NIS2 für KMU: Ab wann betroffen und was reicht?

Verfasst von der NIS2Compass Redaktion / Stand: November 2026

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz (NIS2UmsuCG). Ein KMU fällt darunter, wenn es in einem Sektor der Anlagen 1 oder 2 BSIG tätig ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweist. Kleinere Unternehmen trifft NIS2 meist über die Lieferkette. Die Betroffenheitsprüfung von NIS2Compass zeigt die Einstufung sofort.

Ab wie vielen Mitarbeitern gilt NIS2 für KMU?

NIS2 gilt für KMU ab 50 Mitarbeitern oder ab einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. Euro, sofern das Unternehmen in einem der regulierten Sektoren tätig ist. Damit sind mittlere Unternehmen im Sinne der EU-Definition erfasst, kleine Unternehmen in der Regel nicht.

Für die Einstufung müssen zwei Bedingungen zusammenkommen: Sektor und Größe. Der Sektor ergibt sich aus den Anlagen 1 und 2 des BSIG. Welche Branchen dort stehen, klärt der Beitrag Bin ich von NIS2 betroffen?. Die Größe regelt § 28 Abs. 2 Nr. 3 BSIG.

Die nächste Stufe liegt deutlich höher. Besonders wichtige Einrichtung wird ein Unternehmen aus Anlage 1 erst ab 250 Mitarbeitern oder ab über 50 Mio. Euro Umsatz und zugleich über 43 Mio. Euro Bilanzsumme. Ein KMU ist damit ohne Sonderstatus höchstens wichtige Einrichtung. Sonderstatus haben etwa Betreiber kritischer Anlagen oder Anbieter öffentlicher Telekommunikation ab 50 Mitarbeitern.

Diese Gruppe ist groß. Der Gesetzgeber rechnet mit rund 21.600 wichtigen Einrichtungen, 87 % davon mittlere Unternehmen (BT-Drs. 21/1501, S. 110 f.). Die Betroffenheitsprüfung von NIS2Compass bildet genau diese Schwellen ab.

Reicht ein Umsatz über 10 Mio. Euro allein?

Nein. Der Gesetzestext von § 28 BSIG verknüpft Umsatz und Bilanzsumme mit „und". Beide Werte müssen jeweils über 10 Mio. Euro liegen. Die Mitarbeiterschwelle wirkt dagegen allein: Ab 50 Mitarbeitern spielen Umsatz und Bilanz keine Rolle mehr.

Wie zählen Teilzeitkräfte und Auszubildende?

Gezählt wird nicht nach Köpfen, sondern in Jahresarbeitseinheiten (JAE). Das schreibt die EU-KMU-Empfehlung vor, auf die § 28 Abs. 4 BSIG verweist. Laut BSI-FAQ zu NIS-2 zählen Teilzeit- und Saisonkräfte anteilig, mitarbeitende Eigentümer zählen mit. Auszubildende sowie Zeiten im Mutterschafts- oder Elternurlaub werden nicht mitgerechnet.

Maßgeblich sind die Daten des letzten Jahresabschlusses. Saisonale Spitzen entscheiden nicht, und der Status wechselt erst nach zwei aufeinanderfolgenden Geschäftsjahren über oder unter der Schwelle.

Muss ein Unternehmen mit 80 Mitarbeitern NIS2 erfüllen?

Ja, wenn es in einem regulierten Sektor tätig ist. Mit 80 Mitarbeitern liegt das Unternehmen über der Schwelle von 50 und ist unabhängig vom Umsatz mindestens wichtige Einrichtung nach § 28 Abs. 2 BSIG. Ohne Sektorbezug bleibt es auch mit 80 Mitarbeitern außerhalb von NIS2.

Fünf Rechenbeispiele zeigen, wo die Grenze verläuft:

• Hersteller von Kfz-Teilen, 80 Mitarbeiter, 12 Mio. Euro Umsatz, 9 Mio. Euro Bilanzsumme: Die Herstellung von Kraftwagenteilen fällt unter Anlage 2 Nr. 5.5 BSIG. Mit 80 Jahresarbeitseinheiten ist die Mitarbeiterschwelle erreicht. Für eine besonders wichtige Einrichtung fehlen Anlage-1-Tätigkeit und Größe. Ergebnis: wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 lit. a BSIG.
• Lebensmittelgroßhändler, 42 Mitarbeiter, 14 Mio. Euro Umsatz, 8 Mio. Euro Bilanzsumme: Der Sektor passt (Anlage 2 Nr. 4.1.1), die Größe nicht. Der Umsatz liegt über 10 Mio. Euro, die Bilanzsumme darunter. Ergebnis: nicht betroffen, sofern keine Konzerndaten hinzuzurechnen sind.
• Hersteller elektronischer Bauelemente, 58 Beschäftigte: Das Unternehmen (Anlage 2 Nr. 5.2) beschäftigt 40 Vollzeitkräfte, 12 Teilzeitkräfte mit 50 Prozent und 6 Auszubildende. Das ergibt 40 + 6 = 46 Jahresarbeitseinheiten, also unter 50. Bei 12 Mio. Euro Umsatz und 11 Mio. Euro Bilanzsumme greift jedoch das Finanzkriterium. Ergebnis: wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 lit. b BSIG.
• Schwellensprung in nur einem Jahr: Der Großhändler aus dem zweiten Beispiel weist einmalig 11 Mio. Euro Bilanzsumme aus. Der Status wechselt erst, wenn die Schwelle in zwei aufeinanderfolgenden Geschäftsjahren überschritten ist. Ergebnis: vorerst nicht betroffen, nach dem zweiten Jahr über der Schwelle wichtige Einrichtung.
• Kunststoffverarbeiter mit Kunden aus dem Kfz-Bau, 80 Mitarbeiter: Die Herstellung von Gummi- und Kunststoffwaren (NACE C22) steht weder in Anlage 1 noch in Anlage 2. Ergebnis: nicht betroffen nach § 28 BSIG, sofern keine weitere Tätigkeit in einem regulierten Sektor vorliegt. Über seine Kunden aus dem Kfz-Bau erreicht NIS2 das Unternehmen trotzdem, nämlich über die Lieferkette.

Zum Vergleich der Größenordnungen: Bis 30.09.2026 haben sich 13.252 wichtige Einrichtungen beim BSI registriert (BSI: NIS-2 in Zahlen). Der Gesetzgeber hatte rund 21.600 erwartet. Die eigene Einstufung lässt sich mit der NIS2-Betroffenheitsprüfung von NIS2Compass nachvollziehen.

Zählen Konzern- und Partnerunternehmen bei KMU mit?

Grundsätzlich ja: Nach § 28 Abs. 4 BSIG gilt die EU-KMU-Empfehlung, Daten verbundener Unternehmen zählen voll, die von Partnerunternehmen anteilig. Das entfällt, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner IT unabhängig von der Gruppe ist. Wer seine IT vollständig von der Konzernmutter betreiben lässt, ist das in der Regel nicht.

Die Zurechnungsregel stammt aus der Empfehlung 2003/361/EG. Laut KMU-Benutzerleitfaden der EU-Kommission zählen bei einer Beteiligung von 25 bis 50 Prozent die Daten anteilig, über 50 Prozent voll.

Geprüft wird jede Einrichtung einzeln. Eine Konzernmutter ist laut BSI-FAQ nicht automatisch erfasst, nur weil ihre Tochter betroffen ist.

Wann ist eine Tochter von der Konzern-IT unabhängig?

Gruppendaten „sind nicht hinzuzurechnen", wenn das Unternehmen „mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig" ist (§ 28 Abs. 4 BSIG). Die Gesetzesbegründung verneint das regelmäßig, wenn die IT „vollständig durch eine Konzernmutter betrieben" wird. Lässt die Tochter ihre IT im Auftrag von einem Dienstleister betreiben, übt sie laut Begründung dagegen in der Regel selbst bestimmenden Einfluss aus (S. 145).

Angenommen, eine Tochter mit 35 Mitarbeitern gehört zu 100 Prozent einer Mutter mit 300 Mitarbeitern:

• IT läuft vollständig über die Konzern-IT: Die Tochter kommt auf 335 Mitarbeiter und ist je nach Sektor wichtige oder (Anlage 1) besonders wichtige Einrichtung.
• Tochter entscheidet selbst über Ausgestaltung und Betrieb ihrer IT: Es zählen nur die eigenen 35 Mitarbeiter. Ohne Finanzkriterium ist sie nicht betroffen.

Halten Sie Ergebnis und Begründung schriftlich fest.

Zählen Nebentätigkeiten wie eine PV-Anlage mit?

Vernachlässigbare Tätigkeiten können nach § 28 Abs. 3 BSIG unberücksichtigt bleiben, etwa eine PV-Anlage für den Eigenstrombedarf. Im Verbund gilt eine Tätigkeit laut BSI-FAQ als vernachlässigbar, wenn sie nur innerhalb der Gruppe angeboten wird und weniger als 50 Mitarbeiter und jeweils weniger als 10 % von Umsatz und Bilanzsumme ausmacht. Wer die Tätigkeit am Markt anbietet, kann sich darauf nicht berufen.

Welche kleinen Unternehmen betrifft NIS2 trotzdem?

Direkt betroffen sind kleine Unternehmen nur in wenigen Fällen: als Betreiber kritischer Anlagen, DNS-Diensteanbieter, TLD-Registry, Vertrauensdiensteanbieter oder Anbieter öffentlicher Telekommunikation. Viel häufiger trifft NIS2 sie indirekt, weil regulierte Kunden die Sicherheit ihrer Lieferkette absichern müssen (§ 30 Abs. 2 Nr. 4 BSIG), etwa über Sicherheitsfragebögen und Vertragsklauseln.

Eine eigene Ausnahme für Kleinunternehmen enthält das Gesetz nicht. Kleine Unternehmen im Sinne der EU-Definition, also unter 50 Mitarbeitern und mit Umsatz oder Bilanzsumme bis 10 Mio. Euro, liegen schlicht unter den Schwellen von § 28 BSIG.

Welche Einrichtungen sind unabhängig von der Größe erfasst?

• Stets besonders wichtige Einrichtung: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1 und 2 BSIG).
• Auch als kleines Unternehmen wichtige Einrichtung: nicht qualifizierte Vertrauensdiensteanbieter sowie Anbieter öffentlicher Telekommunikationsdienste und -netze (§ 28 Abs. 2 Nr. 1 und 2 BSIG). Für Letztere laufen die Kernpflichten nach § 28 Abs. 5 über das TKG.

Ein häufiger Irrtum betrifft IT- und Plattformanbieter. Für Managed Service Provider, Cloud-Anbieter und Online-Marktplätze gelten in Deutschland die regulären Schwellen.

Was müssen nicht betroffene Zulieferer beachten?

Regulierte Einrichtungen müssen die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern" gewährleisten (§ 30 Abs. 2 Nr. 4 BSIG). Laut BSI-FAQ können sich diese Regeln „mittelbar auch auf nicht von NIS-2 betroffene Unternehmen auswirken". In der Praxis sind das Kundenfragebögen sowie Vertragsklauseln zu Risikomanagement, Vorfallmeldung an den Kunden und Patchmanagement.

Eine eigene Registrierungs- oder Meldepflicht beim BSI haben nicht betroffene Zulieferer nicht. Laut BSI kann es sich anbieten, die eigenen Maßnahmen an § 30 Abs. 2 BSIG zu prüfen und damit die Anforderungen der Auftraggeber zu beantworten. Mehr dazu unter Lieferkette und Zulieferer und im Beitrag Sicherheitsvorfall beim Dienstleister: Wer meldet?

Was reicht für ein KMU, das unter NIS2 fällt?

Für ein KMU reichen geeignete, verhältnismäßige und wirksame Maßnahmen. § 30 BSIG verlangt alle zehn Mindestmaßnahmen, erlaubt aber, Tiefe und Aufwand an Größe, Risiko und Kosten auszurichten. Dazu kommen Registrierung, Meldeprozess, Schulung der Geschäftsleitung und eine Dokumentation, die Ihre Entscheidungen nachvollziehbar macht.

Was bedeutet „verhältnismäßig" nach § 30 BSIG?

§ 30 Abs. 1 BSIG nennt die Kriterien ausdrücklich: „das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen".

Verhältnismäßig heißt nicht, Maßnahmen wegzulassen. Absatz 2 verlangt „zumindest" zehn Bereiche, von der Risikoanalyse über Backups und Lieferkette bis zur Multi-Faktor-Authentifizierung. Jeder Bereich muss adressiert sein, nur die Ausprägung skaliert. Dazu gehören auch Vorfallbewältigung (Nr. 2) sowie Personalsicherheit und Zugriffskontrolle (Nr. 9). Laut BSI-FAQ richtet sich etwa die Detailtiefe der Risikoanalyse „nach der Größe und dem Risikoprofil der jeweiligen Einrichtung".

Welche Pflichten kommen zu den zehn Maßnahmen hinzu?

Die Registrierung nach § 33 BSIG war für Bestandsunternehmen bis 6. März 2026 fällig. Wer noch nicht registriert ist, holt das nach. Erhebliche Sicherheitsvorfälle melden Sie gestuft nach 24 Stunden, 72 Stunden und einem Monat (§ 32 BSIG).

Die Geschäftsleitung setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil (§ 38 BSIG, mehr dazu unter Geschäftsführerhaftung nach § 38 BSIG). Und die Einhaltung „ist durch die Einrichtungen zu dokumentieren" (§ 30 Abs. 1 S. 3 BSIG). Halten Sie auch fest, warum eine Maßnahme schlank ausfällt.

Wie streng wird ein KMU beaufsichtigt?

Wichtige Einrichtungen beaufsichtigt das BSI anlassbezogen, also wenn Tatsachen einen Verstoß nahelegen (§ 62 BSIG). Einen festen Prüfzyklus gibt es nicht. Nachweise alle drei Jahre verlangt § 39 BSIG nur von Betreibern kritischer Anlagen. Anlassbezogen heißt nicht folgenlos: Kommt es zu einer Prüfung, etwa nach einem Vorfall, belegt Ihre Dokumentation, was Sie umgesetzt haben.

Das Bußgeld für wichtige Einrichtungen reicht bis 7 Mio. Euro (§ 65 Abs. 5 BSIG). Die umsatzbezogene Obergrenze von 1,4 % greift erst ab 500 Mio. Euro Gesamtumsatz (§ 65 Abs. 7). Bei Konzerntöchtern zählt dafür der weltweite Umsatz des Unternehmens, dem sie angehören (§ 65 Abs. 8). Eine Pflicht zur ISO-27001-Zertifizierung besteht nicht, wie der Beitrag Brauche ich ein ISMS für NIS2? erläutert.

Wie viel Aufwand kalkuliert der Gesetzgeber?

Der Gesetzgeber schätzt für wichtige Einrichtungen im Durchschnitt rund 1.100 Personalstunden und 24.300 Euro Sachkosten pro Jahr (BT-Drs. 21/1501, S. 111). Für mittlere Unternehmen setzt er 35 % des Aufwands einer besonders wichtigen Einrichtung an, rechnerisch also eher rund 960 Stunden. 1.100 Stunden entsprechen grob einer halben bis Dreiviertel-Stelle.

Das ist ein Durchschnittswert aus einer Schätzung, kein Sollwert. Ihr tatsächlicher Aufwand hängt von Ausgangslage und Risikoprofil ab. Eine Einordnung nach Kostenposten finden Sie unter NIS2-Compliance-Kosten.

Welche Prioritäten setzen KMU mit kleiner IT-Abteilung?

Zuerst kommt, was ohne Aufschub gilt: Registrierung beim BSI, ein funktionierender Meldeweg und eine Geschäftsleitung, die Umsetzung und Überwachung übernimmt. Danach folgen Risikoanalyse und die Maßnahmen mit der größten Schutzwirkung pro Aufwand, etwa Multi-Faktor-Authentifizierung, Backups und Patchmanagement. Lieferkette und Wirksamkeitsprüfung schließen den ersten Durchlauf ab.

Angenommen, ein Lebensmittelgroßhändler (Anlage 2 Nr. 4.1.1 BSIG) beschäftigt 120 Mitarbeiter. Das IT-Team besteht aus drei Personen, einen Informationssicherheitsbeauftragten gibt es nicht. Damit ist das Unternehmen eine wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG. Für dieses Beispielszenario eignet sich ein Sechs-Monats-Plan in drei Phasen:

• Monat 1: Pflichten ohne Aufschub. Das Unternehmen dokumentiert seine Betroffenheit und holt die Registrierung beim BSI nach (§ 33 BSIG). Parallel entsteht ein Meldeprozess für die Fristen 24 Stunden, 72 Stunden und einen Monat, mit geregelter Erreichbarkeit (§ 32 BSIG). Die Geschäftsleitung übernimmt Umsetzung und Überwachung (§ 38 Abs. 1 BSIG) und plant ihre eigene Schulung (§ 38 Abs. 3 BSIG).
• Monate 2 und 3: Risikoanalyse und Gap-Analyse. Das IT-Team bewertet die Risiken und gleicht den Ist-Zustand mit den zehn Maßnahmen aus § 30 Abs. 2 BSIG ab. Für drei Personen heißt das: eine kompakte Analyse der kritischen Prozesse wie Warenwirtschaft, Kühlkette und Logistik.
• Monate 4 bis 6: Maßnahmen nach Wirkung. Den Anfang machen Multi-Faktor-Authentifizierung (Nr. 10), Backup mit Wiederherstellungstest (Nr. 3), Schwachstellen- und Patchmanagement (Nr. 5) sowie Awareness-Schulungen (Nr. 7). Danach folgen Lieferkette (Nr. 4), Zugriffskontrolle (Nr. 9), Kryptografie (Nr. 8) und die Bewertung der Wirksamkeit (Nr. 6). Der Meldeprozess aus Monat 1 deckt einen Teil der Vorfallbewältigung (Nr. 2) bereits ab.

Jede Entscheidung braucht eine dokumentierte Begründung (§ 30 Abs. 1 S. 3 BSIG). Eine bewusst schlanke Ausprägung ist zulässig, solange sie nachvollziehbar hergeleitet ist.

Der Gesetzgeber nimmt an, dass rund 17 % der betroffenen Unternehmen bereits ausreichende Maßnahmen treffen (BT-Drs. 21/1501, S. 111). Für alle anderen ist der erste Durchlauf echte Aufbauarbeit. Wie das mit eigenem Personal gelingt, zeigt die Anleitung NIS2 ohne Berater umsetzen.

Für die einzelnen Schritte enthält die Vorlagen-Bibliothek von NIS2Compass passende Vorlagen, etwa für Gap-Analyse, Meldeprozess und Risikoanalyse. Einen Überblick gibt der Vorlagen-Katalog.

Häufig gestellte Fragen

Kann ein Unternehmen mit 40 Mitarbeitern über den Umsatz unter NIS2 fallen?

Ja, aber nur, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro liegen und das Unternehmen in einem Sektor der Anlagen 1 oder 2 BSIG tätig ist. Der Umsatz allein reicht nicht. Daneben kann eine größenunabhängige Kategorie oder die Zurechnung von Konzerndaten greifen. Sonst bleibt nur die indirekte Betroffenheit über Kunden.

Betrifft NIS2 den Mittelstand?

Ja, der Mittelstand ist die Kerngruppe. Der Gesetzgeber erwartet rund 21.600 wichtige Einrichtungen, 87 % davon sind mittlere Unternehmen (BT-Drs. 21/1501). Voraussetzung bleibt der Sektorbezug: Ein mittelständisches Unternehmen außerhalb der Anlagen 1 und 2 BSIG fällt nicht direkt unter NIS2, kann aber über regulierte Kunden mittelbar betroffen sein.

Was passiert, wenn ein KMU die Schwelle nur in einem Jahr überschreitet?

Zunächst nichts. Maßgeblich sind die Daten des letzten Jahresabschlusses, und der Status wechselt erst, wenn die Schwelle in zwei aufeinanderfolgenden Geschäftsjahren überschritten wird (BSI-FAQ). Für neu gegründete Unternehmen gilt diese Regel nicht. Nach dem Statuswechsel bleiben drei Monate für die Registrierung beim BSI (§ 33 Abs. 1 BSIG).

Was kostet NIS2-Compliance für ein KMU?

Der Gesetzgeber schätzt für wichtige Einrichtungen im Schnitt rund 1.100 Personalstunden und 24.300 Euro Sachkosten pro Jahr (BT-Drs. 21/1501). Externe Beratung kostet laut BDU-Honorarstudie 2025 im Schnitt 1.300 Euro pro Tag. Mehr dazu im Beitrag Was kostet externe NIS2-Beratung?

Muss ein kleines Unternehmen NIS2-Anforderungen seiner Kunden erfüllen?

Gesetzlich nicht, vertraglich oft ja. Regulierte Kunden müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette gewährleisten und geben Anforderungen per Vertrag weiter, etwa zu Vorfallbewältigung und Patchmanagement. Laut BSI-FAQ wirkt NIS2 so mittelbar auch auf nicht betroffene Unternehmen. Sinnvoll ist eine vorbereitete Antwort mit eigenen Maßnahmen nach der Logik von § 30.