NIS2 für kleine Unternehmen 50-100 MA: Quick-Compliance

Hauptartikel: NIS2-Umsetzung Deutschland — Anwendungsbereich, Maßnahmen nach § 30 BSIG, Pflichten der Geschäftsleitung, Meldepflichten und Bußgelder im Überblick.

Wer ist betroffen?

Ein Betrieb mit 50–100 Mitarbeitern ist in aller Regel eine wichtige, keine besonders wichtige Einrichtung — vorausgesetzt, beides trifft zusammen: eine Einrichtungsart nach Anlage 1 oder Anlage 2 BSIG (einer der NIS2-Sektoren wie Energie, Banken, Gesundheit, Wasser, digitale Infrastruktur) und die Größenschwelle des § 28 Abs. 2 Nr. 3 BSIG. Die Einstufung folgt insoweit der Unternehmensgröße, nicht allein der Sektorzahl (§ 28 BSIG): Ab dieser Schwelle gelten Sie als mittleres Unternehmen und damit als wichtige Einrichtung. Besonders wichtige Einrichtungen — die strenger, proaktiv beaufsichtigte Klasse — sind dagegen große Unternehmen der Anlage-1-Arten (§ 28 Abs. 1 Nr. 4 BSIG) sowie größenunabhängig KRITIS-Betreiber, qualifizierte Vertrauensdiensteanbieter und TLD-/DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1 und 2 BSIG). Genau eine größenabhängige Konstellation wechselt in diesem Band die Klasse: Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze erfasst § 28 Abs. 1 Nr. 3 BSIG schon hier als besonders wichtige Einrichtung. Ohne Bindung an Anlage 1 oder 2 erfasst § 28 Abs. 2 BSIG außerdem Vertrauensdiensteanbieter und bestimmte kleinere TK-Anbieter, soweit sie nicht bereits besonders wichtige Einrichtung sind. Die größenabhängigen Schwellenwerte beider Klassen stehen in der Tabelle unten.

Zwei Details entscheiden die Prüfung häufiger als der Sektorname: Erstens genügt der Umsatz allein nie — jeder Umsatz-Zweig verlangt zusätzlich eine Bilanzsumme: über 43 Mio. EUR im Großunternehmens-Zweig des § 28 Abs. 1 Nr. 4 BSIG, jeweils über 10 Mio. EUR in den 50-Mitarbeiter-Zweigen des § 28 Abs. 1 Nr. 3 und Abs. 2 Nr. 3 BSIG; nur die Mitarbeiterzahl wirkt als eigenständiges Kriterium. Zweitens gibt es bei wichtigen Einrichtungen keine Mitarbeiter-Obergrenze: Wer nur einer Anlage-2-Art zuzuordnen ist, bleibt auch als Großunternehmen wichtige Einrichtung. Für die Berechnung von Mitarbeiterzahl, Jahresumsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG). Prüfen Sie die drei Größenwerte deshalb nicht nur für Ihre eigene Einheit: Bestehen Beteiligungen oder eine Konzernzugehörigkeit, sind Mitarbeiterzahl, Umsatz und Bilanzsumme nach § 28 Abs. 4 BSIG konsolidiert zu ermitteln; halten Sie das Ergebnis samt herangezogener Gesellschaften vor der Registrierung schriftlich fest.

Österreich: Die Größenschwellen sind identisch, es gilt jedoch statt des BSIG das NISG 2026 (BGBl. I Nr. 94/2025). Die Einstufung als großes bzw. mittleres Unternehmen regelt § 25 NISG; die Registrierung erfolgt binnen drei Monaten bei der Cybersicherheitsbehörde (§ 29 NISG, nicht beim BSI), Geldstrafen richten sich nach § 45 NISG. Auch in Österreich fallen Anbieter öffentlicher elektronischer Kommunikationsnetze bzw. -dienste dieses Größenbands in die höhere Klasse: Sie gelten als wesentliche Einrichtung nach § 24 Abs. 1 Z 2 i. V. m. § 25 Abs. 3 NISG 2026 (mittleres Unternehmen ab 50 Mitarbeitern) — insoweit besteht bei 50–100 Mitarbeitern kein Unterschied zu Deutschland. Größenunabhängig als wichtige Einrichtung gelten nach § 24 Abs. 2 Z 3 lit. a NISG 2026 Anbieter öffentlicher elektronischer Kommunikationsnetze bzw. -dienste, die nicht bereits wesentliche Einrichtung nach Abs. 1 sind.

Welche Pflichten die Einstufung auslöst

Mit der Einstufung als wichtige Einrichtung entstehen vier Pflichtenstränge: Registrierung, Risikomanagement, Vorfallsmeldung und Geschäftsleitungs-Pflichten. Ein fünfter — der Nachweis der Umsetzung — trifft in Deutschland als regelmäßige Nachweispflicht primär Betreiber kritischer Anlagen (§ 39 Abs. 1 BSIG), in Österreich dagegen alle wesentlichen und wichtigen Einrichtungen (§ 33 NISG 2026). Die vier Stränge gelten unabhängig davon, ob Sie 55 oder 95 Mitarbeiter haben — skalierbar ist nur die Tiefe der Maßnahmen, denn § 30 Abs. 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame" Maßnahmen und die Dokumentation ihrer Einhaltung. Die folgende Übersicht nennt je Pflicht den auslösenden Tatbestand und die Fundstelle in beiden Rechtsräumen.

Der Pflichtenstrang Risikomanagement zerfällt in zehn Bereiche — die folgende Tabelle nennt sie vollständig. In Österreich läuft derselbe Katalog unter § 32 Abs. 4 lit. a bis j NISG 2026, mit gleicher Reihenfolge (lit. d = Lieferkette, lit. g = Cyberhygiene und Schulungen). Die Dokumentenspalte ist ein Praxis-Set: Sie zeigt, welche Papiere einen Bereich üblicherweise tragen — eine bestimmte Anzahl oder Bezeichnung von Policies schreibt § 30 Abs. 2 BSIG nicht vor — der Katalog verlangt, dass jeder Bereich adressiert ist. Die letzte Spalte verweist auf die Woche des Fahrplans im nächsten Abschnitt.

8-Wochen-Roadmap

Der Fahrplan verteilt die Aufbauarbeit auf acht Wochen — die Taktung ist eine Praxisempfehlung, keine gesetzliche Frist und keine vorgeschriebene Reihenfolge; gesetzlich vorgegeben sind allein die in der Spalte „Warum" genannten Fundstellen. Auch die Spalte „Verantwortlich" ist Praxisempfehlung: Wer welche Woche führt, schreibt das Gesetz nicht vor — vorgegeben ist allein, dass Umsetzung und Überwachung der Maßnahmen bei der Geschäftsleitung liegen (§ 38 Abs. 1 BSIG). Nicht warten kann die Registrierung: Sie hängt nicht am Fortschritt des Aufbaus und steht deshalb als eigene Zeile ganz oben.

Realistisch bleibt: Die acht Wochen bauen Dokumentation und Kernmaßnahmen auf, sie ersetzen keinen Dauerbetrieb. Der Fachartikel zu § 30 BSIG beziffert den Initial-Aufwand für ein vollständiges Programm bei vorhandener IT-Sicherheit (z. B. ISO-27001-Zertifizierung) mit 3–6 Monaten Anpassung und rund 0,5 FTE, ohne bestehendes ISMS mit 9–12 Monaten Aufbau und rund 1 FTE — Erfahrungswerte, keine gesetzlichen Fristen.

Der Acht-Wochen-Fahrplan liefert davon die dokumentierte Erstumsetzung: Registrierung erledigt, alle zehn Bereiche des § 30 Abs. 2 BSIG adressiert und nach § 30 Abs. 1 BSIG dokumentiert, Meldefähigkeit für 24 Stunden, 72 Stunden und Abschlussmeldung hergestellt.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Ein erheblicher Sicherheitsvorfall löst ein dreistufiges Meldeschema aus — und die 24-Stunden-Frist läuft ab Kenntnis, nicht ab Vorfallsbeginn. Erheblich ist ein Vorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG); in Österreich verlangt § 35 Abs. 1 Z 1 NISG 2026 insoweit schwerwiegende finanzielle Verluste, die Schädigung Dritter nach Z 2 ist gleichlautend. Für bestimmte digitale Einrichtungsarten — unter anderem Cloud- und Rechenzentrumsdienste, Managed Service Provider und Anbieter digitaler Dienste — konkretisiert die Durchführungsverordnung (EU) 2024/2690 diese Schwelle mit quantitativen Kriterien (vgl. § 30 Abs. 3 BSIG); für alle übrigen gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG die Definition des § 2 Nr. 11 BSIG. Für Betriebe dieser Größe heißt das praktisch: Der Meldeweg muss außerhalb der Bürozeiten funktionieren — nachts und am Wochenende ebenso wie werktags —, und die Entscheidung „erheblich oder nicht" braucht eine benannte Person mit Vertretung. Das ist eine Praxisfolge der Frist, keine eigene Erreichbarkeitsnorm: Verlangt ist die Meldung binnen 24 Stunden, nicht ein bestimmtes Bereitschaftsmodell. Praxisempfehlung: Protokollieren Sie den Kenntniszeitpunkt mit Datum und Uhrzeit, weil ab ihm die 24 Stunden laufen. Halten Sie die Erheblichkeits-Bewertung selbst kurz schriftlich fest — wer, wann, welche Kriterien des § 2 Nr. 11 BSIG geprüft —, damit auch eine Nicht-Meldung belegbar ist. Im Zweifel fristwahrend melden: Die Erstmeldung nach § 32 Abs. 1 Nr. 1 BSIG ist eine Frühwarnung, die über die 72-Stunden-Meldung und die Abschlussmeldung ohnehin nachgeschärft wird.

Woraus sich das Budget zusammensetzt

Das Budget setzt sich aus vier Posten zusammen — Sicherheitswerkzeuge, Backup, externe Beratungstage und Vorlagen. Die Tabelle nennt je Posten, wovon der Betrag abhängt; die Beträge selbst ergeben sich aus aktuellen Angeboten und dem vorhandenen Lizenz- und Dokumentenbestand.

Was in diesen Posten nicht steckt, ist der Dauerbetrieb: Der Hauptartikel zur NIS2-Umsetzung in Deutschland nennt als Erfahrungswert für die laufende ISMS-Pflege rund 0,5 FTE und ein externes Audit alle zwei Jahre (Praxis-Rhythmus, keine gesetzliche Frist). Maßgeblich ist ohnehin nicht die Rechnungssumme, sondern der Standard des § 30 Abs. 1 BSIG: geeignet, verhältnismäßig und wirksam — die Verhältnismäßigkeit bemisst sich am Risiko der Einrichtung.

Was Sie auslagern können — und was nicht

Auslagern lassen sich Betrieb und Fachkompetenz — die Verantwortung der Geschäftsleitung bleibt. Die Tabelle nennt je Leistung, wovon der Preis abhängt; die Beträge klären Sie über Angebote. Die Zuordnung zu den Pflichtbereichen ist Praxiseinordnung, keine gesetzliche Vorgabe.

Der stärkste Hebel für Betriebe mit 50–100 Mitarbeitern ist die durchgehende Erreichbarkeit (siehe Meldepflichten oben) — dafür steht der SOC-Dienstleister aus der Tabelle. Ebenfalls gut auslagerbar sind Schwachstellen-Scans und Pentests; ein jährlicher Pentest ist ein verbreiteter Praxis-Rhythmus, ein Intervall schreibt die Norm nicht vor.

Wer auslagert, verlagert damit ein Stück Lieferkettenrisiko: Dienstleister, die Ihre Sicherheitsfunktionen betreiben, gehören in die Bewertung nach § 30 Abs. 2 Nr. 4 BSIG — mit Risikoklassifizierung, Cybersecurity-Klauseln im Vertrag und einer vertraglichen Pflicht des Dienstleisters, Vorfälle an Sie zu melden. In Österreich steht die parallele Pflicht in § 32 Abs. 4 lit. d NISG 2026.

Was Sie SELBST machen müssen

Drei Punkte bleiben bei Ihnen, auch wenn Sie alles andere einkaufen: die Risiko-Akzeptanz der Geschäftsführung, Haftung und eigene Schulung der Geschäftsleitung sowie die Krisenstab-Bereitschaft. Auslagern lässt sich hier nichts, weil § 38 Abs. 1 BSIG die Umsetzung und die Überwachung der Maßnahmen der Geschäftsleitung selbst zuweist — ein Dienstleister kann zuarbeiten, die Pflicht wandert nicht mit.

Risiko-Akzeptanz der Geschäftsführung. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen; diese Verantwortung weist das Gesetz der Geschäftsleitung selbst zu. Praktisch heißt das: Restrisiken werden dokumentiert entschieden, nicht stillschweigend hingenommen — Praxisempfehlung ist ein schriftlicher Beschluss mit Datum und ein wiederkehrender Berichtspunkt in der Geschäftsführungssitzung. In Österreich verlangt § 31 Abs. 1 NISG 2026 dasselbe: Sicherstellen und Beaufsichtigen der Maßnahmen nach § 32.

Haftung und eigene Schulungspflicht der Geschäftsleitung. Verletzt die Geschäftsleitung diese Pflichten, haftet sie ihrer eigenen Einrichtung für den schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (§ 38 Abs. 2 BSIG); nach dem BSIG selbst greift diese Haftung nur subsidiär, nämlich wenn das maßgebliche Gesellschaftsrecht keine solche Regelung enthält (§ 38 Abs. 2 Satz 2 BSIG). Hinzu kommt die eigene Schulungspflicht: § 38 Abs. 3 BSIG verlangt die regelmäßige Teilnahme der Geschäftsleitung an Schulungen. § 31 Abs. 2 NISG 2026 verlangt entsprechend die Teilnahme der Leitungsorgane an spezifisch gestalteten Cybersicherheitsschulungen. Praxisempfehlung für diese Betriebsgröße: die Teilnahme wie jede andere Schulung dokumentieren — Datum, Inhalt, Dauer, teilnehmende Person — und die Wiederholung an denselben Rhythmus hängen wie die Schulung der Beschäftigten, damit „regelmäßig" belegbar wird. Eine ausdrückliche Innenhaftungsregel wie § 38 Abs. 2 BSIG kennt das NISG 2026 in § 31 dagegen nicht.

Krisenstab-Bereitschaft. Krisenmanagement ist Teil des Pflichtbereichs „Aufrechterhaltung des Betriebs" (§ 30 Abs. 2 Nr. 3 BSIG). Für 50–100 Mitarbeiter hat sich ein kleiner benannter Kreis bewährt — Geschäftsführung, IT-Verantwortung, Kommunikation — mit Kontaktdaten, die auch dann verfügbar sind, wenn die betroffenen Systeme ausfallen. Erreichbarkeit, Vertretung und der Melde-Entscheidungsweg richten sich nach dem Abschnitt zu den Meldepflichten oben. Praxisempfehlung: einmal jährlich eine Tabletop-Übung mit Übungsprotokoll — Datum, Teilnehmerkreis, durchgespieltes Szenario, die gemessene Zeit von der Kenntnis bis zur Melde-Entscheidung sowie die abgeleiteten Korrekturen; dieses Protokoll ist der Beleg, der in die Wirksamkeitsbewertung nach § 30 Abs. 2 Nr. 6 BSIG und in die Dokumentation nach § 30 Abs. 1 BSIG eingeht.

Österreich: was für eine AT-Schwestergesellschaft gilt

Für österreichische Einheiten gilt nicht das BSIG, sondern das NISG 2026 (BGBl. I Nr. 94/2025, kundgemacht am 23.12.2025) — mit Anwendungsbeginn am 01.10.2026; ab diesem Tag greifen die Risikomanagementpflichten nach § 32 NISG 2026, und für Bestandseinrichtungen läuft die Registrierungsfrist damit bis 31.12.2026 (drei Monate ab Anwendungsbeginn, § 29 Abs. 2 und 3 NISG 2026). Die Registrierungs- und Änderungsfristen im Einzelnen stehen in der Pflichten-Tabelle oben.

Zwei Unterschiede zur deutschen Lage sind für die Planung wesentlich. Erstens der Nachweisweg: Während in Deutschland die regelmäßige Nachweispflicht nach § 39 Abs. 1 BSIG (alle drei Jahre) primär Betreiber kritischer Anlagen betrifft, müssen in Österreich alle wesentlichen und wichtigen Einrichtungen binnen zwölf Monaten nach Eintritt der Registrierungspflicht eine strukturierte Selbstdeklaration der umgesetzten Maßnahmen übermitteln (§ 33 Abs. 1 NISG 2026) — für Bestandseinrichtungen also bis 01.10.2027; auf Aufforderung folgt der Nachweis der Umsetzung durch eine unabhängige Stelle (§ 33 Abs. 2 NISG 2026). Zweitens der Meldeweg: Vorfallsmeldungen gehen nicht an eine gemeinsame Meldestelle, sondern an das zuständige sektorspezifische, ersatzweise an das nationale CSIRT (§ 34 Abs. 1 NISG 2026); Verwaltungsstrafen verhängt die Bezirksverwaltungsbehörde (§ 44 Abs. 1), Aufsicht und Durchsetzung bleiben bei der Cybersicherheitsbehörde (§§ 38 und 39). Konzernstrukturen mit deutscher und österreichischer Einheit müssen sich in beiden Ländern separat registrieren.