NIS2-Beratung für KMU aus der Region Hildesheim

NIS2 ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie soll das Sicherheitsniveau in der EU anheben und gibt dafür Mindestanforderungen an Risikomanagement, Schutzmaßnahmen und Meldewege bei Sicherheitsvorfällen vor. Mehr zu den Grundlagen finden Sie in unserem Lexikon unter NIS2 und im Beitrag NIS2-Richtlinie: Was KMU jetzt wissen müssen.

Ob ein Unternehmen direkt betroffen ist, hängt vor allem von drei Punkten ab:

• Sektor: Das BSI-Gesetz nennt die erfassten Bereiche in zwei Anlagen. Dazu gehören Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum sowie Abfallbewirtschaftung, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes (zum Beispiel Maschinenbau, Elektrotechnik, Fahrzeugbau und Medizinprodukte), Anbieter digitaler Dienste und Forschung.
• Größe: Als „wichtige Einrichtung“ gilt in der Regel, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme kann eine Einstufung als „besonders wichtige Einrichtung“ folgen (§ 28 BSIG). Für einige Dienste gilt die Pflicht unabhängig von der Unternehmensgröße.
• Tätigkeit: Entscheidend ist, was ein Unternehmen tatsächlich anbietet, nicht nur, welcher Branche es sich zuordnet.

Unternehmen müssen selbst prüfen, ob sie betroffen sind. Das BSI bietet dafür eine Betroffenheitsprüfung an. Wir nehmen mit Ihnen eine erste technische Einordnung vor. Eine verbindliche rechtliche Bewertung ist das nicht.

Auch wenn Ihr Betrieb selbst nicht unter NIS2 fällt, kann die Regelung Sie erreichen. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen (§ 30 BSIG). Nach Angaben des BSI sind viele Zulieferer dadurch indirekt betroffen, auch wenn sie selbst nicht verpflichtet sind. Die Anforderungen kommen meist über Fragebögen, Selbstauskünfte oder Vertragsklauseln bei Ihnen an.

Typische Fragen lauten:

• Ist die Anmeldung an wichtigen Systemen mit einem zweiten Faktor geschützt?
• Gibt es eine Datensicherung, und wurde die Wiederherstellung getestet?
• Werden Betriebssysteme und Programme regelmäßig aktualisiert?
• Wer hat welche Zugriffsrechte, und wie werden sie entzogen, wenn jemand das Unternehmen verlässt?
• Gibt es einen Notfallplan, und wer meldet einen Sicherheitsvorfall an wen?
• Werden Mitarbeitende zu Themen wie Phishing geschult?

Wer diese Fragen ehrlich und belegbar beantworten kann, schafft Vertrauen beim Kunden. Wer es nicht kann, hat kein Formularproblem, sondern eine Lücke in der IT-Sicherheit.

1. Betroffenheit einordnen: Wir klären gemeinsam, ob Ihr Unternehmen voraussichtlich direkt betroffen ist, mittelbar über Kunden Anforderungen erfüllen muss oder beides.
2. Ist-Aufnahme: Wir erfassen Systeme, Zugänge, Datensicherung, Update-Stand, Netzwerk und Notfallvorsorge. Dabei zählt, was tatsächlich eingerichtet ist, nicht was irgendwann geplant war.
3. Maßnahmenplan: Aus der Aufnahme entsteht ein priorisierter Plan. Er zeigt, was zuerst angegangen werden sollte, wer zuständig ist und welche Maßnahmen technisch und welche organisatorisch sind.
4. Umsetzung technischer Maßnahmen: Wir setzen um, was in unseren Bereich fällt, zum Beispiel Mehr-Faktor-Anmeldung, Firewall-Konfiguration, Datensicherung mit Wiederherstellungstest, Update-Verwaltung und Rechtekonzepte. Das passt zu unserer laufenden IT-Sicherheit und Managed IT.
5. Dokumentation: Wir halten fest, welche Maßnahmen umgesetzt sind und wie sie funktionieren. Diese Dokumentation ist die Grundlage, um Fragen von Kunden, Versicherern oder Prüfern zu beantworten, und ein Baustein für Ihr IT-Sicherheitskonzept.

Damit Sie wissen, woran Sie sind:

• Keine Rechtsberatung. Ob und mit welchen Pflichten Ihr Unternehmen rechtlich unter NIS2 fällt, bewertet verbindlich eine Rechtsberatung. Wir liefern die technische Einordnung und die Umsetzung.
• Keine Zertifizierung. Wir stellen keine Zertifikate aus und führen keine Zertifizierungsaudits durch. Eine Zertifizierung führt eine dafür zugelassene Stelle durch.
• Keine Garantie für Prüfungsergebnisse. Wir sorgen dafür, dass die technischen Maßnahmen umgesetzt und dokumentiert sind. Die Bewertung liegt bei Ihren Kunden, Prüfern oder Behörden.

In Deutschland ist das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft, im Kern als Neufassung des BSI-Gesetzes. Die Aufsicht liegt beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Betroffene Unternehmen haben drei Kernpflichten:

• Registrierung beim BSI: in zwei Schritten, zuerst über „Mein Unternehmenskonto“, dann im BSI-Portal. Für Einrichtungen, die schon beim Inkrafttreten betroffen waren, ist die gesetzliche Registrierungsfrist nach Angaben des BSI bereits abgelaufen; wer noch nicht registriert ist, sollte das umgehend nachholen. Wer erst später unter das Gesetz fällt, etwa durch Wachstum, hat ab diesem Zeitpunkt eine eigene Frist.
• Meldung erheblicher Sicherheitsvorfälle: gestuft an das BSI, mit einer frühen Erstmeldung spätestens innerhalb von 24 Stunden, einer Meldung nach 72 Stunden und einer Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG).
• Risikomanagement: technische und organisatorische Maßnahmen umsetzen und dokumentieren.

Die Geschäftsleitung muss diese Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie gegenüber dem eigenen Unternehmen nach den Regeln des Gesellschaftsrechts (§ 38 BSIG).

Für die praktische Arbeit heißt das: Die Maßnahmen, nach denen Kunden fragen, sind unabhängig von der rechtlichen Einordnung sinnvoll. Wer Datensicherung, Zugänge, Updates und Notfallvorsorge im Griff hat und das dokumentiert, ist gut vorbereitet.

Stand: November 2026. Quellen: BSI und BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes.

Wir sind ein IT-Systemhaus aus Diekholzen bei Hildesheim und betreuen kleine und mittlere Unternehmen als externe IT-Abteilung. Deshalb endet unsere Beratung nicht mit einem Bericht: Die Maßnahmen, die wir empfehlen, können wir auch einrichten und im laufenden Betrieb betreuen. Bei LNIT sprechen Sie direkt mit dem Inhaber, unterstützt von unserem Partnernetzwerk.

Wenn Sie wissen möchten, ob und wie NIS2 Ihr Unternehmen betrifft, rufen Sie uns unter 05121 676 3000 an oder schreiben Sie uns. Im Erstgespräch klären wir Ihre Ausgangslage und den sinnvollen ersten Schritt.