Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland geltendes Recht, ohne Übergangsfrist. Trotzdem herrscht in vielen kleinen und mittleren Unternehmen weiterhin Unklarheit darüber, wer betroffen ist und was zu tun ist. Diese Unsicherheit hat einen Namen: NIS2 Missverständnisse. Aussagen wie „Das betrifft nur große Konzerne“ oder „Das ist Sache der IT“ halten sich hartnäckig, obwohl sie rechtlich nicht zutreffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat diesem Problem im Frühjahr 2026 sogar eine eigene Kampagne unter dem Titel „NIS-Verständnis statt Missverständnis“ gewidmet. Wir ordnen die wichtigsten NIS2 Missverständnisse für Sie ein.

Diese sechs NIS2 Missverständnisse begegnen uns in Beratungsgesprächen immer wieder, und jedes davon kann im Ernstfall teuer werden.

„Das betrifft nur kritische Infrastruktur“

Die NIS2-Richtlinie reguliert insgesamt 18 Sektoren, davon 11 als „essential“ (kritisch) und 7 als „important“ (wichtig) eingestuft. Zu den wichtigen Sektoren zählen unter anderem Post und Kurier, Chemikalien, Ernährung sowie das verarbeitende Gewerbe und die Herstellung, also klassische Mittelstandsbranchen ohne KRITIS-Charakter. Das BSI stellt in seiner Kampagne ausdrücklich klar, dass die Regulierung deutlich über den Kreis der kritischen Infrastruktur hinausgeht.

„Nur Konzerne sind betroffen“

NIS2 setzt bei der Unternehmensgröße an, nicht beim Bekanntheitsgrad. Als „wichtige Einrichtung“ gilt bereits, wer 50 bis 250 Mitarbeitende beschäftigt oder einen Jahresumsatz von 10 bis 50 Millionen Euro erzielt. Für „besonders wichtige Einrichtungen“ liegt die Schwelle bei über 250 Mitarbeitenden oder mindestens 50 Millionen Euro Umsatz. Ein Betrieb mit 60 Beschäftigten kann damit bereits in der Pflicht stehen, auch ohne Konzernstruktur im Hintergrund.

„Mitarbeiterzahl und Umsatz müssen beide über der Schwelle liegen“

Ein Detail, das häufig übersehen wird: Die Kriterien Mitarbeiterzahl und Umsatz beziehungsweise Bilanzsumme gelten alternativ, nicht kumulativ. Es reicht, wenn eines der beiden Merkmale erfüllt ist. Solche NIS2 Missverständnisse rund um Schwellenwerte führen in der Praxis häufig zu einer falschen Selbsteinschätzung. Wer die eigene Betroffenheit prüft, sollte deshalb beide Werte einzeln betrachten und nicht nur auf einen davon schauen.

„Das übernimmt die IT-Abteilung“

Nach dem NIS2-Umsetzungsgesetz müssen Geschäftsleitungen die Risikomanagementmaßnahmen ihres Unternehmens selbst billigen, ihre Umsetzung überwachen und sich regelmäßig zu Cybersicherheit schulen lassen, empfohlen mindestens alle drei Jahre. Bei Verstößen greift zudem eine persönliche Haftung der Geschäftsleitung. Cybersicherheit ist damit Chefsache und keine reine IT-Angelegenheit, wie es auch das BSI in seiner Übersicht zu NIS-2-regulierten Unternehmen betont.

„Als Zulieferer sind wir nicht direkt betroffen“

NIS2 verlangt von betroffenen Unternehmen, auch die Cybersicherheit ihrer Lieferkette zu prüfen und in ihr Risikomanagement einzubeziehen. Gerade bei Lieferketten entstehen viele NIS2 Missverständnisse, weil Zulieferer sich fälschlicherweise außen vor sehen. Wer als Zulieferer oder Dienstleister für ein NIS2-pflichtiges Unternehmen arbeitet, bekommt entsprechende Anforderungen dadurch oft vertraglich weitergereicht, unabhängig von der eigenen formalen Einstufung. Ein Blick auf die eigenen Kundenbeziehungen lohnt sich also auch dann, wenn die Größenschwellen selbst nicht erreicht werden.

„Die Frist ist ohnehin schon abgelaufen, jetzt lohnt sich nichts mehr“

Genau hier entstehen häufig weitere NIS2 Missverständnisse: Die gesetzliche Registrierungsfrist beim BSI endete bereits am 6. März 2026, und auch die vom BSI eingeräumte Nachfrist bis zum 31. Juli 2026 ist inzwischen verstrichen. Wer sich noch nicht registriert hat, sollte das schnellstmöglich nachholen, denn die inhaltlichen Pflichten aus NIS2 gelten unabhängig von der Registrierung weiter, auch nach Ablauf beider Fristen. Wer noch nicht strukturiert begonnen hat, muss deshalb trotzdem nicht bei null anfangen: Mit dem NIS2 Kickstart steht ein vorkonfiguriertes NIS2-System im GRC-COCKPIT bereit, inklusive einem Monat kostenlosem Sparring.

Was Sie jetzt tun können

Um NIS2 Missverständnisse in der eigenen Organisation zu vermeiden, ist der erste sinnvolle Schritt eine ehrliche Bestandsaufnahme: Fällt Ihr Unternehmen in einen der 18 regulierten Sektoren, und werden die Schwellenwerte bei Mitarbeiterzahl, Umsatz oder Bilanzsumme erreicht? Das BSI stellt dafür eine eigene Betroffenheitsprüfung bereit, mit der sich die eigene Einordnung in wenigen Minuten klären lässt. Unser NIS2-Whitepaper fasst Hintergründe, Pflichten und Mindestanforderungen zusammen. Für die Geschäftsführung haben wir die wichtigsten Punkte zusätzlich im NIS2-Briefing für die Geschäftsführung gebündelt, die Checkliste mit den ersten Schritten zeigt, wie die Umsetzung konkret beginnt. Wer die Anforderungen aus IT-Sicherheit, Risiko-Management und Meldeprozessen dauerhaft strukturiert abbilden möchte, findet im GRC-COCKPIT eine Software dafür. Bei Fragen zur eigenen Betroffenheit steht unser Consulting-Team für ein unverbindliches Beratungsgespräch zur Verfügung.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.