NIS2 für Mittelstand und Sozialträger: Sind wir betroffen, und was folgt daraus?

In drei Fragen zur Einschätzung

Ob Ihr Haus unter das Gesetz fällt, entscheidet sich an drei Fragen:

1. 1.Sektor. Sind Sie in einem der Sektoren tätig, die das Gesetz nennt? Dazu gehören unter anderem Energie, Verkehr, Gesundheitswesen, Wasser, digitale Infrastruktur und IT-Dienstleistungen, Post, Abfall, Chemie, Lebensmittel, Forschung und Teile des verarbeitenden Gewerbes wie Maschinenbau, Elektrotechnik und Fahrzeugbau.

2. 2.Größe. Haben Sie mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme? Ab 250 Beschäftigten oder 50 Millionen Euro Umsatz gelten Sie in vielen Sektoren als besonders wichtige Einrichtung mit strengeren Folgen.

3. 3.Verbund. Gehören Sie zu einer Gruppe? Bei verbundenen Unternehmen werden Beschäftigte und Umsätze unter Umständen zusammengerechnet. Eine kleine Tochtergesellschaft kann so über die Schwelle kommen.

Die genaue Einordnung ist eine rechtliche Prüfung. Die Fakten dafür, also Tätigkeiten, Kennzahlen und Beteiligungen, liegen in Ihrem Haus und sind meist in einem Tag zusammengetragen.

In großen und regulierten Organisationen

• Pflege und Betreuung sind in der Regel nicht erfasst. Einrichtungen der Langzeitpflege, ambulante Pflegedienste und Pflegeheime fallen nach überwiegender Auffassung grundsätzlich nicht unter das Gesetz, solange sie keine eigenständigen medizinischen Leistungen erbringen.
• Gesundheitsleistungen schon. Krankenhäuser, medizinische Versorgungszentren, Labore und Rettungsdienste gehören zum Sektor Gesundheitswesen. Ein Träger, der auch solche Leistungen erbringt, muss genau hinsehen.
• Der Verbund zählt. Wo Verein und Gesellschaften zusammen über die Schwellen kommen, kann eine einzelne Gesellschaft erfasst sein, auch wenn sie allein klein ist.
• Krankenkassen. Sie fallen nach Einschätzung aus der Beratungspraxis nur dann unter das Gesetz, wenn sie als Betreiber kritischer Anlagen eingestuft sind. Über ihre Dienstleister und Partner im Gesundheitswesen erreichen die Anforderungen sie trotzdem.
• Unternehmensgruppen im Mittelstand. Gerade im verarbeitenden Gewerbe werden viele Gruppen erst durch die Zusammenrechnung ihrer Gesellschaften erfasst. Wer die Kennzahlen nur je Gesellschaft kennt, schätzt die eigene Lage oft falsch ein.
• Auch wer nicht betroffen ist, bekommt die Anforderungen zu spüren. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette prüfen. Krankenhäuser, Kostenträger und große Auftraggeber fragen deshalb zunehmend nach Ihren Sicherheitsmaßnahmen, auch wenn Sie selbst nicht registriert sein müssen.

Was betroffene Einrichtungen tun müssen

Registrieren. Betroffene Einrichtungen müssen sich beim BSI registrieren. Die gesetzliche Frist dafür ist im März 2026 abgelaufen, auch die Nachfrist, die das BSI danach eingeräumt hat, ist vorbei. Die Pflicht besteht weiter: Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.

Vorfälle melden. Erhebliche Sicherheitsvorfälle werden in drei Schritten gemeldet: eine erste Meldung binnen 24 Stunden, eine Bewertung binnen 72 Stunden, ein Abschlussbericht binnen eines Monats. Das setzt voraus, dass jemand im Haus einen Vorfall erkennt, einordnet und weiß, wer meldet.

Maßnahmen umsetzen. Das Gesetz nennt zehn Bereiche, für die es angemessene Vorkehrungen verlangt:

1. 1.Risikoanalyse und Sicherheitskonzepte für die IT

2. 2.Umgang mit Sicherheitsvorfällen

3. 3.Weiterbetrieb im Notfall: Datensicherung, Wiederherstellung, Krisenmanagement

4. 4.Sicherheit in der Lieferkette, also bei Dienstleistern und Herstellern

5. 5.Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich des Umgangs mit Schwachstellen

6. 6.Überprüfung, ob die Maßnahmen wirken

7. 7.Grundlegende Sicherheitspraxis und Schulungen

8. 8.Verschlüsselung

9. 9.Personalsicherheit, Zugriffskontrolle und Verwaltung der Geräte und Anwendungen

10. 10.Mehr-Faktor-Anmeldung und gesicherte Kommunikation, wo angemessen

Leitung in die Pflicht nehmen. Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Sie haftet persönlich, wenn sie das versäumt. Die Aufgabe lässt sich nicht an die IT-Abteilung abgeben.

Bußgelder. Bei Verstößen drohen für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent.

Wo Sie anfangen, ohne ein Großprojekt aufzusetzen

Die zehn Bereiche klingen nach viel. In der Praxis zeigen sich die größten Lücken fast immer an denselben Stellen:

• Niemand weiß, welche Software im Einsatz ist und welche davon bekannte Schwachstellen hat. Ohne diese Übersicht gibt es kein Schwachstellenmanagement.
• Die Datensicherung wurde nie vollständig wiederhergestellt. Ob sie im Ernstfall funktioniert, ist eine Vermutung.
• Zugänge enden nicht mit dem Austritt, vor allem in Fachanwendungen mit eigener Benutzerverwaltung.
• Es gibt keinen Plan für die ersten Stunden nach einem Angriff, und niemand weiß, wer das BSI informiert.

Wer diese vier Stellen geschlossen hat, hat einen großen Teil der Pflichten im Kern erfüllt und eine belastbare Grundlage für den Rest.

Wie Sie mit uns starten

Die Standortbestimmung unserer Linie Digitale Souveränität (Audit Souveränität) erfasst über einen Scan, welche Software auf Ihren Rechnern läuft, und über einen kurzen Fragebogen die Cloud-Dienste, die Sie im Browser nutzen. Sie gleicht die Programme mit öffentlich bekannten Schwachstellen ab, bewertet Ihre Abhängigkeit von den Herstellern und endet mit einer Roadmap der nächsten Schritte. Festpreis nach Größe: 3.900 €, 4.800 € oder 5.700 €. Die Vertiefung (9.900 €) ordnet Ihre Lage den zehn Bereichen zu und liefert Sicherungs- und Wiederanlaufkonzept, Notfallplan und eine Reihenfolge der Maßnahmen.

Die Frage, ob Sie rechtlich betroffen sind, beantworten wir nicht verbindlich. Wir tragen die Fakten zusammen, mit denen Ihre Rechtsberatung das schnell klären kann.

→ Mehr zu Digitale Souveränität

Häufige Fragen

Vom Team der addonware GmbH, Bereich Digitale Souveränität. Stand: Oktober 2026.