Du hast von NIS-2 gehört. Vielleicht dachtest du: „Das ist doch was für große Firmen.“ Vielleicht hast du es auch einfach beiseitegelegt, weil wieder irgendjemand irgendetwas von Pflichten redet.
Verstehe ich. Aber diesmal lohnt es sich, genauer hinzuschauen. Denn NIS-2 kann deinen Betrieb direkt treffen – auch wenn du 8 Mitarbeitende hast und nie gedacht hättest, dass du unter ein EU-Sicherheitsgesetz fällst.
Was ist NIS-2 überhaupt?
NIS-2 ist eine EU-Richtlinie zur Cybersicherheit – die Abkürzung steht für „Network and Information Security“. Die erste Version gab es schon, aber die zweite Auflage (NIS-2) ist deutlich schärfer, breiter und trifft viele Unternehmen, die bisher nicht betroffen waren.
Das Ziel: kritische Infrastrukturen und wichtige Branchen sollen besser gegen Cyberangriffe geschützt werden. Die Mittel: konkrete Pflichten für Unternehmen, Meldepflichten bei Sicherheitsvorfällen und – das ist der Teil, der wehtut – persönliche Haftung der Geschäftsführung.
In Deutschland wurde NIS-2 durch das NIS2UmsuCG umgesetzt. Die Anforderungen gelten, auch wenn manche Betriebe noch nicht wissen, dass sie betroffen sind.
Bin ich als Handwerksbetrieb überhaupt betroffen?
Das ist die entscheidende Frage – und die Antwort ist: es kommt darauf an.
NIS-2 gilt direkt für Unternehmen in bestimmten Sektoren ab einer gewissen Größe. Klingt erstmal nach großen Konzernen. Aber Vorsicht: Handwerksbetriebe können auf zwei Wegen hineingezogen werden.
Weg 1: Du bist selbst betroffen. Betriebe im Bereich Energie, Wasser, Abfall, Gesundheitsversorgung, Verkehr oder digitale Infrastruktur können direkt unter NIS-2 fallen – auch wenn sie handwerklich tätig sind. Ein Betrieb, der Energieanlagen wartet, Trinkwasserleitungen baut oder medizinische Einrichtungen beliefert, ist möglicherweise kein Zulieferer mehr, sondern selbst reguliert.
Weg 2: Du bist Lieferant eines betroffenen Unternehmens. Das ist der häufigere Fall. NIS-2 verpflichtet betroffene Unternehmen ausdrücklich dazu, ihre Lieferkette abzusichern. Das bedeutet: Dein Auftraggeber – ob Stadtwerk, Krankenhaus, Behörde oder Industriebetrieb – wird dich fragen, welche Sicherheitsmaßnahmen du hast. Wenn du keine vernünftige Antwort liefern kannst, verlierst du möglicherweise den Auftrag.
Was wird konkret von dir erwartet?
Das Gesetz nennt mehrere Mindestanforderungen, die sinngemäß auch für Lieferanten und Subunternehmer relevant werden:
- Risikoanalyse: Du musst wissen, welche IT-Risiken in deinem Betrieb existieren.
- Sicherheitsmaßnahmen: Technische und organisatorische Maßnahmen müssen umgesetzt sein – Backups, Zugriffsrechte, Updates, Passwortregeln.
- Meldepflichten: Sicherheitsvorfälle müssen innerhalb kurzer Fristen gemeldet werden – 24 Stunden für erste Meldung, 72 Stunden für Folgemeldung.
- Notfallpläne: Ein Konzept für den Ernstfall muss existieren.
- Schulungen: Mitarbeitende und Führungskräfte müssen in Cybersicherheit unterwiesen sein.
- Dokumentation: Was nicht dokumentiert ist, gilt im Ernstfall als nicht vorhanden.
Klingt nach viel Papier? Ist es nicht zwingend. Viele dieser Punkte lassen sich mit überschaubarem Aufwand umsetzen – wenn man weiß, wie.
Was kostet es, wenn ich es ignoriere?
Kurze Antwort: mehr als du dir vorstellst.
Für direkt betroffene Unternehmen sind Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich. Für Geschäftsführer gilt zusätzlich persönliche Haftung – das ist neu und wird ernst genommen.
Aber auch wenn du nicht direkt reguliert bist, gibt es einen sehr konkreten Preis: verlorene Aufträge. Wer bei Ausschreibungen oder Lieferantenprüfungen keine Sicherheitsnachweise vorlegen kann, fliegt raus. Nicht weil er schlechte Arbeit leistet, sondern weil er auf dem Papier ein Sicherheitsrisiko ist.
Ein konkretes Beispiel aus dem Alltag
Ein Heizungsbauunternehmen mit 12 Mitarbeitenden arbeitet regelmäßig für einen regionalen Energieversorger. Die Auftragsvolumina sind gut, die Zusammenarbeit läuft seit Jahren.
Dann kommt ein Brief: Der Auftraggeber führt eine Lieferantenbewertung durch. Er fragt nach Sicherheitskonzept, IT-Richtlinien, Backup-Strategie und Nachweis über Mitarbeiterschulungen. Frist: vier Wochen.
Der Betrieb hat keins davon. Nicht weil er schlampig gearbeitet hat – sondern weil er sich nie damit beschäftigen musste. Das Ergebnis: Der Auftrag läuft aus, ein neuer Lieferant mit ISO-27001-Zertifikat übernimmt.
Das ist kein Horrorszenario. Das passiert gerade. Und es wird häufiger werden.
Was kannst du jetzt konkret tun?
Du musst nicht von null auf ISO-27001 springen. Aber du solltest anfangen – strukturiert und ohne Panik.
Schritt 1: Prüfen, ob du direkt betroffen bist. Welche Branche, welche Kundschaft, welche Umsatzgröße? Ein kurzer Check zeigt, ob NIS-2 direkt für dich gilt.
Schritt 2: Lieferantenverträge prüfen. Gibt es schon Anfragen zu Sicherheitsthemen? Stehen Audits an? Lieber früh vorbereitet als spät überrascht.
Schritt 3: Die Basics umsetzen. Backup-Strategie überprüfen. Multi-Faktor-Authentifizierung einführen. Updates regeln. Zugriffsrechte klären. Notfallkontakt definieren. Das sind keine Projekte – das sind Entscheidungen.
Schritt 4: Dokumentieren. Was du tust, muss auch nachweisbar sein. Eine einfache, gepflegte Dokumentation schützt dich im Zweifel besser als jede Versicherung.
Schritt 5: Mitarbeitende informieren. Ein kurzes Teamgespräch über Phishing, Passwörter und was im Ernstfall zu tun ist, ist kein Aufwand – und kann viel Schaden verhindern.
Fazit: NIS-2 ist kein Behördenprojekt. Es ist Betriebssicherheit.
Cyberangriffe nehmen zu. Auftraggeber prüfen Lieferanten genauer. Gesetze werden schärfer. Das alles läuft gerade gleichzeitig – und es trifft auch Handwerksbetriebe.
Die gute Nachricht: Wer jetzt handelt, hat einen klaren Vorteil. Nicht nur gegenüber der Bußgeld-Drohung, sondern gegenüber dem Wettbewerb. Wer Sicherheit nachweisen kann, bekommt Aufträge. Wer das nicht kann, verliert sie.
Du willst wissen, wo du gerade stehst und was als Nächstes sinnvoll ist? Dann lass uns reden – ohne Fachchinesisch, dafür mit konkretem Ergebnis.
👉 Jetzt kostenfreies Erstgespräch buchen: www.hofmeyer.net/kontakt
