NIS2 betrifft Sie vielleicht nicht. Ihren größten Kunden schon.

Das deutsche Umsetzungsgesetz zur NIS-2-Richtlinie ist am 6. Dezember 2025 in Kraft getreten. Betroffen sind nach Schätzung des Gesetzgebers rund 29.500 Einrichtungen, eine allgemeine Übergangsfrist gibt es nicht.

Für die meisten kleinen und mittleren Unternehmen ist damit die erste Frage beantwortet: Sie fallen nicht darunter. Die zweite Frage ist die wichtigere, und sie wird selten gestellt: Fällt einer Ihrer Kunden darunter?

Der Durchgriff

Betroffene Einrichtungen müssen Risiken in ihrer Lieferkette berücksichtigen. Sie können diese Pflicht nicht an einen Dienstleister abgeben, also reichen sie sie weiter — nicht als Gesetz, denn dazu fehlt ihnen die Befugnis, sondern über den einzigen Hebel, den sie haben: den Vertrag.

Deshalb erreicht NIS2 gerade sehr viele Betriebe, die im Gesetz nicht vorkommen. Den Handwerksbetrieb, der für einen Energieversorger arbeitet. Die Agentur, deren größter Kunde ein Krankenhaus ist. Den Zulieferer, dessen Abnehmer im Anwendungsbereich liegt. Den Softwaredienstleister, der die Fachanwendung eines Wasserverbands pflegt.

Der Ablauf ist immer gleich: Es kommt ein Fragebogen mit zwei Wochen Frist, und wer ihn nicht beantworten kann, steht bei der nächsten Vergabe schlechter da als der Wettbewerber, der es kann.

Was tatsächlich gefragt wird

Der Inhalt dieser Fragebögen ist erfreulich unspektakulär. Fünf Punkte kehren nahezu immer wieder:

Wer ist bei Ihnen für Informationssicherheit zuständig — mit Namen und Vertretung?

Wie melden Sie einen Sicherheitsvorfall: an wen, in welcher Frist, über welchen Kanal? Für regulierte Einrichtungen selbst gelten dabei kurze gesetzliche Meldefristen, die sie ihrerseits nur einhalten können, wenn ihre Dienstleister schnell reagieren.

Welche Zugänge haben Ihre Dienstleister zu unseren Systemen, und wie werden sie entzogen?

Gibt es eine Sicherung, und wann wurde sie zuletzt zurückgespielt — nicht geprüft, sondern zurückgespielt?

Was passiert bei Ihnen, wenn eine Mitarbeiterin das Unternehmen verlässt?

Das sind Fragen, die man an einem Tag beantworten kann, wenn man vorher darüber nachgedacht hat, und die man in zwei Wochen nicht beantworten kann, wenn niemand zuständig ist.

Zwei Seiten, einmal geschrieben

Der praktische Rat ist deshalb organisatorisch, nicht juristisch: Schreiben Sie die Antworten auf diese fünf Fragen einmal auf, bevor jemand fragt. Zwei Seiten reichen. Datum drauf, Verantwortliche benennen, einmal im Jahr durchgehen.

Diese zwei Seiten sind ab dann Ihre Antwort auf jeden Fragebogen, der kommt. Sie helfen zusätzlich bei Ausschreibungen, bei Versicherungsanträgen und bei der Frage des Steuerberaters, ob eigentlich jemand weiß, wo die Sicherung liegt.

Wer selbst prüfen will, ob er doch unter das Gesetz fällt, findet beim BSI eine Betroffenheitsprüfung. Sie ist eine Orientierungshilfe und rechtlich nicht bindend, aber sie beantwortet die Frage in einer Viertelstunde statt in einem Mandat. Betroffene Einrichtungen müssen sich zudem registrieren; das entsprechende Portal des BSI ist seit Mitte 2026 dafür freigeschaltet.

Warum das zur Souveränität gehört

Auf den ersten Blick ist NIS2 ein Sicherheitsthema und kein Standortthema. Beim zweiten Blick berühren sich beide an drei Stellen.

Erstens fragen die Fragebögen nach Unterauftragnehmern. Wer diese Kette nicht kennt, kann sie nicht angeben — und wer sie kennt, sieht dabei zum ersten Mal, wie viele Dritte an den eigenen Daten sitzen. Genau das steht sonst nur in der Anlage zur Auftragsverarbeitung, die niemand liest.

Zweitens ist eine Meldefrist von Stunden nur einhaltbar, wenn Sie im Zweifel jemanden erreichen. Ein Anbieter ohne Ansprechpartner in Ihrer Zeitzone ist an dieser Stelle nicht bequem, sondern ein Risiko.

Drittens verschiebt sich der Nachweisdruck. Bisher war Souveränität in Vergaben ein Argument. Über die Lieferkette wird sie zu einer Anforderung, die abgehakt wird — und ein kleiner Anbieter, der seine zwei Seiten vorlegen kann, gewinnt damit gegen einen größeren, der drei Wochen dafür braucht.

Was Sie nicht brauchen, ist eine Zertifizierung. Sie ist teuer, sie ist für die meisten kleinen Unternehmen unverhältnismäßig, und sie beantwortet die fünf Fragen nicht besser als zwei sauber geschriebene Seiten. Wann Zertifizierungen sich lohnen, ist eine eigene Rechnung — und sie fällt selten zugunsten des Zertifikats aus, solange niemand es ausdrücklich verlangt.