Auf den Punkt: Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist in Deutschland am 6. Dezember 2025 in Kraft getreten. Ob Sie als IT-Dienstleister direkt betroffen sind, hängt von Sektor, Mitarbeitendenzahl und Umsatz ab. Selbst wenn Sie es nicht sind, kann Sie die Pflicht über die Lieferkette Ihrer Kunden erreichen: Betroffene Einrichtungen müssen die Sicherheit ihrer Dienstleister vertraglich absichern — und reichen die Anforderungen an Sie weiter.
Viele IT-Systemhäuser und Service-Provider unterschätzen NIS2 mit dem Argument „wir sind zu klein“. Das greift zu kurz. Die Richtlinie unterscheidet zwischen direkter Betroffenheit und indirekter Betroffenheit über die Lieferkette. Wer Managed Services, Cloud, Wartung oder Hosting für betroffene Unternehmen erbringt, bekommt die Anforderungen früher oder später auf den Tisch — meist als Klausel im Kundenvertrag.
Was ist NIS2 — und seit wann gilt es?
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz in nationales Recht übertragen; es ist laut Bundesregierung am 6. Dezember 2025 in Kraft getreten und ändert vor allem das BSI-Gesetz (BSIG). Ziel ist ein einheitlich höheres Cybersicherheitsniveau in der EU. Im Vergleich zur Vorgängerregelung wurde der Kreis der erfassten Unternehmen deutlich ausgeweitet.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Aufsichts- und Meldestelle. Betroffene Einrichtungen müssen sich beim BSI registrieren — der Zugang läuft über ein ELSTER-Organisationszertifikat und das BSI-Portal.
Wer ist direkt betroffen?
Drei Bedingungen müssen zusammenkommen: Zugehörigkeit zu einem regulierten Sektor (Anlagen 1 und 2 des BSIG) und das Überschreiten von Größenschwellen. Das BSIG unterscheidet dabei zwischen „besonders wichtigen Einrichtungen“ (§ 28 BSIG) und „wichtigen Einrichtungen“ (§ 29 BSIG).
| Größenklasse | Kriterien (Richtwert) | Einordnung |
|---|---|---|
| Mittlere Unternehmen | ab 50 Beschäftigte oder über 10 Mio. € Umsatz und Bilanzsumme | i. d. R. „wichtige Einrichtung“ |
| Große Unternehmen | ab 250 Beschäftigte oder über 50 Mio. € Umsatz | i. d. R. „besonders wichtige Einrichtung“ |
| Sonderfälle | bestimmte Anbieter unabhängig von der Größe | z. B. DNS-, TK- oder vertrauensdienstanbieter |
Für IT-Dienstleister relevant: Der Sektor „digitale Infrastruktur“ und „Verwalter von IKT-Diensten“ (Managed Service Provider, Managed Security Service Provider) ist in den Anlagen ausdrücklich gelistet. Wer also Managed Services anbietet und die Größenschwelle erreicht, kann direkt betroffen sein — unabhängig davon, in welcher Branche die Kunden tätig sind. Verlassen Sie sich nicht auf Bauchgefühl: Das BSI stellt eine offizielle NIS-2-Betroffenheitsprüfung bereit, mit der Sie Ihre Einordnung dokumentiert klären.
Die zehn Risikomanagement-Maßnahmen nach § 30 BSIG
Betroffene Einrichtungen müssen geeignete, verhältnismäßige technische und organisatorische Maßnahmen ergreifen. § 30 BSIG konkretisiert das in zehn Mindestbereichen:
- Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme
- Bewältigung von Sicherheitsvorfällen (Incident Handling)
- Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette — einschließlich der Beziehungen zu Dienstleistern
- Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen
- Bewertung der Wirksamkeit der ergriffenen Maßnahmen
- Schulungen und grundlegende Cyberhygiene
- Einsatz von Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Asset-Management
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Der vierte Punkt ist für die gesamte IT-Branche der Hebel: Die Lieferkette wird ausdrücklich zum Pflichtthema.
Der Lieferketten-Effekt: betroffen, ohne selbst betroffen zu sein
Hier liegt der praktische Kern. Eine betroffene Einrichtung — etwa ein mittelständischer Energieversorger oder ein Krankenhaus — muss die Sicherheit ihrer Lieferkette steuern. Das bedeutet: Sie prüft die Cybersicherheit ihrer Dienstleister und sichert sie vertraglich ab. Wenn Sie als IT-Dienstleister für ein solches Unternehmen arbeiten, sind Sie Teil dieser Lieferkette.
Konkret heißt das für Sie:
- Ihre Auftraggeber verlangen Nachweise zu Ihren Sicherheitsmaßnahmen
- Verträge enthalten künftig Cybersecurity-Klauseln und Audit-Rechte
- Meldepflichten bei Vorfällen werden bis zu Ihnen durchgereicht
- Ohne belastbare Nachweise verlieren Sie Aufträge an besser aufgestellte Wettbewerber
Das ist keine ferne Theorie. Wer betroffene Kunden bedient, sollte seine Lieferketten-Position aktiv steuern. Eine strukturierte NIS2-Lieferketten-Compliance macht aus der Anforderung ein Verkaufsargument: Sie weisen Ihren Kunden nach, dass Sie deren Pflichten nicht gefährden, sondern erfüllen helfen.
Ein konkretes Beispiel aus dem Systemhaus-Alltag
Nehmen wir an, Sie betreuen als 15-Personen-Systemhaus die IT eines regionalen Wasserversorgers. Der Versorger fällt unter NIS2 — Sie als Systemhaus mit 15 Beschäftigten überschreiten die Größenschwellen nicht und sind nicht direkt betroffen. Trotzdem ändert sich für Sie viel: Der Versorger muss nachweisen, dass seine Dienstleister die Lieferkette nicht zum Einfallstor machen. Er verlangt von Ihnen eine Übersicht Ihrer Sicherheitsmaßnahmen, ein Notfallkonzept und eine Meldekette für Vorfälle. Können Sie das vorlegen, behalten Sie den Auftrag. Können Sie es nicht, sucht der Versorger einen Dienstleister, der es kann — und das nicht aus Misstrauen, sondern weil er es muss.
Genau dieser Mechanismus zieht die NIS2-Anforderungen durch die gesamte Branche. Sie müssen nicht selbst reguliert sein, um die Pflichten praktisch zu spüren. Wer das früh erkennt, positioniert sich als verlässlicher Partner statt als Risiko.
Welche Konsequenzen drohen — bei direkter Betroffenheit
Für direkt betroffene Einrichtungen sieht das Gesetz spürbare Sanktionen vor. § 65 BSIG regelt die Bußgeldvorschriften abgestuft nach Einrichtungskategorie:
| Kategorie | Bußgeldrahmen (Obergrenze) |
|---|---|
| Besonders wichtige Einrichtung (§ 28) | bis zu 10 Mio. € bzw. bis zu 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtung (§ 29) | bis zu 7 Mio. € bzw. bis zu 1,4 % des weltweiten Jahresumsatzes |
Wichtig zur Einordnung: Das sind gesetzliche Obergrenzen für schwerwiegende Verstöße, keine automatischen Pauschalen. Die tatsächliche Höhe richtet sich nach Schwere, Dauer und Vorsatz. Für indirekt über die Lieferkette betroffene Dienstleister gilt dieser Bußgeldrahmen nicht unmittelbar — Ihr Risiko ist primär wirtschaftlich: der Verlust von Aufträgen.
Die Meldepflicht: enge Fristen bei Vorfällen
Direkt betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle dem BSI in einem mehrstufigen Verfahren melden. § 32 BSIG sieht dafür kurze Fristen vor:
- Frühe Erstmeldung: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung
- Folgemeldung: innerhalb von 72 Stunden nach Kenntnis, mit erster Bewertung
- Abschlussmeldung: spätestens einen Monat nach der Meldung
Für IT-Dienstleister bedeutet das auch dann etwas, wenn sie nur indirekt über die Lieferkette eingebunden sind: Ein Vorfall in Ihrem System kann die Meldepflicht Ihres betroffenen Kunden auslösen. Deshalb verlangen Auftraggeber zunehmend, dass Sie eigene Vorfälle innerhalb von Stunden — nicht Tagen — an sie melden. Eine klar definierte Meldekette gehört damit zu Ihren wichtigsten vertraglichen Zusagen.
Was Sie jetzt tun sollten
- ☐ Eigene Betroffenheit mit der BSI-Betroffenheitsprüfung klären und dokumentieren
- ☐ Kundenliste durchgehen: Welche Kunden könnten selbst betroffen sein?
- ☐ Bestehende technische Maßnahmen gegen die zehn Bereiche aus § 30 BSIG abgleichen
- ☐ Eigene Sicherheitsnachweise vorbereiten (TOM, Notfallkonzept, MFA, Backups)
- ☐ Bei direkter Betroffenheit: Registrierung beim BSI über ELSTER und Portal
- ☐ Vertragsvorlagen um Cybersecurity- und Meldeklauseln ergänzen
FAQ
Gibt es eine Übergangsfrist?
Eine pauschale Übergangsfrist für die Pflichten sieht das Gesetz nicht vor; es gilt seit Inkrafttreten. Für die Registrierung beim BSI existieren gesetzliche Fristen. Klären Sie Ihre konkrete Frist über das BSI-Portal und Ihre Betroffenheit.
Bin ich als kleiner IT-Dienstleister sicher raus?
Direkt vielleicht — über die Lieferkette Ihrer betroffenen Kunden aber meist nicht. Sobald ein Auftraggeber betroffen ist, reicht er Anforderungen an Sie weiter, unabhängig von Ihrer eigenen Größe.
Haftet die Geschäftsleitung persönlich?
Das NIS2-Umsetzungsgesetz nimmt die Leitungsebene stärker in die Pflicht: Sie muss die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen. Die Verantwortung lässt sich nicht vollständig an die IT delegieren.
Reicht eine bestehende ISO-27001-Zertifizierung?
Ein etabliertes Informationssicherheits-Managementsystem deckt viele der geforderten Maßnahmen ab und ist ein starker Ausgangspunkt. NIS2 stellt aber eigene, gesetzliche Anforderungen — ein automatischer Freibrief ist es nicht.
Fazit
NIS2 ist für IT-Dienstleister kein Randthema, sondern eine zweifache Frage: Bin ich direkt betroffen — und werde ich über die Lieferkette meiner Kunden hineingezogen? Die zweite Frage trifft fast jeden, der Managed Services, Hosting oder Wartung für mittelständische und größere Unternehmen erbringt. Wer seine Sicherheitsnachweise jetzt sauber aufstellt, verliert keine Aufträge, sondern gewinnt sie. Klären Sie zuerst Ihre Betroffenheit über die offizielle BSI-Prüfung — und behandeln Sie die Lieferketten-Anforderung als das, was sie ist: ein Vertrauensargument am Markt.