Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft — ohne Übergangsfristen, ohne Ausnahmen. Rund 29.500 Unternehmen sind betroffen. Die meisten wissen es nicht.
Wer ist betroffen?
Die Faustregel: Wer mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz von mehr als 10 Millionen Euro erzielt, und in einem der 18 NIS2-Sektoren tätig ist, fällt unter die Richtlinie.
Betroffene Sektoren für Hamburger KMU:
- Transport und Logistik — Speditionen, Hafenagenturen, Kurierdienste
- Lebensmittelproduktion — Hersteller und Großhändler
- Maschinenbau — insbesondere Zulieferer für kritische Industrien
- IT-Dienstleister — Systemhäuser, Cloud-Anbieter, SaaS-Unternehmen
- Gesundheitswesen — Medizintechnik, Kliniken, Labore
Was fordert NIS2 konkret?
Das Gesetz verlangt zehn Kernmaßnahmen nach §30 BSIG-neu:
1. Risikoanalyse und Sicherheitskonzept Einmal jährlich, dokumentiert, durch die Geschäftsleitung gebilligt.
2. Incident-Response und Meldepflichten Bei einem Sicherheitsvorfall: 24 Stunden Frühwarnung ans BSI, 72 Stunden Zwischenmeldung, 30 Tage Abschlussbericht.
3. Business Continuity Management Backup-Konzepte, Notfallpläne, Wiederherstellungszeiten definieren.
4. Supply-Chain-Sicherheit Lieferanten bewerten, NIS2-Anforderungen vertraglich absichern.
5. Verschlüsselung und Zugriffsschutz Multi-Faktor-Authentifizierung, verschlüsselte Übertragung, minimale Zugriffsrechte.
Was droht bei Verstößen?
Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes — je nachdem was höher ist.
Neu und wichtig: Persönliche Haftung der Geschäftsführung. Ein Haftungsverzicht durch Gesellschaftervertrag ist gesetzlich ausgeschlossen.
Der erste Schritt
Wissen, wo Sie stehen. KyberGuard.de analysiert Ihre Domain in 60 Sekunden — kostenlos, ohne Registrierung. Sie sehen Ihre Angriffsfläche aus der Perspektive, aus der Ihr nächster Auditor sie bewerten wird.
Starten Sie jetzt: kyberguard.de