NIS2: Was die neue Cybersicherheits-Pflicht für Ihr Unternehmen bedeutet
Cybersicherheit war lange eine freiwillige Kür. Mit NIS2 wird sie für viele Unternehmen zur gesetzlichen Pflicht. Die EU-Richtlinie und ihre Umsetzung ins deutsche Recht betreffen rund 29.500 Unternehmen in 18 Sektoren, und anders als bei früheren Regelungen sind nicht nur Energieversorger und Krankenhäuser gemeint. Auch IT-Dienstleister, produzierende Betriebe, Logistik und viele weitere Branchen fallen darunter. Höchste Zeit zu prüfen, ob Sie dazugehören. Ein Hinweis vorab: Das ist eine Orientierung, keine Rechtsberatung. Die verbindliche Einordnung trifft im Zweifel ein spezialisierter Berater.
Wer ist von NIS2 betroffen?
Grundsätzlich greift NIS2 ab einer gewissen Größe. Mikrounternehmen und kleine Unternehmen mit unter 50 Mitarbeitern und unter 10 Millionen Euro Jahresumsatz sind in der Regel befreit, unabhängig vom Sektor. Das nimmt viele kleine Betriebe heraus. Die Entwarnung gilt aber nicht uneingeschränkt. Wer als kritischer IKT-Dienstleister für andere arbeitet, kann auch unterhalb dieser Schwellen betroffen sein. Und selbst wer formal nicht reguliert ist, bekommt NIS2 über die Lieferkette zu spüren: Größere Kunden geben ihre Sicherheitsanforderungen an Zulieferer weiter. Die Frage ist also nicht nur, ob Sie direkt unter das Gesetz fallen, sondern auch, was Ihre Auftraggeber von Ihnen verlangen.
Welche Pflichten gelten, welche Fristen sind verstrichen?
Für betroffene Unternehmen sind die Anforderungen klar umrissen: ein dokumentiertes Risikomanagement, technische und organisatorische Schutzmaßnahmen, Meldepflichten bei Sicherheitsvorfällen und nachweisbare Governance-Strukturen. Die Geschäftsführung steht dabei ausdrücklich in der Verantwortung. Wichtig ist das Timing, denn die wichtigsten Termine liegen bereits hinter uns. Seit dem 6. Dezember 2025 sind die Sicherheitsmaßnahmen nach §30 BSIG und die verschärften Meldepflichten unmittelbar verbindlich, ohne Schonfrist. Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Wer betroffen ist und bisher nichts unternommen hat, ist also bereits im Verzug. Die Bußgelder sind für mittelständische Betriebe spürbar: bis zu 100.000 Euro, wenn der beim BSI hinterlegte Ansprechpartner im Ernstfall nicht erreichbar ist, und bis zu 500.000 Euro, wenn kein funktionierendes Informationssicherheits-Managementsystem nachgewiesen werden kann oder angeordnete Maßnahmen nicht fristgerecht umgesetzt werden.
Was bedeutet das technisch?
Hinter den abstrakten Pflichten stehen konkrete Maßnahmen, die jeder kennt, der Sicherheit ohnehin ernst nimmt. Dazu gehören aktuelle, gepatchte Systeme, Zugriffskontrolle und Mehr-Faktor-Authentifizierung, Verschlüsselung, regelmäßige Backups mit getesteter Wiederherstellung sowie ein Plan, wie im Fall eines Angriffs reagiert und gemeldet wird. NIS2 verlangt nicht das Unmögliche, sondern dass diese Dinge dokumentiert vorhanden sind und gelebt werden. Ein guter Teil davon hängt an der Infrastruktur, auf der Ihre Anwendungen laufen. Und genau hier kommt Ihr Hosting ins Spiel.
Welche Rolle Ihr Hosting spielt
Hosting allein macht niemanden NIS2-konform, das wäre ein falsches Versprechen. Aber der richtige Unterbau nimmt Ihnen einen erheblichen Teil der technischen Maßnahmen ab. Server in deutschen, ISO-zertifizierten Rechenzentren, eingespielte Sicherheitsupdates, Monitoring rund um die Uhr und tägliche Backups sind genau die Bausteine, die NIS2 unter den technischen und organisatorischen Maßnahmen erwartet. Bei einem Managed Server übernimmt der Hoster Wartung, Updates und Überwachung, statt dass Sie das selbst nachweisen und stemmen müssen. Tägliche Backups mit sauberer Wiederherstellung decken einen weiteren Pflichtpunkt ab. Und weil webhostone seit 1998 ausschließlich in deutschen Rechenzentren arbeitet, ist auch die Frage des Standorts und der Erreichbarkeit eines Ansprechpartners geklärt. Wenn Sie Ihre IT auf NIS2 ausrichten und dabei ein solides Fundament suchen, lohnt der Blick auf unsere Lösungen für KMU und Mittelstand. Was Ihr Betrieb konkret braucht, klären wir am besten im direkten Gespräch, bevor aus einer Frist ein Bußgeld wird.
