Recht · IT-Sicherheit · Mittelstand
NIS2 für kleine IT-Unternehmen und Freelancer: Schwellen, Fristen, Pflichten
Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Ob ein Unternehmen direkt betroffen ist, hängt von Branche und Größe ab – aber auch kleine Firmen spüren es als Lieferanten.
Die Eckdaten
| Thema | Angabe laut Quelle |
|---|---|
| In Kraft | 6. Dezember 2025 (verkündet am 5. Dezember 2025, BGBl. I Nr. 301) |
| Besonders wichtige Einrichtungen | ab 250 Beschäftigten oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme |
| Wichtige Einrichtungen | ab 50 Beschäftigten oder je über 10 Mio. € Umsatz und Bilanzsumme |
| Zusatzbedingung | Zugehörigkeit zu einem Sektor aus Anlage 1 oder 2 |
| Registrierung beim BSI | innerhalb von drei Monaten; für bereits erfasste Einrichtungen bis 6. März 2026 |
| Meldungen bei erheblichen Vorfällen | Frühwarnung 24 Stunden, Meldung 72 Stunden, Abschlussbericht spätestens einen Monat danach |
| Bußgeld | bis 10 Mio. € (besonders wichtige) bzw. bis 7 Mio. € (wichtige Einrichtungen) |
Wichtig: Die Größe allein entscheidet nicht. Erst die Kombination aus Schwellenwert und Sektor macht ein Unternehmen zur regulierten Einrichtung. Bei Unsicherheit hilft die Selbsteinschätzung des BSI – und im Zweifel eine Rechtsberatung.
Und wenn ich unter den Schwellen liege?
Ein Freelancer oder ein Kleinstunternehmen liegt in der Regel unter 50 Beschäftigten und ist damit nicht direkt betroffen – das ist meine Einschätzung der Schwellenwerte, keine Rechtsauskunft. Spürbar wird NIS2 trotzdem über die Lieferkette: Betroffene Kunden müssen Risiken bei ihren Dienstleistern im Blick behalten und werden Nachweise verlangen, etwa zu Zugriffskontrolle, Backups und Vorfallbehandlung. Eine Kommentierung zum Referentenentwurf (usd, 2024) nennt Lieferkettensicherheit, Schwachstellenmanagement, Backup und Business Continuity, Zugriffskontrolle und Mehrfaktor-Authentifizierung ausdrücklich unter den Maßnahmen; ob das im Wortlaut der Endfassung so steht, sollte man im Gesetz prüfen.
Praktische Nachweise, die man ohnehin haben sollte
- Backups mit getesteter Wiederherstellung: siehe Backup nach 3-2-1 und der Restore-Test.
- Zugriffskontrolle und Mehrfaktor-Anmeldung: so setze ich es im Homelab um, siehe Zero Trust fürs Homelab.
- Nachvollziehbares Ausliefern: eine dokumentierte CI/CD-Pipeline zeigt, wie Änderungen in Produktion gelangen.
- Ein Plan für Sicherheitsvorfälle: wer wird wann informiert? Eng verwandt mit der CRA-Meldepflicht.
Quellen und Grenzen
- ADVISORI: NIS2-Umsetzungsgesetz (Beratungsblog, Inkrafttreten, Schwellenwerte, Fristen, Bußgelder)
- usd: NIS-2, die wichtigsten Punkte (Kommentar zum Referentenentwurf 2024, nur für die Maßnahmenliste)
- Verbindlich ist das Bundesgesetzblatt; beide Quellen sind keine amtlichen Texte.
Keine Rechtsberatung. Ich bin Entwickler, kein Jurist. Die Angaben stammen aus den genannten Quellen (Stand Oktober 2026); verbindlich ist der Gesetzestext.
Weiterlesen
Homelab · Backup · Proxmox
Backup nach 3-2-1 und der Restore-Test: Ein Backup zählt erst, wenn es zurückgespielt wurde
Die meisten Backup-Geschichten enden an derselben Stelle: Die Sicherung lief – aber niemand hat je getestet, ob sie sich zurückspielen lässt. So sichere ich meinen Proxmox-Host und so teste ich die Wiederherstellung, ohne etwas Laufendes zu gefährden.
Recht · Sicherheit · DevOps
CRA-Meldepflicht ab 11. September 2026: 24 Stunden, 72 Stunden, 14 Tage
Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen melden – in drei Stufen und nach einer festen Uhr. Was das für Entwicklungs- und DevOps-Teams bedeutet.
DevOps · Cloudflare · Zero Trust
Zero Trust fürs Homelab: Cloudflare Tunnel und Access statt offener Dashboards
Ein internes Dashboard war über eine Subdomain öffentlich erreichbar. So habe ich es mit Cloudflare Tunnel, Cloudflare Access und Tailscale abgesichert.
Zugriff · Sicherheit · Backup
Home-Server sicher erreichen und sichern: Tailscale, Cloudflare Tunnel, vzdump
Ein Home-Server ist nur so gut wie sein Zugang und seine Backups. Mein Prinzip: kein Port-Forwarding, jeder Zugang eine bewusste Entscheidung, jeden Tag ein Backup.
Mehr aus der Praxis
Weitere Notizen, Case Studies und Projekte findest du auf der Startseite.
Alle Notizen Case Study MeisterMeld Case Study PflegeOasis Case Study Kernbohr-Expert Zur Startseite
Kommentare
Diskutiere mit: Die Kommentare laufen über GitHub Discussions (Anmeldung mit GitHub-Konto). Erst mit Klick werden Inhalte von GitHub/giscus geladen. Datenschutz