Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es verpflichtet deutlich mehr Unternehmen als bisher zu konkreten Maßnahmen für IT-Sicherheit. Auch in Mainz und ganz Rheinland-Pfalz fragen sich viele Geschäftsführer: Sind wir von NIS2 betroffen – und was müssen wir jetzt tun? Dieser Beitrag gibt einen Überblick.

Was NIS2 regelt

NIS2 ist eine EU-Richtlinie, die Deutschland mit dem NIS2-Umsetzungsgesetz in nationales Recht übertragen hat. Sie soll die Cybersicherheit in wichtigen Wirtschaftsbereichen erhöhen. Betroffene Unternehmen müssen Risiken für ihre IT systematisch managen, Sicherheitsvorfälle melden und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Nach Schätzungen des Statistischen Bundesamts betrifft das bundesweit rund 29.500 Unternehmen.

Ist Ihr Unternehmen betroffen?

Ob NIS2 für Sie gilt, hängt vor allem von zwei Faktoren ab:

• Branche: Das Gesetz nennt Sektoren wie Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, Chemie, verarbeitendes Gewerbe, Post- und Kurierdienste sowie IT-Dienstleistungen.
• Größe: In der Regel sind Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme erfasst. Einige Einrichtungen fallen unabhängig von ihrer Größe darunter.

Die genaue Einordnung ist oft nicht trivial, etwa bei Unternehmen mit mehreren Geschäftsbereichen. Das BSI bietet dafür eine Betroffenheitsprüfung auf seiner Website an.

Auch nicht direkt Betroffene spüren NIS2

Wer selbst nicht unter das Gesetz fällt, kann trotzdem indirekt betroffen sein. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Zulieferer, Dienstleister und Handwerksbetriebe in Mainz und Rheinhessen werden deshalb zunehmend nach Nachweisen zu ihrer IT-Sicherheit gefragt.

Die wichtigsten Pflichten im Überblick

• Registrierung beim BSI: Die ursprüngliche Frist endete im März 2026, die vom BSI gesetzte Nachfrist am 31. Juli 2026. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend nachholen.
• Risikomanagement: Dazu gehören unter anderem Datensicherung und Notfallplanung, Zugriffskontrolle, Mehr-Faktor-Anmeldung, Verschlüsselung und die Absicherung der Lieferkette.
• Meldepflichten: Erhebliche Sicherheitsvorfälle müssen in festen Fristen an das BSI gemeldet werden – eine erste Meldung innerhalb von 24 Stunden.
• Verantwortung der Geschäftsleitung: Die Geschäftsführung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Sie kann bei Pflichtverletzungen persönlich haften.

Bei Verstößen drohen Bußgelder. Für besonders wichtige Einrichtungen können sie bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes erreichen.

Welche Rolle Ihr IT-Dienstleister spielt

Die Verantwortung für NIS2 bleibt bei der Geschäftsleitung – sie lässt sich nicht an einen Dienstleister abgeben. Ein IT-Partner kann aber einen großen Teil der technischen Arbeit übernehmen und die nötigen Nachweise liefern:

• Bestandsaufnahme der Systeme, Zugänge und Datenflüsse,
• Umsetzung technischer Maßnahmen wie Mehr-Faktor-Anmeldung, Backup und Netzsegmentierung,
• laufende Überwachung, damit Vorfälle früh erkannt werden,
• Dokumentation der Maßnahmen und Unterstützung beim Notfallplan.

Achten Sie darauf, dass Ihr Dienstleister selbst sorgfältig arbeitet. Denn Anbieter von IT-Dienstleistungen gehören ebenfalls zu den Sektoren, die NIS2 nennt. Fragen Sie, wie er Zugänge zu Ihren Systemen absichert und wie er Sie im Fall eines Vorfalls informiert.

Was das für Ihr Unternehmen bedeutet

Unabhängig davon, ob NIS2 für Sie gilt: Die geforderten Maßnahmen sind gute Praxis für jedes Unternehmen. So gehen Sie sinnvoll vor:

1. Betroffenheit klären: Branche und Größe prüfen, im Zweifel beraten lassen.
2. Bestandsaufnahme machen: Welche Systeme gibt es, wer hat Zugriff, wie wird gesichert?
3. Lücken priorisieren: Mehr-Faktor-Anmeldung, Backup mit Kopie außer Haus und eine aktuelle Firewall zuerst.
4. Prozesse festlegen: Notfallplan, Meldeweg für Vorfälle und Zuständigkeiten schriftlich regeln.
5. Dokumentieren: Maßnahmen nachvollziehbar festhalten – für das BSI und für Auftraggeber, die Nachweise verlangen.

Praktische Grundlagen finden Sie auch in unseren Beiträgen zu IT-Richtlinien für Unternehmen und zum Schutz vor Ransomware.

Häufige Fragen

Gilt NIS2 auch für kleine Betriebe in Mainz?

Meist nicht direkt, denn die Grenze liegt in der Regel bei 50 Beschäftigten oder 10 Millionen Euro Umsatz. Kleine Betriebe können aber als Zulieferer betroffener Unternehmen indirekt Anforderungen erfüllen müssen.

Was passiert, wenn wir die Registrierungsfrist verpasst haben?

Die Pflicht zur Registrierung besteht weiter. Holen Sie sie so schnell wie möglich nach. Das BSI behält sich bei Versäumnissen Maßnahmen vor.

Wo fange ich mit der Umsetzung an?

Mit einer Bestandsaufnahme Ihrer IT. Sie zeigt, welche Maßnahmen bereits umgesetzt sind und wo die größten Risiken liegen. Daraus entsteht ein realistischer Umsetzungsplan.

Sie möchten wissen, ob NIS2 Ihr Unternehmen betrifft und was konkret zu tun ist? Interate-IT aus Gensingen unterstützt Unternehmen in Mainz, Rheinhessen und an der Nahe mit unserer NIS2-Beratung und der technischen Umsetzung. Mehr zu unserem IT-Service in Mainz oder direkt Kontakt aufnehmen.