Stellen Sie sich einen Maschinenbauer mit 90 Mitarbeitern vor. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Die Registrierungsfrist beim BSI lief am 6. März 2026 ab. Der Maschinenbauer hat das mitbekommen – mit zwei Wochen Verspätung. Er war im Skiurlaub. Heute, Anfang Juli, fragt er sich: Reicht das jetzt? Spielt das eine Rolle? Und was kommt noch?
Die ehrliche Antwort: Es spielt eine Rolle. Es kommt mehr. Und der Sommer 2026 ist der falsche Zeitpunkt, um die Hände in den Schoß zu legen. In diesem Artikel klären wir, was den Mittelstand zwischen anlaufenden BSI-Audits, drohenden Bußgeldern und der CRA-Meldepflicht ab September 2026 jetzt konkret erwartet.
Wo NIS-2 im Sommer 2026 wirklich steht
Die nüchterne Zwischenbilanz ist unbequem. Von den rund 29.500 Unternehmen, die sich bis zum 6. März 2026 beim BSI hätten registrieren müssen, haben das laut aktuellen Zahlen nur etwa 11.500 getan – das sind 38,5 Prozent. Über 18.000 Unternehmen sind im rechtlichen Versäumnis. Das ist nicht der Zustand, mit dem das BSI lange leben wird.
Seit Mai 2026 hat das BSI die aktive Prüfphase aufgenommen. Stichproben-Audits laufen, Vor-Ort-Termine werden angesetzt, betroffene Unternehmen werden zur Mitwirkung aufgefordert. Die Zeit der lautlosen Schonfrist ist vorbei.
Für KMU, die im Anwendungsbereich liegen (die §28 NIS2UmsuCG-Schwellen), heißt das konkret:
- Wer registriert ist: Den Nachweis erbringen, dass ein Informations-Sicherheits-Management-System (ISMS) funktioniert.
- Wer nicht registriert ist: Schnellstmöglich nachholen und die Vergangenheit korrekt erklären.
- Wer unsicher ist: Die Betroffenheit prüfen – das BSI hält dazu eine Online-Prüfung bereit.
Welche Bußgelder konkret drohen
Die im Gesetz hinterlegten Sanktionen sind kein theoretisches Konstrukt. Sie sind im NIS2UmsuCG mit konkreten Beträgen geregelt:
- Bis 100.000 Euro: Wenn der beim BSI hinterlegte Ansprechpartner im Ernstfall nicht erreichbar ist.
- Bis 500.000 Euro: Wenn kein Nachweis über ein funktionierendes ISMS vorgelegt werden kann.
- Bis 500.000 Euro: Wenn vom BSI angeordnete Maßnahmen nicht innerhalb der gesetzten Frist umgesetzt werden.
- Bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes: Für schwere Verstöße gegen die Kernpflichten aus §30 und §32.
Dazu kommt die persönliche Haftung der Geschäftsleitung. NIS-2 ist eines der wenigen IT-Compliance-Gesetze, das die Verantwortung explizit bei den Geschäftsführerinnen und Geschäftsführern verortet. Das ist nicht zu delegieren.
Und im September 2026: Die CRA-Meldepflicht
Während die NIS-2-Audits jetzt schon laufen, kommt zum 11. September 2026 die nächste Schicht hinzu: Der Cyber Resilience Act (CRA) verpflichtet Hersteller vernetzter Produkte zur Meldung aktiv ausgenutzter Schwachstellen innerhalb enger Fristen. Für KMU, die neben NIS-2 auch eigene Software, IoT-Produkte oder Maschinen mit Steuerung ausliefern, kommen also zwei Compliance-Stränge zusammen.
Wer NIS-2 sauber adressiert, hat einen erheblichen Teil der CRA-Anforderungen ohnehin schon abgedeckt. Wer beide getrennt behandelt, baut zwei parallele Bürokratien auf, die sich überschneiden.
Was den Mittelstand jetzt schützt
Aus unserer Beratungspraxis: Drei Punkte machen den Unterschied zwischen „kommt vor das BSI“ und „kommt durch das BSI“:
- Ein dokumentiertes ISMS – muss kein ISO 27001-Zertifikat sein, aber eine nachvollziehbare Linie für Risikomanagement, Zugriffe, Backups und Vorfallreaktion. ISO 27001 deckt rund 70 Prozent der NIS-2-Anforderungen ab, die restlichen 30 Prozent kommen über zusätzliche Maßnahmen.
- Ein funktionierender Vorfall-Meldeweg. Wer im Ernstfall keine 24-Stunden-Meldung an das BSI hinbekommt, verliert die wichtigste Compliance-Schicht. Das ist organisatorisch, nicht technisch.
- Eine geschulte Geschäftsleitung. Die NIS-2-Pflichten richten sich explizit an die Geschäftsleitung. Eine kurze Compliance-Schulung pro Jahr, dokumentiert, ist Pflicht – und im Prüfungsfall der Unterschied zwischen Verwarnung und Bußgeld.
Wer den Aufbau eines schlanken ISMS auslagern möchte, kann das über [Managed Services](https://bavaria-informatics.com/services/#managed-services) tun. Die laufenden Pflichten lassen sich an spezialisierte Dienstleister geben, die strategische Verantwortung bleibt im Haus.
Fazit
NIS-2 ist 2026 keine Diskussionsfrage mehr. Die BSI-Audits laufen, die Bußgelder sind real, und im September verschärft der CRA das Bild zusätzlich. Wer im Sommer 2026 noch hofft, dass „es nicht so schlimm wird“, verliert die letzte günstige Zeit zur Vorbereitung.
Wenn Sie wissen wollen, ob Ihr Betrieb betroffen ist und wie ein realistischer NIS-2-Pfad aussehen kann, sprechen Sie uns an. Wir analysieren Ihre aktuelle Situation in einem Erstgespräch und zeigen Ihnen, was minimal nötig ist und was sinnvoll ist – kostenfrei und ohne Fachchinesisch.
