Mehr Sicherheit durch die NIS2-RichtlinieCybersecurity im Handwerk: Was bedeutet die NIS-2-Richtlinie für Ihren Betrieb?

Die Digitalisierung macht auch vor dem Handwerk nicht halt: Smarte Werkzeuge, digitale Kundenportale und vernetzte ERP-Systeme erleichtern den Alltag. Doch mit der zunehmenden Vernetzung steigen auch die Risiken durch Cyberangriffe.

Die europäische NIS-2-Richtlinie ist am 6. Dezember 2025 in Kraft getreten (in Deutschland im nationalen Gesetz verankert) und verpflichtet Unternehmen zur Einhaltung strenger IT-Sicherheitsstandards.

Aber betrifft das auch klassische Handwerksbetriebe? Die Antwort lautet: Unter Umständen ja – und selbst wenn nicht direkt, dann oft indirekt.

1. Wer ist konkret betroffen?

Ob Ihr Handwerksbetrieb unter die NIS-2-Regelungen fällt, hängt im Wesentlichen von drei Faktoren ab: Sektor, Größe und Rolle in der Lieferkette.

Direkte Betroffenheit

Ihr Betrieb ist direkt betroffenes Unternehmen, wenn Sie in einem von 18 regulierten Sektoren (wie beispielsweise Energie, Entsorgung, Ernährung/Lebensmittel, Transport oder Gesundheit) tätig sind und die folgenden Größenschwellen überschreiten:

• Mitarbeiterzahl: Mindestens 50 Mitarbeitende (Vollzeitäquivalente) oder
• Finanzen: Mehr als zehn Millionen Euro Jahresumsatz und Jahresbilanzsumme.

Typische Beispiele im Handwerk:

• Gesundheitshandwerk: Große Orthopädietechnik-Betriebe oder Zahnlabore mit über 50 Mitarbeitern.
• KFZ-Handwerk: Größere Betriebe des Fahrzeugbaus, die die Umsatz- oder Mitarbeitergrenzen überschreiten.
• Energie & Elektro: Betriebe, die direkt kritische Infrastrukturen (z. B. im Bereich der Strom- oder Wärmeversorgung) warten und steuern.

Indirekte Betroffenheit (Der "Lieferketten-Effekt")

Selbst wenn Ihr Betrieb weniger als 50 Angestellte hat, können Sie betroffen sein. Wenn Sie als Zulieferer oder Dienstleister für ein großes, NIS-2-pflichtiges Unternehmen (wie einen Energiekonzern, ein Krankenhaus oder eine Behörde) arbeiten, wird Ihr Auftraggeber Sie vertraglich dazu verpflichten, bestimmte Sicherheitsstandards einzuhalten.

2. Was ist konkret zu tun?

Sollte Ihr Betrieb direkt oder indirekt von NIS-2 betroffen sein, müssen Sie aktiv werden. Die wichtigsten gesetzlichen Pflichten umfassen:

Schritt 1: Prüfung und Registrierung

• Betroffenheit checken: Nutzen Sie den offiziellen Selbsttest des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Diesen finden Sie hier: BSI - NIS-2-Betroffenheitsprüfung - NIS-2-Betroffenheitsprüfung
• Registrierungspflicht: Direkt betroffene Betriebe müssen sich im BSI-Portal bis zum 31. Juli 2026 registrieren.

Schritt 2: Risikomanagement & Technische Maßnahmen umsetzen

Sie müssen angemessene und verhältnismäßige Sicherheitsvorkehrungen treffen. Dazu gehören u.A.:

• Sichere Zugänge: Einführung einer Multi-Faktor-Authentifizierung (MFA) für alle wichtigen Accounts.
• Backup-Konzept: Regelmäßige Datensicherungen, die im Ernstfall schnell wiederhergestellt werden können.
• Schulungen: Regelmäßige Sensibilisierung Ihrer Mitarbeiter für Gefahren wie Phishing-Mails.
• Verschlüsselung: Einsatz von moderner Kryptografie zum Schutz von Kundendaten.

Schritt 3: Meldepflicht bei Sicherheitsvorfällen einhalten

Sollte es trotz aller Vorsichtsmaßnahmen zu einem erfolgreichen Cyberangriff (z. B. durch Ransomware/Erpressungssoftware) kommen, der den Betrieb lahmlegt, müssen Sie dies dem BSI melden:

• Eine Frühwarnung muss innerhalb von 24 Stunden erfolgen.
• Ein detaillierter Bericht muss innerhalb von 72 Stunden eingereicht werden.

Das Bundesamt für Sicherheit in der Informationstechnik (kurz BSI) hat hierzu einen umfangreichen Fragenkatalog erstellt.

Ansprechpartner

Jasmin Bockes

Digitalisierungskoordinatorin / Beratungsstelle für Innovation und Technologie (BIT)

Tel. 09431 885-321

jasmin.bockes--at--hwkno.de