NIS2 für KMU in Baden-Württemberg: Wer ist wirklich betroffen?

„Betrifft uns NIS2 überhaupt?“ ist die häufigste Frage, die wir von mittelständischen Kunden zu diesem Thema hören. Die kurze Antwort: Es kommt auf zwei Dinge gleichzeitig an — den Sektor, in dem Sie tätig sind, und Ihre Unternehmensgröße. Beides muss zutreffen.

Der aktuelle Rechtsstand

Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 13. November 2025 vom Bundestag beschlossen und ist seit dem 6. Dezember 2025 in Kraft — ohne Übergangsfrist. Das BSI-Registrierungsportal war seit dem 6. Januar 2026 geöffnet, die Registrierungsfrist lief am 6. März 2026 ab. Eine verspätete Registrierung ist weiterhin möglich, sollte aber nicht länger aufgeschoben werden.

Wer ist betroffen? Zwei Bedingungen, beide müssen zutreffen

NIS2 gilt nicht branchenübergreifend für alle Unternehmen ab einer bestimmten Größe. Maßgeblich ist die Kombination aus Sektor-Zugehörigkeit (Anlage 1 und 2 des BSIG) und Unternehmensgröße:

• Wichtige Einrichtung: ab 50 Beschäftigten oder Jahresumsatz über 10 Mio. € bei gleichzeitiger Bilanzsumme über 10 Mio. €.
• Besonders wichtige Einrichtung: ab 250 Beschäftigten oder Jahresumsatz über 50 Mio. € bei gleichzeitiger Bilanzsumme über 43 Mio. €.
• Betreiber kritischer Anlagen gelten unabhängig von diesen Schwellenwerten automatisch als besonders wichtige Einrichtung.

Die betroffenen Sektoren reichen von Energie, Verkehr und Gesundheitswesen über Digitale Infrastruktur bis zu verarbeitendem Gewerbe und Abfallwirtschaft — die vollständige Liste steht in Anlage 1 und 2 des BSI-Gesetzes. Ein typisches mittelständisches Produktionsunternehmen mit über 50 Mitarbeitenden kann durchaus betroffen sein, ein kleines Handwerksunternehmen in der Regel nicht.

Die wichtigsten Pflichten

• Risikomanagement-Maßnahmen zur Absicherung von Netz- und Informationssystemen, angemessen zum tatsächlichen Risiko.
• Meldepflichten bei Sicherheitsvorfällen gegenüber dem BSI, gestaffelt nach Fristen — die EU-Richtlinie sieht dafür eine Frühwarnung, eine Bewertung und einen Abschlussbericht in aufeinanderfolgenden Schritten vor.
• Registrierungspflicht beim BSI, um als betroffene Einrichtung erfasst zu werden.

Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist — vergleichbar mit dem Bußgeldrahmen der DSGVO.

Was Sie jetzt konkret prüfen sollten

1. Sektor- und Größenprüfung: Fällt Ihr Unternehmen unter einen der 18 regulierten Sektoren und erreicht es die Schwellenwerte? Im Zweifel lohnt sich eine rechtliche Einzelfallprüfung.
2. Registrierung nachholen, falls versäumt: Die Frist ist verstrichen, eine Registrierung beim BSI ist aber weiterhin möglich und sollte nicht weiter aufgeschoben werden.
3. Bestehende Sicherheitsmaßnahmen dokumentieren: Firewall, Endpoint Protection, Backup und Monitoring sollten nicht nur vorhanden, sondern auch nachvollziehbar dokumentiert sein.
4. Meldeprozess vorbereiten: Wer meldet im Ernstfall was, an wen, und in welcher Frist? Das sollte nicht erst während eines laufenden Vorfalls geklärt werden.

Quellen & weiterführende Links

• Bundesregierung (offiziell)

  Umsetzung der NIS-2-Richtlinie beschlossen
• OpenKRITIS

  Einrichtungen und Unternehmensgröße nach NIS2

Recherche-Stand: 29. September 2026. Diese Übersicht ersetzt keine Rechtsberatung — die konkrete Betroffenheit sollte im Zweifel rechtlich geprüft werden.