Recht und Pflichten · Zur Kenntnis

NIS-2: Was davon den Mittelstand hier wirklich betrifft

Seit Dezember 2025 gilt das deutsche Umsetzungsgesetz. Betroffen sind mehr Betriebe als früher — und viele merken es erst über ihre Auftraggeber.

Betrifft Sie, wenn

Zulieferer von Industrie, Energieversorgern und öffentlichen Stellen. Auch dann, wenn Sie selbst nicht direkt unter die Regeln fallen.

Die NIS-2-Richtlinie und das novellierte BSI-Gesetz verpflichten einen erweiterten Kreis von Unternehmen zu Risikomanagement, Sicherheitsmaßnahmen und Meldepflichten bei Vorfällen. Ob ein Betrieb direkt darunter fällt, hängt an Branche und Größe.

Für die meisten Betriebe hier in der Region ist aber ein anderer Weg relevanter: über die Kette. Wer für einen betroffenen Auftraggeber arbeitet, bekommt dessen Anforderungen weitergereicht — in Form von Fragebögen zur IT-Sicherheit, die Teil der Lieferantenprüfung werden.

Genau das beobachten wir seit einiger Zeit zunehmend. Gefragt wird nach geregelter Datensicherung, aktuellen Systemen, abgesicherten Zugängen von außen und einem Ansprechpartner für den Notfall. Unangenehm wird das nicht für Betriebe, die schlecht arbeiten — sondern für die, bei denen niemand die Antworten aufgeschrieben hat.

Was zu tun ist

Klären, ob Ihre größeren Auftraggeber selbst unter die Regeln fallen. Wenn ja, kommt der Fragebogen früher oder später.
Die vier Standardfragen vorbereiten: Datensicherung, Systemstand, Zugänge von außen, Notfallkontakt.
Eine Dokumentation anlegen, falls noch keine existiert. Damit ist so ein Bogen in einer halben Stunde ausgefüllt statt in zwei Tagen.

Für unsere Wartungskunden: Wir füllen solche Fragebögen mit Kunden zusammen aus und ergänzen, was technisch fehlt. Das ist meist weniger, als die Betriebe befürchten.

Quelle: BSI-Gesetz in der Fassung vom 06.12.2025
Eingeordnet von Christian Wichert, CSW IT Dienstleistungen · 18. August 2026