NIS2 für 30-Mitarbeiter-Firma: Was reicht uns wirklich?

Die Frage „Was reicht?" lässt sich für ein Unternehmen mit 30 Mitarbeitenden nicht generisch beantworten. Maßgeblich sind Sektor, Rolle in der Lieferkette und das individuelle Risikoprofil. Dieser Beitrag ordnet die rechtlichen Schwellen ein und beschreibt einen verbreiteten Aufbau-Rahmen, ohne pauschale Entwarnung.

Welche regulatorischen Vorgaben sind einschlägig?

Die Richtlinie (EU) 2022/2555 (NIS2) unterscheidet zwei Kategorien adressierter Einrichtungen. In Deutschland regelt § 28 BSIG die Einstufung:

• Besonders wichtige Einrichtungen (NIS2: wesentliche Einrichtungen): Unternehmen einer Einrichtungsart aus Anlage 1 BSIG (Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum) mit mindestens 250 Mitarbeitenden oder einem Jahresumsatz von über 50 Mio. € und zugleich einer Jahresbilanzsumme von über 43 Mio. € (§ 28 Abs. 1 Satz 1 Nr. 4 BSIG).
• Wichtige Einrichtungen: Unternehmen einer Einrichtungsart aus Anlage 1 oder Anlage 2 BSIG (Anlage 2 u.a. Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe wie Maschinenbau und Kraftfahrzeuge, Anbieter digitaler Dienste, Forschung) mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. €, soweit sie nicht schon besonders wichtig sind (§ 28 Abs. 2 Satz 1 Nr. 3 BSIG).

Daneben existieren Sonderregeln ohne Größenschwellen (Art. 2 Abs. 2 NIS2, § 28 Abs. 1 und 2 BSIG): Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen. Nicht qualifizierte Vertrauensdiensteanbieter sowie kleine Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gelten als wichtige Einrichtungen. Managed Security Services Provider stehen dagegen als Einrichtungsart in Anlage 1 Nr. 6.1.11 BSIG (Sektor Digitale Infrastruktur) und unterliegen den normalen Größenschwellen.

Die KMU-Definition aus Empfehlung 2003/361/EG (Mitarbeitende, Umsatz, Bilanzsumme) ist nach § 28 Abs. 4 BSIG Referenz für die Schwellwerte, wird aber durch die genannten Sonderregeln durchbrochen.

Welche Konstellation passt zu deinem Unternehmen mit 30 Mitarbeitenden?

Sofern keine Sektor-Sonderregel greift, liegt das Unternehmen mit 30 Mitarbeitenden in der Regel unterhalb der direkten NIS2-Schwellwerte. Daraus folgt nicht, dass das Thema irrelevant wäre, folgende Konstellationen sind in der Praxis typisch:

• B2B-Lieferant pflichtiger Einrichtungen: Lieferanten-Anforderungen kommen über Vertragsklauseln und Fragebögen herein, weil pflichtige Einrichtungen die Sicherheit ihrer Lieferkette adressieren müssen (Art. 21 Abs. 2 Buchst. d NIS2, § 30 Abs. 2 Nr. 4 BSIG).
• Sonderregel anwendbar: Bei Tätigkeit als Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Registry, Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber einer kritischen Anlage greift die Pflicht unabhängig von der Größe (§ 28 Abs. 1 und 2 BSIG); eine Einzelfallprüfung ist zwingend.
• Konzern-Verflechtung: Nach Empfehlung 2003/361/EG werden Daten von Partner- und verbundenen Unternehmen grundsätzlich hinzugerechnet. § 28 Abs. 4 Satz 2 BSIG macht eine Ausnahme: Die Daten werden nicht hinzugerechnet, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig von diesen Unternehmen ist.
• Keine der genannten Konstellationen: Direkte NIS2-Pflicht ist unwahrscheinlich. Eine regelmäßige Re-Evaluation (mindestens jährlich oder bei wesentlichen Veränderungen) ist gleichwohl empfehlenswert.

Welcher Aufbau-Rahmen ist verbreitet?

Sofern weder eine direkte NIS2-Pflicht noch eine durchsetzbare Lieferanten-Anforderung vorliegt, orientieren sich KMU-Sicherheitskonzepte häufig am BSI IT-Grundschutz, etwa an den Bausteinen ORP.1 (Organisation), SYS.1.1 (Allgemeiner Server), CON.3 (Datensicherungskonzept) und DER.2.1 (Behandlung von Sicherheitsvorfällen). Verbreitete Bausteine in dieser Konstellation:

• Asset-Inventar: Strukturierte Erfassung aller IT-Systeme, Cloud-Services und verarbeiteten Datenkategorien. Strukturelle Anhaltspunkte gibt die Strukturanalyse nach BSI-Standard 200-2; für ausgelagerte Leistungen ist der Baustein OPS.2.3 (Nutzung von Outsourcing) einschlägig. Der Erstaufwand hängt von der IT-Komplexität ab.
• Multi-Faktor-Authentifizierung (MFA): Für administrative Zugänge und kritische Anwendungen empfiehlt das BSI eine Zwei- oder Mehr-Faktor-Authentisierung. Für erfasste Einrichtungen nennt § 30 Abs. 2 Nr. 10 BSIG MFA ausdrücklich; Art. 32 DSGVO verlangt allgemein Maßnahmen unter Berücksichtigung des Stands der Technik. Die konkrete Ausgestaltung (Authenticator-App, Hardware-Token) hängt vom Risikoprofil ab.
• Backup-Konzept: Eine dokumentierte Sicherungsstrategie mit definierten Wiederherstellungszielen (RTO/RPO) und regelmäßigen Restore-Tests gilt nach BSI-Baustein CON.3 als Mindeststandard. Die häufig zitierte 3-2-1-Strategie ist ein verbreiteter Orientierungswert, die tatsächliche Ausgestaltung muss zum Risikoprofil passen.
• Vorfall-Behandlung: Ein dokumentiertes Vorgehen für die Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen (BSI-Baustein DER.2.1) sowie eine Meldekette zur Geschäftsleitung. Bei NIS2-Pflicht kommen für erhebliche Sicherheitsvorfälle die Meldefristen nach § 32 BSIG (Art. 23 NIS2) hinzu: frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat nach dieser Meldung.

Diese Bausteine sind kein Pauschal-Programm und kein Schutz vor regulatorischer Pflicht. Sie bilden einen anerkannten Orientierungsrahmen, dessen konkrete Tiefe vom Sektor, von der Datenkategorie und vom Risikoprofil abhängt.

Welche Konstellationen erfordern abweichendes Vorgehen?

Der hier beschriebene Orientierungsrahmen ist nicht ausreichend, sofern eine der folgenden Konstellationen vorliegt:

• Vertrauensdiensteanbieter, DNS-/TLD-Dienste, öffentliche Telekommunikationsdienste und -netze (Art. 2 Abs. 2 NIS2, § 28 BSIG): Diese Einrichtungen sind unabhängig von der Größe erfasst, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter sogar als besonders wichtige Einrichtungen. Es gelten die Pflichten nach §§ 30 ff. BSIG; ein KMU-Basis-Rahmen genügt regulatorisch nicht.
• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO (Gesundheitsdaten, biometrische Daten, etc.): Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau, das bei solchen Daten entsprechend höher liegt; zusätzlich greifen sektorspezifische Vorgaben (z.B. § 390 SGB V mit der IT-Sicherheitsrichtlinie für Arzt- und Zahnarztpraxen oder § 391 SGB V für Krankenhäuser).

• Betreiber kritischer Anlagen: Bei Erreichen der Schwellenwerte gelten seit dem 06.12.2025 zusätzlich die besonderen Anforderungen nach § 31 BSIG und die Nachweispflichten nach § 39 BSIG (Sicherheitsaudits, Prüfungen oder Zertifizierungen, erstmals zu einem vom BSI festgelegten Zeitpunkt, danach alle drei Jahre). Der frühere § 8a BSIG gilt nicht mehr.
• Konzern-Zugehörigkeit mit Schwellwert-Überschreitung im Verbund: Werden die Daten verbundener Unternehmen hinzugerechnet, kann die Schwelle im Verbund überschritten sein; die Ausnahme nach § 28 Abs. 4 Satz 2 BSIG (IT-Unabhängigkeit) ist dabei zu prüfen.
• Aktive Lieferantenbeziehung zu pflichtiger Einrichtung mit dokumentationspflichtigen Anforderungen: Vertragliche Verpflichtungen können einzelne Maßnahmen (z.B. ISO-27001-Zertifizierung oder TISAX-Label) ausdrücklich vorschreiben, der hier skizzierte Rahmen genügt dann ggf. nicht.

In diesen Konstellationen ist eine qualifizierte Einzelfall-Prüfung durch IT-Sicherheits- oder Rechtsberatung mit NIS2-Erfahrung dringend angezeigt.

Nächster Schritt

Eine erste strukturierte Einordnung liefert der NIS2-Scope-Check. Er ersetzt keine rechtliche Bewertung, gibt aber einen dokumentierbaren Ausgangspunkt für die weitere Abstimmung mit interner IT, externer IT-Beratung oder Rechtsberatung.

Bei Unsicherheit hinsichtlich Sektor-Einordnung, Lieferanten-Exposure oder Konzern-Verflechtung empfiehlt sich eine Einzelfall-Prüfung durch eine auf IT-Sicherheits- und Datenschutzrecht spezialisierte Beratung oder Anwaltskanzlei. Die hier dargestellten Informationen sind redaktionell aufbereitet und ersetzen keine Rechtsberatung.

Weiterführender Hintergrund zu typischen Lieferanten-Pflichten: Bin ich indirekt betroffen? Lieferanten-Pflichten unter NIS2.