus ausdrücklich in Anlage 2 genannt sind. Ebenso wird ein beliebiger IT-Dienstleister nicht allein dadurch zum Managed Service Provider im Sinne des BSI-Gesetzes, dass er IT-Leistungen erbringt.

Was bedeutet NIS2 praktisch für betroffene Mittelständler?

Ist ein Unternehmen als wichtige oder besonders wichtige Einrichtung eingeordnet, folgen daraus konkrete Pflichten. Für den Mittelstand sollten die nächsten Schritte in einer realistischen Reihenfolge organisiert werden.

1. Einordnung und Scope dokumentieren: Erfassen Sie betroffene Gesellschaften, Dienste, Systeme, Standorte und Schnittstellen.
2. Geschäftsleitung und Governance aufstellen: Legen Sie Verantwortlichkeiten, Berichtslinien, Entscheidungsbefugnisse und Eskalationswege fest.
3. Registrierung klären: Prüfen Sie die Registrierungspflicht und organisieren Sie die erforderlichen Angaben und Kontaktstellen.
4. Risiken und Lücken bewerten: Vergleichen Sie bestehende Maßnahmen mit den Anforderungen des § 30 BSIG.
5. Kritische Maßnahmen priorisieren: Behandeln Sie wesentliche Risiken zuerst und dokumentieren Sie Übergangslösungen sowie akzeptierte Restrisiken.
6. Melde- und Notfallprozess testen: Stellen Sie sicher, dass erhebliche Sicherheitsvorfälle erkannt, eskaliert und fristgerecht gemeldet werden können.
7. Dienstleister und Lieferketten einbeziehen: Prüfen Sie Abhängigkeiten, Sicherheitsanforderungen, Meldewege und vertragliche Regelungen.
8. Wirksamkeit und Nachweise sichern: Kontrollieren Sie regelmäßig, ob Maßnahmen tatsächlich funktionieren und ob Entscheidungen nachvollziehbar dokumentiert sind.

Details zu den Meldefristen erläutert unser Beitrag zur NIS2-Meldepflicht. Die persönliche Verantwortung der Leitung behandelt der Beitrag zur NIS2-Haftung von Geschäftsführern und Vorständen.

Was verlangt NIS2 gerade nicht?

• Nicht jedes kleine Unternehmen ist automatisch reguliert. Entscheidend bleibt die Prüfung von Tätigkeit, Größe und Sonderfällen.
• Nicht jedes betroffene Unternehmen benötigt zwingend eine ISO-27001-Zertifizierung. Das Gesetz verlangt geeignete, verhältnismäßige und wirksame Maßnahmen, aber keine pauschale Zertifizierungspflicht.
• NIS2 verlangt keine absolute Angriffssicherheit. Unternehmen müssen Risiken angemessen beherrschen und Auswirkungen von Sicherheitsvorfällen möglichst gering halten.
• Die IT-Abteilung trägt das Thema nicht allein. Technische Aufgaben können delegiert werden; Steuerung, Ressourcen, Überwachung und wesentliche Entscheidungen bleiben Leitungsaufgaben.

Management-Check für mittelständische Unternehmen

Wenn mehrere der folgenden Fragen nicht klar beantwortet werden können, besteht regelmäßig weiterer Prüfungs- oder Umsetzungsbedarf:

1. Welche konkrete rechtliche Einheit und welche Tätigkeiten haben wir geprüft?
2. Welche Einrichtungsart aus Anlage 1 oder 2 passt zu unseren tatsächlichen Leistungen?
3. Wie wurden Beschäftigte, Umsatz und Bilanzsumme berechnet?
4. Welche Partner- oder verbundenen Unternehmen wurden berücksichtigt und warum?
5. Greift ein größenunabhängiger Sonderfall oder eine sektorspezifische Ausnahme?
6. Sind wir wichtige, besonders wichtige oder wahrscheinlich nicht direkt erfasste Einrichtung?
7. Ist die Einordnung mit Quellen, Annahmen und Stichtag dokumentiert?
8. Sind Registrierung, Geschäftsleitungspflichten und Meldewege geklärt?
9. Welche kritischen Lücken müssen zuerst bearbeitet werden?
10. Welche Anforderungen geben regulierte Kunden oder Gruppengesellschaften an uns weiter?

Eine Betroffenheitsprüfung ist kein einmaliger Vorgang. Neue Tätigkeiten, Zukäufe, Umstrukturierungen, Wachstum oder Änderungen der IT-Abhängigkeiten können eine erneute Bewertung erforderlich machen.

NIS2-Beratung für den Mittelstand

NIS2-Betroffenheit und Handlungsbedarf belastbar klären

Wir prüfen Tätigkeit, Größenwerte, Unternehmensstruktur und Sonderfälle und zeigen, welche nächsten Schritte für Geschäftsleitung, IT und Compliance Priorität haben.

Unverbindliches Erstgespräch anfragen

Persönliche Ersteinschätzung · Dokumentierte Einordnung · Praxisorientierte nächste Schritte

Häufige Fragen zu NIS2 im Mittelstand

Gilt NIS2 für jedes mittelständische Unternehmen?

Nein. „Mittelstand“ ist keine gesetzliche Kategorie. Entscheidend sind die konkrete Einrichtungsart, Mitarbeiterzahl, Umsatz, Bilanzsumme, Unternehmensverbindungen und mögliche Sonderfälle.

Sind Unternehmen mit weniger als 50 Beschäftigten immer ausgenommen?

Nein. Eine direkte Betroffenheit kann beispielsweise bestehen, wenn Umsatz und Bilanzsumme jeweils über 10 Millionen Euro liegen, ein größenunabhängiger Sondertatbestand greift oder relevante Werte verbundener Unternehmen einzubeziehen sind.

Ist ein Maschinenbauunternehmen mit mehr als 250 Beschäftigten besonders wichtig?

Nicht allein wegen Größe und Maschinenbautätigkeit. Maschinenbau ist in Anlage 2 genannt und führt bei Erreichen der Schwelle grundsätzlich zur wichtigen Einrichtung. Eine Einstufung als besonders wichtige Einrichtung benötigt eine zusätzliche Grundlage, etwa eine weitere Tätigkeit aus Anlage 1 oder den Betrieb einer kritischen Anlage.

Sind kleine Managed Service Provider automatisch betroffen?

Nein. Managed Service Provider sind eine Einrichtungsart der Anlage 1, aber nicht größenunabhängig erfasst. Ohne weiteren Sonderfall müssen sie grundsätzlich die Größenwerte des § 28 BSIG erreichen.

Macht ein NIS2-pflichtiger Kunde seinen Zulieferer automatisch ebenfalls pflichtig?

Nein. Die direkte gesetzliche Betroffenheit wird für den Zulieferer eigenständig geprüft. Der Kunde kann aber aufgrund seiner Lieferkettenpflichten umfangreiche Sicherheits-, Melde- und Nachweisanforderungen vertraglich weitergeben.

Braucht jedes betroffene Unternehmen eine ISO-27001-Zertifizierung?

Nein. NIS2 verlangt geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen, schreibt aber nicht für jedes Unternehmen eine ISO-27001-Zertifizierung vor. Ein strukturiertes ISMS kann die Umsetzung dennoch erheblich erleichtern.

Was ist der wichtigste erste Schritt?

Der erste Schritt ist eine dokumentierte, einrichtungsbezogene Betroffenheitsprüfung. Erst danach lassen sich Registrierung, Governance, Meldeprozesse und Sicherheitsmaßnahmen sinnvoll planen.

Hinweis