Vielleicht haben Sie den Begriff „NIS-2″ in letzter Zeit gehört – in den Nachrichten, von Ihrem Steuerberater oder von einem Geschäftspartner. Und wahrscheinlich haben Sie sich gefragt: Muss ich mich jetzt auch darum kümmern?
Die ehrliche Antwort vorweg: Für die meisten kleinen Betriebe im Rhein-Erft-Kreis lautet sie „nicht direkt – aber ganz ignorieren sollten Sie das Thema trotzdem nicht“. Warum, erkläre ich Ihnen hier in Ruhe und verständlich.
Was ist NIS-2 überhaupt?
NIS-2 ist eine EU-Vorgabe zur Cybersicherheit, die in Deutschland seit dem 6. Dezember 2025 als Gesetz gilt (das sogenannte NIS2-Umsetzungsgesetz). Ziel ist einfach: Unternehmen, deren Ausfall die Gesellschaft empfindlich treffen würde, sollen ihre IT besser gegen Angriffe absichern.
Betroffen sind dadurch in Deutschland rund 29.500 Unternehmen – deutlich mehr als früher. Wer betroffen ist, muss sich unter anderem beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren und konkrete Sicherheitsmaßnahmen umsetzen.
Betrifft das meinen Betrieb?
Hier kommt die Entwarnung für viele: NIS-2 richtet sich vor allem an mittlere und große Unternehmen in bestimmten Branchen. Die grobe Faustregel für eine „wichtige Einrichtung“ ist ein Betrieb mit mindestens 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz in einem der regulierten Sektoren.
Das heißt: Die typische Arztpraxis, der Handwerksbetrieb mit zehn Leuten oder das kleine Steuerbüro fallen in der Regel nicht direkt unter die NIS-2-Pflichten. Wenn Ihnen also jemand ein teures „NIS-2-Paket“ verkaufen will, obwohl Sie ein Kleinbetrieb sind – bitte einmal kritisch nachfragen.
Wollen Sie es selbst nachschauen? Das BSI stellt dafür einen kostenlosen, anonymen Selbst-Check bereit (Link unten). Er gibt Ihnen eine erste Orientierung – ist aber ausdrücklich keine rechtsverbindliche Auskunft.
Der Haken: die Lieferkette
Und jetzt der Teil, den viele übersehen. Auch wenn Ihr Betrieb selbst nicht unter NIS-2 fällt, kann das Thema über die Hintertür bei Ihnen ankommen.
Denn betroffene Unternehmen müssen künftig auch die Sicherheit ihrer Zulieferer und Dienstleister im Blick haben. In der Praxis bedeutet das: Wenn ein größerer Kunde von Ihnen unter NIS-2 fällt, wird er seine Sicherheitsanforderungen per Vertrag an Sie weiterreichen. Plötzlich stehen dann Fragen im Raum wie: „Haben Sie ein geprüftes Backup-Konzept? Setzen Sie Zwei-Faktor-Anmeldung ein? Wie melden Sie einen Sicherheitsvorfall?“
Wer darauf gute Antworten hat, bleibt ein attraktiver Partner. Wer nur mit den Schultern zuckt, verliert im Zweifel den Auftrag.
Was steckt konkret dahinter?
Die Anforderungen klingen kompliziert, laufen aber auf gesunde IT-Hausordnung hinaus – Dinge, die jeder Betrieb ohnehin haben sollte:
- Zuverlässige Backups, die im Ernstfall auch wirklich funktionieren (nicht nur „laufen irgendwo mit“).
- Sicherer Zugang zu Systemen, zum Beispiel mit Zwei-Faktor-Anmeldung.
- Aktuelle Updates und ein sauberer Umgang mit Schwachstellen.
- Ein einfacher Notfallplan: Wer tut was, wenn etwas passiert?
- Sensibilisierte Mitarbeitende, die eine Phishing-Mail erkennen.
Das ist kein Hexenwerk – aber es will einmal ordentlich aufgesetzt und dann gepflegt werden.
Was Sie jetzt tun sollten
Egal, ob Sie direkt betroffen sind oder nicht – diese drei Schritte lohnen sich für jeden Betrieb:
- Ihre Betroffenheit einschätzen. Größe, Umsatz und Branche geben die Richtung vor – bei klar kleinen Betrieben ist das schnell eingeordnet. In echten Grenzfällen ist die endgültige Bewertung eine juristische Frage; dann ist ein Fachanwalt oder eine Anfrage beim BSI der ehrlichere Weg. Das sage ich Ihnen dann auch so.
- Ihren Basisschutz prüfen. Läuft das Backup wirklich? Sind die Zugänge gesichert? Was passiert bei einem Ausfall? Das schützt Sie unabhängig von jedem Gesetz.
- Auf Kundenanfragen vorbereitet sein. Wenn größere Auftraggeber nach Ihrer IT-Sicherheit fragen, wollen Sie souverän antworten können – nicht ins Schwitzen kommen.
Selbst nachlesen und prüfen
Wenn Sie sich ein eigenes Bild machen möchten – hier die offiziellen Quellen, direkt vom Bundesamt für Sicherheit in der Informationstechnik (BSI), kein Verkäufer-Material:
- Bin ich betroffen? – der offizielle Selbst-Check des BSI: betroffenheitspruefung-nis-2.bsi.de – ein kurzer, anonymer Fragenkatalog für eine erste Orientierung. Wichtig: Das Ergebnis ist eine Hilfestellung, keine rechtsverbindliche Auskunft.
- Alle Infos für betroffene Unternehmen beim BSI: bsi.bund.de – NIS-2-regulierte Unternehmen
- Die NIS-2-Richtlinie im Original (Richtlinie (EU) 2022/2555): Den vollständigen EU-Text finden Sie über die BSI-Seite zur NIS-2-Richtlinie.
Mein Angebot an Sie
Ich bin kein Freund von Panikmache – und schon gar nicht davon, Ihnen etwas zu verkaufen, das Sie nicht brauchen. Deshalb biete ich Ihnen eine ehrliche erste Einschätzung an: Sind Sie überhaupt von NIS-2 betroffen – und wo steht Ihr Basisschutz gerade wirklich? Und falls Ihr Fall in einen juristischen Graubereich fällt, sage ich Ihnen das offen, statt zu raten.
Wenn Sie das für Ihren Betrieb in Bedburg, Bergheim oder dem Rhein-Erft-Kreis einmal geklärt haben möchten, schaue ich mir Ihre Situation gerne persönlich an – kostenlos und unverbindlich. Ich sage Ihnen klar, was dringend ist und was warten kann.
Schreiben Sie mir – ganz unkompliziert
Sie müssen nichts vorbereiten. Ein paar Zeilen genügen: Schildern Sie kurz, worum es geht – eine konkrete NIS-2-Frage, ein Backup, bei dem Sie kein gutes Gefühl haben, oder einfach der Wunsch nach einer IT, die einfach zuverlässig läuft. Ich melde mich persönlich bei Ihnen zurück, meist innerhalb weniger Stunden.
Stand: Juli 2026. Dieser Beitrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.
