Cyberattacken auf Unternehmen ist längst kein theoretisches Problem von Großkonzernen mehr. Täglich geraten kleine und mittlere Unternehmen in Deutschland in das Visier von digitalen Angreifern. Die Internet-Kriminellen wissen genau, dass kleinere Betriebe oft weniger geschützt sind als große Konzerne. Ein erfolgreicher digitaler Einbruch kann hier schnell existenzbedrohend sein. Er legt den Betrieb lahm, zerstört das Vertrauen der Kundschaft und verursacht immense Kosten für die Wiederherstellung.
Inmitten dieser ohnehin angespannten Bedrohungslage sorgt ein neues Gesetzeskürzel für Verunsicherung im deutschen Mittelstand: NIS-2. Das neue europäische IT-Sicherheitsgesetz ist in Deutschland als „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ in Kraft getreten . Seit Dezember 2025 gilt dieses Gesetz ohne Übergangsfristen . Es verpflichtet zehntausende Unternehmen zu strengen Sicherheitsmaßnahmen und verankert die persönliche Haftung der Geschäftsleitung im Gesetz .
Doch was bedeutet das konkret für Sie? Müssen Sie als Inhaber eines Handwerksbetriebs, als niedergelassene Ärztin oder als selbstständiger Rechtsanwalt jetzt teure Sicherheitsberater einstellen, um hohe Bußgelder zu vermeiden? Die Antwort lautet: Atmen Sie tief durch. Es gibt Entwarnung für die allermeisten kleinen Betriebe, aber absolut keinen Grund zur Untätigkeit. In diesem Artikel bringen wir Licht in das Gesetzes-Dunkel und zeigen Ihnen praxisnah, wo Sie wirklich stehen.
Was ist das neue IT-Sicherheitsgesetz (NIS-2) überhaupt?
Die Abkürzung NIS steht für „Netz- und Informationssicherheit“ . Mit der zweiten Auflage dieser Richtlinie möchte die Europäische Union ein einheitlich hohes Schutzniveau für die Wirtschaft und die öffentliche Verwaltung schaffen . In einer eng vernetzten Welt ist kein Betrieb eine Insel. Bricht die IT bei einem Partner ein, kann dies eine Kettenreaktion auslösen, die ganze Lieferketten lahmlegt .
Das deutsche Umsetzungsgesetz hat das bestehende BSI-Gesetz grundlegend überarbeitet . Das Bundesamt für Sicherheit in der Informationstechnik überwacht die Einhaltung dieser Vorgaben . Während früher fast ausschließlich große Betreiber sogenannter kritischer Infrastrukturen reguliert waren, nimmt das neue Gesetz nun auch die breite Wirtschaft in die Pflicht . IT-Sicherheit ist damit endgültig zum Pflichtprogramm für weite Teile des Mittelstands geworden .
Die harten Fakten: Wer ist direkt betroffen?
Ob Sie gesetzlich direkt betroffen sind, hängt von drei Faktoren ab: Ihrer Branche, Ihrer Mitarbeiteranzahl und Ihrem Jahresumsatz. Das Gesetz unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen .
Seit Dezember 2025 gelten strenge Pflichten . Betroffene mussten sich bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Versäumnisse können hohe Bußgelder nach sich ziehen .
Hier ist eine Übersicht über die Schwellenwerte, damit Sie Ihr Unternehmen sofort einordnen können:
| Einrichtungskategorie | Schwellenwerte für Mitarbeiter und Umsatz | Beispiele für betroffene Branchen |
| Besonders wichtige Einrichtungen | Mindestens 250 Beschäftigte ODER mehr als 50 Millionen Euro Jahresumsatz | Energie, Transport, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur |
| Wichtige Einrichtungen | Mindestens 50 Beschäftigte ODER mindestens 10 Millionen Euro Jahresumsatz | Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste |
Unterschreiten Sie diese Grenzwerte (unter 50 Mitarbeitende und unter 10 Millionen Euro Umsatz), gilt die direkte Pflicht für Sie nicht . Für kleinere Handwerksbetriebe, Kanzleien und Praxen bedeutet dies Erleichterung: Es drohen keine direkten behördlichen Kontrollen oder Bußgelder.
Warum Sie als kleineres Unternehmen trotzdem handeln müssen
Auch wenn Sie die Schwellenwerte unterschreiten, dürfen Sie das Thema IT-Sicherheit keinesfalls ignorieren. Das Gesetz enthält eine Regelung, die wie ein Katalysator auf den gesamten Markt wirkt: die Verpflichtung zur Absicherung der gesamten Lieferkette.
Direkt betroffene Großunternehmen und mittlere Betriebe sind gesetzlich dazu verpflichtet, nicht nur ihre eigene IT-Sicherheit zu gewährleisten. Sie müssen auch sicherstellen, dass ihre Zulieferer und Dienstleister angemessene Sicherheitsstandards einhalten. Wenn Sie als Handwerker die Wartung für ein Industrieunternehmen durchführen, als Kanzlei sensible Mandantendaten verwalten oder als Agentur die Systeme eines großen Kunden pflegen, werden Sie Teil dieser Lieferkette.
Ihre Auftraggeber werden in Zukunft vermutlich vertragliche Nachweise über Ihre Cybersicherheit einfordern. Wer diese Nachweise nicht erbringen kann, läuft Gefahr, lukrative Aufträge an besser vorbereitete Konkurrenten zu verlieren. Aus einer rein rechtlichen Pflicht für Großkonzerne wird so ein handfester wirtschaftlicher Wettbewerbsvorteil oder ein existenzbedrohendes Risiko für kleinere Betriebe.
Darüber hinaus gibt es ein weiteres wichtiges Regelwerk, das Sie ohnehin betrifft: die Datenschutz-Grundverordnung (DSGVO). Artikel 32 dieser Verordnung verpflichtet jedes Unternehmen, das personenbezogene Kundendaten verarbeitet, zu technischen Schutzmaßnahmen nach dem aktuellen Stand der Technik. Dies gilt für den kleinsten Betrieb ebenso wie für den Weltkonzern .
Konkrete Beispiele aus dem Alltag: Handwerk, Praxen und Kanzleien
Lassen Sie uns diese theoretischen Vorgaben an praktischen Beispielen verdeutlichen, um den Bezug zu Ihrem Arbeitsalltag herzustellen.
Ein mittelständischer Handwerksbetrieb mit 15 Angestellten installiert Heizungsanlagen. Formal ist der Betrieb weit unter den Grenzwerten des IT-Sicherheitsgesetzes. Doch der Betrieb wartet auch die Anlagen im örtlichen Krankenhaus – einer kritischen Einrichtung. Das Krankenhaus muss nach dem neuen Gesetz nachweisen, dass seine Dienstleister keine Sicherheitslücken einschleusen. Der Handwerksbetrieb muss nun ein IT-Sicherheitskonzept vorlegen, um den wichtigen Wartungsvertrag zu behalten.
Eine physiotherapeutische Praxis mit 8 Mitarbeitenden verwaltet hochsensible Gesundheitsdaten. Direkt vom IT-Sicherheitsgesetz ist sie nicht betroffen. Doch der Verlust von Patientendaten durch einen Verschlüsselungs-Angriff führt sofort zu schweren Verstößen gegen die Datenschutz-Grundverordnung. Hohe Bußgelder und Schadensersatzforderungen der Patienten können die Folge sein, wenn grundlegende Schutzmaßnahmen gefehlt haben.
Eine Rechtsanwaltskanzlei mit 5 Beschäftigten betreut mittelständische Unternehmen bei Vertragsverhandlungen. Die Kanzlei ist das perfekte Ziel für Angreifer, da dort wertvolle Wirtschaftsgeheimnisse lagern. Gelangen diese Daten an die Öffentlichkeit, ist der Ruf der Kanzlei dauerhaft beschädigt. Das Berufsgeheimnis verpflichtet Anwälte zudem zu einer besonders hohen Sorgfalt bei der Datenverarbeitung.
Die wichtigsten Schritte zur Absicherung: Pflichtaufgaben Ihrer IT-Sicherheit
IT-Sicherheit muss weder kompliziert noch unbezahlbar sein. Es geht darum, die häufigsten Einfallstore für Angreifer wirksam zu schließen. Die folgenden Basismaßnahmen sollten in jedem Betrieb etabliert sein:
- Erstens: Regelmäßige Datensicherungen. Erstellen Sie tägliche Sicherheitskopien Ihrer Geschäftsdaten . Lagern Sie diese Daten unbedingt getrennt von Ihrem laufenden Netzwerk, beispielsweise auf externen Speichermedien, die nach der Sicherung vom Computer getrennt werden . Nur so sind Ihre Daten nach einem Angriff mit Erpressungssoftware geschützt.
- Zweitens: Die Mehr-Faktor-Authentifizierung. Sichern Sie alle Zugänge zu wichtigen Programmen und Online-Speichern zusätzlich ab. Neben dem Passwort sollte immer ein zweiter Faktor, wie ein Code auf dem Mobiltelefon, verlangt werden . Das verhindert, dass gestohlene Passwörter sofort zum Missbrauch Ihrer Systeme führen.
- Drittens: Sicherheitsaktualisierungen. Halten Sie alle Betriebssysteme und installierten Programme stets auf dem neuesten Stand . Cyber-Kriminelle nutzen bekannte Sicherheitslücken gezielt aus. Regelmäßige Aktualisierungen schließen diese Einfallstore, bevor Schaden entstehen kann.
- Viertens: Schulung der Mitarbeitenden. Der Mensch ist oft das schwächste Glied in der Sicherheitskette . Sensibilisieren Sie Ihr Team für betrügerische E-Mails, sogenannte Phishing-Mails. Verdächtige Anhänge oder Links sollten niemals unbedacht geöffnet werden.
Schlussfolgerung: Orientierung statt Druck
Das neue IT-Sicherheitsgesetz ist kein Grund zur Panik. Für kleinere Unternehmen im Handwerk, im Dienstleistungssektor oder im Gesundheitswesen ist es vielmehr ein wichtiger Weckruf. Es zeigt uns, dass IT-Sicherheit kein reines Technikthema ist, das man an externe Dienstleister abschieben kann. Es ist eine Kernaufgabe der modernen Unternehmensführung.
Nutzen Sie diesen Moment für eine ehrliche Bestandsaufnahme. Wo stehen Sie mit Ihrer IT-Sicherheit? Welche Daten müssten Sie im Ernstfall besonders schützen? Und wie schnell könnten Sie nach einem Systemausfall wieder arbeitsfähig sein? Eine strukturierte Risikoanalyse hilft Ihnen, Schwachstellen zu identifizieren und gezielt zu schließen.
Ihr starker Partner an Ihrer Seite
Sie müssen diesen Weg nicht alleine gehen. Als Ihre Versicherungsagentur vor Ort verstehen wir die Herausforderungen von kleinen und mittleren Betrieben. Wir bieten Ihnen keine standardisierten Universallösungen, sondern eine partnerschaftliche Beratung auf Augenhöhe.
Gemeinsam führen wir eine verständliche Analyse durch und prüfen Ihre aktuellen Sicherheitsmaßnahmen. Mit einer passgenauen Cyberversicherung sichern wir die verbleibenden finanziellen Risiken ab. Im Ernstfall stehen Ihnen spezialisierte Experten zur Seite, die den Schaden begrenzen und Ihre Systeme schnell wieder herstellen. Lassen Sie uns gemeinsam dafür sorgen, dass Ihr Betrieb sicher in die Zukunft blickt. Wir freuen uns auf das Gespräch mit Ihnen.