NIS2: Was Zulieferer im Westerwald jetzt wissen müssen

Kein Rechtsrat: Dieser Artikel gibt einen Überblick aus IT-Sicht, Stand November 2026. Ob und wie Ihr Betrieb betroffen ist, klären Sie bitte mit einer Rechtsberatung, Ihrer IHK oder Ihrem Verband.

Wenn Ihr Kunde plötzlich einen Fragebogen zur IT-Sicherheit schickt, steckt oft eine Abkürzung dahinter: NIS2. Viele Handwerker, Zulieferer und Dienstleister fragen sich dann: Betrifft mich das überhaupt? Ich bin doch nur ein kleiner Betrieb.

Die kurze Antwort: Direkt betroffen sind eher größere Unternehmen in bestimmten Branchen. Kleine Betriebe können aber indirekt betroffen sein, nämlich wenn ihre Kunden unter das Gesetz fallen und Sicherheitsnachweise von ihnen verlangen.

Was ist NIS2?

NIS2 ist eine EU-Richtlinie zur Cybersicherheit. In Deutschland wurde sie durch das NIS2-Umsetzungsgesetz in nationales Recht übernommen, das auf den 2. Dezember 2025 datiert (Bundesgesetzblatt 2025 I Nr. 301), am 5. Dezember 2025 verkündet wurde und seit dem 6. Dezember 2025 gilt. Es fasst unter anderem das BSI-Gesetz neu. Ziel ist, dass wichtige Unternehmen und Einrichtungen ihre Systeme besser gegen Angriffe schützen und erhebliche Sicherheitsvorfälle melden. Betroffene müssen sich spätestens drei Monate, nachdem sie unter das Gesetz fallen, beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren (§ 33 BSIG). Erhebliche Sicherheitsvorfälle sind unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, vorab zu melden (Erstmeldung). Innerhalb von 72 Stunden folgt eine Meldung mit erster Bewertung, spätestens einen Monat danach eine Abschlussmeldung (§ 32 BSIG). Diese Meldepflicht gilt frühestens ab Einrichtung des Meldewegs. Verstöße können mit Bußgeldern geahndet werden: bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro (bei sehr großen Konzernen alternativ ein Prozentsatz des Umsatzes; § 65 BSIG).

Wer ist direkt betroffen?

Das Gesetz unterscheidet „besonders wichtige“ und „wichtige“ Einrichtungen. Maßgeblich sind der Sektor (zum Beispiel Energie, Verkehr, Gesundheit, digitale Infrastruktur, Teile der Produktion, Chemie oder Lebensmittel) und die Größe. Nach § 28 BSIG gilt ein Unternehmen aus einem erfassten Sektor als „wichtig“, wenn es mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro hat. Als „besonders wichtig“ gilt es ab mindestens 250 Mitarbeitern oder über 50 Millionen Euro Jahresumsatz bei zugleich über 43 Millionen Euro Bilanzsumme. Verbundene Unternehmen werden nach der EU-Empfehlung 2003/361/EG mitgerechnet, mit Ausnahmen. Für einzelne Sektoren und Betreiber kritischer Anlagen gelten Sonderregeln, teilweise unabhängig von der Größe.

Ein Ein-Personen-Betrieb oder ein Handwerksbetrieb mit wenigen Mitarbeitern liegt in aller Regel unter diesen Größen. Die verbindliche Einordnung gehört trotzdem in die Hände einer Rechtsberatung. Eine erste, nicht rechtsverbindliche Orientierung bietet die Betroffenheitsprüfung des BSI.

Warum kleine Betriebe trotzdem davon hören

Betroffene Unternehmen müssen im Rahmen ihres Risikomanagements auch die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern berücksichtigen (§ 30 Abs. 2 Nr. 4 BSIG). In der Praxis heißt das: Sie fragen ihre Zulieferer nach einem Mindestniveau an IT-Sicherheit. Das kann so aussehen:

• ein Fragebogen zu Passwörtern, Updates, Backup und Zugriffsrechten,
• eine Vertragsklausel, die Sicherheitsmaßnahmen und Meldewege bei Vorfällen regelt,
• ein Nachweiswunsch, etwa zur Datensicherung oder zur Absicherung von E-Mail und Fernzugängen.

Ob und wie Ihr Kunde das verlangt, entscheidet er selbst. Rechtlich sind Sie als kleiner Betrieb nicht automatisch pflichtig, aber ohne Nachweis kann ein Auftrag wackeln.

Was Zulieferer jetzt sinnvoll tun können

Die meisten Kundenfragen laufen auf Grundlagen hinaus, die für jeden Betrieb ohnehin gelten. Ein pragmatischer Start:

1. Bestandsaufnahme: Welche Geräte, Programme, Konten und Cloud-Dienste nutzen Sie? Eine einfache Liste reicht.
2. Updates: Betriebssystem, Browser, Router und wichtige Programme aktuell halten, möglichst automatisch. Windows 10 bekommt ohnehin keine regulären Updates mehr, siehe Windows 10 Support-Ende.
3. Zugänge sichern: eigenes Passwort pro Dienst, Passwortmanager, Zwei-Faktor-Anmeldung für E-Mail, Cloud und Banking.
4. Backup: Daten nach der 3-2-1-Regel sichern und die Wiederherstellung einmal testen. Ein Backup, das nie getestet wurde, ist eine Hoffnung.
5. E-Mail-Sicherheit: Phishing erkennen, verdächtige Anhänge nicht öffnen, Mitarbeitende kurz sensibilisieren.
6. Rechte begrenzen: Nicht jeder braucht Administratorrechte. Ehemalige Mitarbeiter sofort sperren.
7. Notfallplan: Wer wird angerufen, wenn etwas passiert? Wo liegen Zugangsdaten und Backups? Auf einer Seite aufschreiben.

Wie Sie Kundenfragen beantworten

Beantworten Sie Sicherheitsfragebögen ehrlich und konkret. Beschreiben Sie, was Sie tun, nicht, was Sie gern täten. Werden Maßnahmen verlangt, die Sie nicht erfüllen, sagen Sie das offen und nennen Sie, bis wann Sie sie umsetzen. Zertifikate oder Siegel sind für kleine Betriebe meist nicht nötig; verlangt der Kunde sie, klären Sie das direkt mit ihm. Lassen Sie Verträge mit Sicherheitsklauseln lieber einmal rechtlich prüfen, bevor Sie unterschreiben.

Wobei wir helfen können

Als IT-Dienstleister aus Liebenscheid sehen wir uns gemeinsam mit Ihnen an, wo Ihr Betrieb bei den Grundlagen steht: Updates, Zugänge, Backup, E-Mail, Notfallplan. Sie bekommen eine verständliche Liste, was in Ordnung ist und was angepackt werden sollte. Dauerhaft übernehmen wir Updates, Überwachung und Datensicherung im Rahmen der IT-Wartung zum Festpreis oder der IT-Betreuung für Unternehmen. Ein erstes Gespräch ist kostenlos. Eine Zertifizierung oder rechtliche Beratung bieten wir nicht an.

Quellen

• Bundesgesetzblatt 2025 I Nr. 301: Gesetz zur Umsetzung der NIS-2-Richtlinie
• § 28 BSIG: Besonders wichtige und wichtige Einrichtungen (Schwellenwerte)
• § 30 BSIG: Risikomanagementmaßnahmen (inkl. Sicherheit der Lieferkette)
• § 32 BSIG: Meldepflichten (24 Stunden, 72 Stunden, ein Monat)
• § 33 BSIG: Registrierungspflicht
• § 65 BSIG: Bußgeldvorschriften
• BSI: Betroffenheitsprüfung NIS-2

Gesetzestext und Fristen können sich ändern (das BSI-Gesetz wurde bereits nach der Verkündung erneut geändert). Maßgeblich sind das Bundesgesetzblatt, die jeweils aktuelle Fassung auf gesetze-im-internet.de und die Angaben des BSI.