„Das betrifft uns doch gar nicht" – der teuerste Irrtum 2026
Wenn ich hier in Magdeburg mit Geschäftsführern über NIS2 spreche, höre ich fast immer denselben Satz: „Das ist doch nur für Großkonzerne." Dieser Irrtum kann teuer werden. Sehr teuer sogar – bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes.
Die NIS2-Richtlinie ist seit Oktober 2024 in deutsches Recht umgesetzt und hat die Cybersicherheitsanforderungen für Unternehmen in Europa grundlegend verschärft. Das Tückische: Geschätzte 30.000 Unternehmen in Deutschland sind direkt betroffen. Weitere 100.000 als Zulieferer indirekt. Und das Allertückischste: Viele davon wissen es nicht.
Sind Sie betroffen? Die ehrliche Antwort
NIS2 wirft ein deutlich weiteres Netz als sein Vorgänger. Die Richtlinie unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen, und die Schwellen sind niedriger, als die meisten denken.
Ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz können Sie betroffen sein – vorausgesetzt, Sie arbeiten in einem der regulierten Sektoren. Und diese Sektoren sind breit gefächert: Energie, Verkehr, Gesundheitswesen, Lebensmittel, verarbeitendes Gewerbe, digitale Infrastruktur. Sogar Post- und Kurierdienste fallen darunter. Wenn Sie Elektronik, Fahrzeuge oder Maschinen herstellen, sind Sie drin.
Aber hier kommt der Punkt, den die meisten übersehen: die Supply-Chain-Falle. Selbst wenn Ihr Unternehmen nicht direkt unter NIS2 fällt, können Ihre großen Kunden NIS2-Compliance von Ihnen verlangen. Und sie werden es tun. Denn NIS2 fordert explizit, dass Unternehmen ihre Lieferkette absichern. Wenn Ihr größter Kunde plötzlich einen Fragebogen zur Cybersicherheit schickt und Sie keine zufriedenstellenden Antworten liefern können, steht die Geschäftsbeziehung auf dem Spiel.
Was NIS2 von Ihnen verlangt – im Klartext
Die Richtlinie ist umfangreich, aber im Kern fordert sie drei Dinge: technische Schutzmaßnahmen, schnelle Meldung bei Vorfällen und persönliche Verantwortung der Geschäftsleitung.
Bei den technischen Maßnahmen geht es um das, was eigentlich ohnehin selbstverständlich sein sollte: Risikobewertungen durchführen, Backup-Strategien implementieren, Netzwerke segmentieren, Zugänge absichern, regelmäßig patchen. Klingt nach einer langen Liste, aber wenn Sie schon ein vernünftiges IT-Sicherheitskonzept haben, sind Sie vermutlich näher dran, als Sie denken.
Die Meldepflichten sind strenger. Bei einem erheblichen Sicherheitsvorfall müssen Sie innerhalb von 24 Stunden eine Frühwarnung an das BSI senden. Innerhalb von 72 Stunden folgt eine detaillierte Vorfallmeldung. Und innerhalb eines Monats ein Abschlussbericht. Das klingt machbar – aber nur, wenn Sie Prozesse haben, die diese Fristen einhalten können. Im Chaos eines tatsächlichen Cyberangriffs vergehen 24 Stunden schneller, als man denkt.
Und dann der Punkt, der Geschäftsführern den Schlaf raubt: die persönliche Haftung. NIS2 macht die Geschäftsleitung persönlich verantwortlich für die Cybersicherheit. Das bedeutet nicht, dass der CEO den Firewall-Port konfigurieren muss. Aber er muss die Risikomanagement-Maßnahmen genehmigen, ihre Umsetzung überwachen und an Cybersicherheitsschulungen teilnehmen. Versäumt er das, drohen persönliche Bußgelder und sogar eine befristete Geschäftsführersperre.
Der Weg zur Compliance – ohne Panik
Ich erlebe oft, dass Unternehmen angesichts der NIS2-Anforderungen in eine Art Schockstarre verfallen. Das ist verständlich, aber nicht hilfreich. Lassen Sie uns das pragmatisch angehen.
Phase 1: Verstehen, wo Sie stehen. Bevor Sie irgendwas umsetzen, brauchen Sie Klarheit. Sind Sie direkt betroffen? Indirekt über Kunden? Welche Maßnahmen haben Sie bereits, die NIS2-relevant sind? Oft ist die Lücke kleiner als befürchtet, weil viele Unternehmen schon grundlegende Security-Maßnahmen umgesetzt haben – sie nur nie formal dokumentiert haben. Eine Gap-Analyse dauert vier bis sechs Wochen und gibt Ihnen eine klare Roadmap.
Phase 2: Die Lücken schließen. Basierend auf der Gap-Analyse setzen Sie die fehlenden Maßnahmen um. Das können technische Dinge sein wie MFA für alle Remote-Zugänge oder ein ordentliches Patch-Management. Aber oft sind es vor allem organisatorische Themen: einen Incident-Response-Plan dokumentieren, Verantwortlichkeiten klären, die Geschäftsführung formal einbinden, Schulungen durchführen.
Phase 3: Am Ball bleiben. NIS2-Compliance ist kein Projekt mit Enddatum. Es ist ein kontinuierlicher Prozess. Regelmäßige Audits, Übungen, Updates. Das klingt anstrengend, ist aber im Grunde nichts anderes als gute IT-Hygiene – die Sie ohnehin betreiben sollten.
Die Kosten – und warum sie sich lohnen
Reden wir über Zahlen. Für ein Unternehmen mit 50 bis 250 Mitarbeitern – wie viele unserer Kunden in Sachsen-Anhalt – rechnen wir typischerweise mit einmaligen Kosten von 50.000 bis 150.000 Euro (Gap-Analyse, technische Implementierung, Dokumentation) und laufenden Kosten von 35.000 bis 90.000 Euro pro Jahr (Managed Security, Schulungen, Audits).
Das ist nicht wenig. Aber vergleichen Sie das mit den Alternativen: Ein Bußgeld von bis zu 10 Millionen Euro. Ein Cyberangriff, der Ihr Unternehmen drei Wochen lahmlegt. Der Verlust eines Großkunden, weil Sie seine Compliance-Anforderungen nicht erfüllen. Oder die persönliche Haftung als Geschäftsführer.
Und es gibt eine positive Seite, die oft übersehen wird: NIS2-Compliance macht Sie wettbewerbsfähiger. Immer mehr Ausschreibungen fragen nach Cybersicherheitszertifizierungen. Cyber-Versicherungen geben bessere Konditionen. Und Geschäftspartner vertrauen Ihnen mehr, wenn Sie nachweisen können, dass Sie Ihre IT-Sicherheit ernst nehmen.
Mein Rat: Nicht perfekt, aber jetzt
NIS2 ist kein Papiertiger. Die Behörden werden prüfen, und sie werden sanktionieren. Aber niemand erwartet Perfektion über Nacht. Was erwartet wird, ist ein erkennbarer, dokumentierter Weg zur Compliance.
Fangen Sie an. Lassen Sie Ihre Betroffenheit prüfen. Machen Sie eine Gap-Analyse. Und dann arbeiten Sie die Lücken ab – Schritt für Schritt, in einem realistischen Zeitplan. Das ist besser als jeder perfekte Plan, der nie umgesetzt wird.
*Kostenlose NIS2-Erstberatung: Wir prüfen Ihre Betroffenheit in 30 Minuten. Jetzt Termin vereinbaren*
