{"id":5791,"date":"2026-11-06T16:03:10","date_gmt":"2026-11-06T15:03:10","guid":{"rendered":"https:\/\/wwwschutz.de\/blog\/?p=5791"},"modified":"2026-10-23T16:11:24","modified_gmt":"2026-10-23T14:11:24","slug":"nis2-mittelstand-website-betreiber","status":"publish","type":"post","link":"https:\/\/wwwschutz.de\/blog\/nis2-mittelstand-website-betreiber\/","title":{"rendered":"NIS2 und das Mittelstandsproblem: Wen die Richtlinie betrifft und was Website-Betreiber jetzt tun sollten"},"content":{"rendered":"\n

NIS2 gilt in Deutschland seit Anfang Dezember 2025, und viele mittelst\u00e4ndische Unternehmen wissen noch nicht, ob sie darunterfallen. Direkt betroffen sind nur Unternehmen bestimmter Branchen ab einer bestimmten Gr\u00f6\u00dfe, mittelbar kann es aber auch kleine Dienstleister treffen. F\u00fcr Betreiber von Unternehmenswebsites und Webshops lassen sich \u00fcberschaubare Schritte benennen.<\/em><\/p>\n\n\n\n

Warum NIS2 den Mittelstand zweimal trifft<\/h2>\n\n\n\n

Im Mittelstand herrscht bei NIS2 Unsicherheit. In der \u00f6ffentlichen Wahrnehmung gilt die Richtlinie \u00fcber die Sicherheit von Netz- und Informationssystemen als Thema f\u00fcr Konzerne und Betreiber kritischer Anlagen. Tats\u00e4chlich erfasst sie ausdr\u00fccklich auch mittlere Unternehmen. \u00dcber Vertr\u00e4ge reicht sie noch weiter, bis in Handwerksbetriebe, Agenturen und kleine IT-Dienstleister, die f\u00fcr betroffene Kunden arbeiten.<\/p>\n\n\n\n

Das ist das eigentliche Mittelstandsproblem. Viele Betriebe sind unsicher, ob sie selbst betroffen sind. Und kleine Dienstleister bemerken die Richtlinie oft erst, wenn ein Kundenfragebogen eintrifft. Hinzu kommt eine Frage, die in vielen Ratgebern offen bleibt: Welche Rolle spielt die eigene Website? Auf den aktuellen Stand folgen die Pflichten betroffener Einrichtungen und eine \u00fcberschaubare Aufgabenliste f\u00fcr Betreiber von Webauftritten.<\/p>\n\n\n\n

Wichtig vorab: Es handelt sich um eine Einordnung, nicht um Rechtsberatung. Die Betroffenheitspr\u00fcfung des BSI bietet nur eine Orientierung. Verbindlich ist allein die eigene rechtliche Pr\u00fcfung, f\u00fcr die eine Kammer oder fachkundige Beratung Unterst\u00fctzung bieten kann. Die Auslegung einzelner Einrichtungsarten kann sich durch die Aufsichtspraxis noch konkretisieren.<\/p>\n\n\n\n

Was seit Dezember 2025 f\u00fcr den Mittelstand gilt<\/h2>\n\n\n\n

Die Grundlage ist eine europ\u00e4ische Richtlinie, die in Deutschland durch das NIS2-Umsetzungsgesetz in nationales Recht \u00fcbernommen wurde. Kern ist ein neu gefasstes Gesetz \u00fcber das Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/a> (BSIG). Es ist seit dem 6. Dezember 2025 in Kraft. Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik, kurz BSI, ist die zust\u00e4ndige Beh\u00f6rde.<\/p>\n\n\n\n

Neu gegen\u00fcber der fr\u00fcheren Rechtslage: Erfasst sind nicht mehr nur Betreiber kritischer Anlagen, sondern auch viele mittlere Unternehmen aus bestimmten Branchen. Laut Medienberichten geht das BSI von rund 29.500 betroffenen Einrichtungen in Deutschland aus. Die Zahl stammt aus Sekund\u00e4rquellen und ist nicht amtlich best\u00e4tigt. Sie zeigt aber die Gr\u00f6\u00dfenordnung: Es geht nicht um ein paar Konzerne.<\/p>\n\n\n\n

Im Mittelstand zeigen sich zwei Ebenen. Auf der ersten Ebene stehen Unternehmen, die selbst unter das Gesetz fallen. Auf der zweiten stehen Unternehmen, die zwar nicht erfasst sind, aber Kunden haben, die es sind. Beide Gruppen m\u00fcssen sich mit Sicherheitsanforderungen befassen, nur in unterschiedlicher Tiefe.<\/p>\n\n\n\n

Wen die Richtlinie direkt betrifft: Gr\u00f6\u00dfe und Sektor entscheiden<\/h2>\n\n\n\n

Zwei Voraussetzungen m\u00fcssen zugleich erf\u00fcllt sein: Die T\u00e4tigkeit liegt in einem der im Gesetz genannten Sektoren, und das Unternehmen erreicht eine bestimmte Gr\u00f6\u00dfe. Die Sektoren stehen in den Anlagen 1 und 2 des BSIG. Dort finden sich unter anderem Energie, Verkehr, Gesundheit, Wasser und digitale Infrastruktur. Hinzu kommen Post, Abfall, Chemie, Lebensmittel, Forschung sowie das verarbeitende Gewerbe mit Maschinenbau, Elektrotechnik und Fahrzeugbau. Das ist nur eine Auswahl, ma\u00dfgeblich sind die Anlage 1<\/a> und die Anlage 2<\/a> selbst.<\/p>\n\n\n\n

Das Gesetz kennt zwei Stufen, geregelt in \u00a7 28 BSIG<\/a>:<\/p>\n\n\n\n