NIS2-Anforderungen: Die Checkliste für KMU

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Und trotzdem hören wir in Gesprächen mit Geschäftsführern aus OWL immer noch denselben Satz: „Das betrifft doch nur Energieversorger und Krankenhäuser.“ Das stimmt nicht. Ein mittelständischer Entsorgungsbetrieb kann genauso darunter fallen wie ein Maschinenbauer oder ein Lebensmittelproduzent.

Du ahnst vermutlich schon, dass die NIS2-Anforderungen auch Dein Unternehmen betreffen könnten. Vielleicht hat ein Kunde bereits einen Fragebogen zur Informationssicherheit geschickt, oder Dein Steuerberater hat das Thema am Rande erwähnt.

Was fehlt, ist ein klarer Überblick: Bin ich betroffen? Was genau muss ich tun? Und bis wann?

Genau das liefert Dir dieser Artikel. Du erfährst, wie Du Deine NIS2-Betroffenheit in wenigen Minuten prüfst, welche Pflichten das neue BSI-Gesetz (BSIG) konkret vorschreibt und warum Du als Zulieferer auch dann handeln musst, wenn Du formal gar nicht unter das Gesetz fällst. Am Ende steht eine NIS2-Checkliste in acht Schritten, mit der Du die Umsetzung strukturiert angehst.

Einen allgemeinen Einstieg in IT-Sicherheit und erste Maßnahmen findest Du in unserem Beitrag zu Cyber-Sicherheit für Unternehmen. Hier gehen wir deutlich tiefer.

Hinweis: Dieser Artikel gibt Dir einen fundierten Überblick, ersetzt aber keine Rechtsberatung. Für die verbindliche Einordnung Deines Unternehmens solltest Du im Zweifel eine Fachanwältin oder einen Fachanwalt für IT-Recht hinzuziehen.

Was ist NIS2 und was gilt in Deutschland?

NIS2 steht für die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Die EU hat damit den Kreis der Unternehmen, die Mindeststandards für Cybersicherheit erfüllen müssen, deutlich erweitert. Früher betraf das in Deutschland vor allem Betreiber kritischer Infrastrukturen (KRITIS). Jetzt sind zahlreiche mittelständische Unternehmen aus ganz normalen Branchen dabei.

In Deutschland wurde die Richtlinie mit dem NIS2-Umsetzungsgesetz umgesetzt. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist am 6. Dezember 2025 in Kraft getreten.

Kern des Gesetzes ist ein komplett neu gefasstes BSI-Gesetz. Dort stehen die Pflichten, um die es in diesem Artikel geht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schätzt, dass rund 29.500 Unternehmen und Einrichtungen unter die neuen Regeln fallen. Für viele dieser Unternehmen ist es das erste Mal, dass sie gesetzliche Pflichten zur IT-Sicherheit erfüllen müssen.

Keine Übergangsfrist für die meisten Pflichten

Ein wichtiger Punkt, der oft übersehen wird: Die NIS2-Anforderungen gelten seit Inkrafttreten. Es gibt keine mehrjährige Schonfrist wie bei manchen anderen Regulierungen. Wer betroffen ist, muss Risikomanagement, Meldewege und Schulungen bereits jetzt vorweisen können. Die NIS2-Umsetzung ist also kein Projekt für „irgendwann 2027″.

Du willst wissen, wo Dein Unternehmen bei NIS2 steht? Unser Team prüft mit Dir in einem NIS2-Readiness-Check, welche Pflichten für Dich gelten und wo die größten Lücken liegen.

NIS2-Betroffenheit prüfen: Fällst Du unter das Gesetz?

Ob Du betroffen bist, hängt von zwei Fragen ab: In welcher Branche bist Du tätig? Und wie groß ist Dein Unternehmen? Beides muss zutreffen.

Schritt 1: Gehört Deine Branche zu den NIS2-Sektoren?

Das BSIG listet die betroffenen Einrichtungsarten in zwei Anlagen auf. Anlage 1 enthält die Sektoren mit besonders hoher Kritikalität, zum Beispiel Energie, Transport und Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser sowie digitale Infrastruktur und IT-Dienstleistungen (Managed Services). Anlage 2 umfasst weitere kritische Sektoren, die für Mittelständler oft überraschend sind:

• Abfallbewirtschaftung, sofern sie die Haupttätigkeit des Unternehmens ist
• Chemie: Herstellung und Handel mit chemischen Stoffen
• Lebensmittel: industrielle Produktion, Verarbeitung und Großhandel
• Verarbeitendes Gewerbe: Medizinprodukte, Datenverarbeitungsgeräte und Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau
• Post- und Kurierdienste
• Anbieter digitaler Dienste wie Online-Marktplätze
• Forschung

Beim verarbeitenden Gewerbe orientiert sich das Gesetz an den Wirtschaftszweigen der europäischen NACE-Klassifikation. Hier lohnt sich ein genauer Blick, denn die Zuordnung ist nicht immer eindeutig. Das sehen wir gleich an einem Beispiel.

Schritt 2: Erreichst Du die Schwellenwerte?

Wenn Deine Branche passt, entscheidet die Größe. Das Gesetz unterscheidet zwei Kategorien (§ 28 BSIG):

Kategorie	Mitarbeitende	oder Umsatz und Bilanzsumme
Wichtige Einrichtung	mindestens 50	Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. €
Besonders wichtige Einrichtung	mindestens 250	Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. €

Für einige Einrichtungsarten gelten Sonderregeln, etwa für Telekommunikationsanbieter oder Betreiber kritischer Anlagen, die unabhängig von der Größe als besonders wichtig gelten. Außerdem dürfen Geschäftstätigkeiten unberücksichtigt bleiben, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind (§ 28 Abs. 3 BSIG). Ein Maschinenbauer mit einer kleinen Nebensparte im Kurierdienst wird also nicht automatisch wegen dieser Sparte reguliert.

Schritt 3: Das BSI-Tool nutzen

Der schnellste Weg zu einer ersten Einschätzung ist die NIS-2-Betroffenheitsprüfung des BSI. Du beantwortest einen Fragenkatalog, das Tool zeigt Dir anschließend, ob Du voraussichtlich betroffen bist. Das dauert etwa zehn Minuten und ist anonym.

Wichtig: Das BSI weist selbst darauf hin, dass das Ergebnis nur eine Orientierungshilfe und rechtlich nicht verbindlich ist. Die Verantwortung für die richtige Einordnung liegt bei Dir. Dokumentiere deshalb, wie Du zu Deinem Ergebnis gekommen bist, auch wenn es „nicht betroffen“ lautet.

Beispiel aus der Praxis: Ein mittelständischer Entsorgungsbetrieb mit Containerdienst, Sortieranlage und Wertstoffhof. Mit IT-Sicherheitsgesetzen hatte sich die Geschäftsführung nie beschäftigt, „wir sind ja kein Kraftwerk“.

Erst als der Versicherungsmakler bei der Verlängerung der Cyber-Police nach dem NIS2-Status fragte, wurde die BSI-Betroffenheitsprüfung gemacht. Ergebnis: Abfallbewirtschaftung ist Haupttätigkeit, die Schwelle von 50 Mitarbeitenden ist überschritten, also wichtige Einrichtung. Die Registrierungsfrist war da schon abgelaufen.

Der Betrieb hat sich umgehend registriert und innerhalb weniger Monate die wichtigsten Lücken geschlossen: Notfallplan, Meldeprozess, Schulung der Geschäftsleitung.

Die NIS2-Anforderungen im Überblick

Bist Du betroffen, kommen vier Pflichtenblöcke auf Dich zu. Für wichtige und besonders wichtige Einrichtungen sind sie inhaltlich weitgehend gleich. Unterschiede gibt es vor allem bei der Höhe der Bußgelder und bei der Intensität der Aufsicht.

1. Registrierung beim BSI

Betroffene Unternehmen müssen sich spätestens drei Monate, nachdem sie erstmals als wichtige oder besonders wichtige Einrichtung gelten, beim BSI registrieren (§ 33 BSIG). Für alle, die schon bei Inkrafttreten betroffen waren, endete diese Frist am 6. März 2026.

Die Registrierung läuft über das BSI-Portal in zwei Schritten. Zuerst brauchst Du ein Konto bei „Mein Unternehmenskonto“ (MUK), das auf einem ELSTER-Organisationszertifikat basiert. Danach registrierst Du Dein Unternehmen im BSI-Portal. Plane für das ELSTER-Zertifikat etwas Vorlauf ein, denn die Aktivierungsdaten kommen per Post.

Hast Du die Frist verpasst? Dann registriere Dich jetzt. Je länger Du wartest, desto schwieriger wird es, das Versäumnis gegenüber der Aufsicht zu erklären.

2. Risikomanagementmaßnahmen nach § 30 BSIG

Das Herzstück der NIS2-Anforderungen. Du musst „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“ ergreifen, um Störungen Deiner IT zu vermeiden oder ihre Auswirkungen gering zu halten. Das Gesetz nennt zehn Mindestbereiche:

1. Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement
4. Sicherheit der Lieferkette, inklusive der Beziehungen zu direkten Anbietern und Dienstleistern
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, inklusive Schwachstellenmanagement
6. Konzepte zur Bewertung der Wirksamkeit Deiner Maßnahmen
7. Grundlegende Schulungen und Sensibilisierung zur IT-Sicherheit
8. Konzepte für den Einsatz von Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Management Deiner IT-Systeme
10. Multi-Faktor-Authentifizierung sowie gesicherte Kommunikation, auch für Notfälle

Das klingt nach viel. In der Praxis haben die meisten Mittelständler einen Teil davon schon, nur nicht dokumentiert. Ein Backup gibt es fast überall, ein getesteter Wiederherstellungsplan selten.

Eine Firewall ist Standard, ein Prozess zur Bewertung von Schwachstellen nicht. Das Wort „verhältnismäßig“ ist dabei wichtig: Von einem Betrieb mit 80 Mitarbeitenden erwartet niemand die Sicherheitsorganisation eines Konzerns.

Ob Deine Maßnahmen wirken, findest Du am zuverlässigsten mit einem externen Blick heraus. Ein Penetrationstest oder ein Security-Audit zeigt Dir, wo Angreifer tatsächlich durchkommen würden.

3. Meldepflichten bei Sicherheitsvorfällen

Kommt es zu einem erheblichen Sicherheitsvorfall, musst Du ihn dem BSI in einem gestaffelten Verfahren melden (§ 32 BSIG). Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen erheblich schädigt. Ein Ransomware-Angriff, der Deine Produktion lahmlegt, fällt eindeutig darunter.

Laut BSI-Infopaket zur Meldepflicht gelten diese Fristen:

• Innerhalb von 24 Stunden nach Kenntnis: frühe Erstmeldung
• Innerhalb von 72 Stunden nach Kenntnis: Meldung mit erster Bewertung des Vorfalls
• Spätestens einen Monat nach der Meldung: Abschlussmeldung

24 Stunden sind kurz, besonders wenn ein Vorfall am Freitagabend passiert. Die Meldung gelingt nur, wenn vorher feststeht, wer entscheidet, wer meldet und welche Informationen gebraucht werden. Genau das gehört in Deinen Notfallplan.

4. Pflichten der Geschäftsleitung

Hier liegt der Punkt, der Geschäftsführer am meisten beschäftigt. Nach § 38 BSIG sind Geschäftsleitungen verpflichtet, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. IT-Sicherheit lässt sich also nicht mehr komplett an die IT-Abteilung oder einen Dienstleister abgeben.

Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie dem Unternehmen für den entstandenen Schaden nach den gesellschaftsrechtlichen Regeln, also etwa nach GmbH-Gesetz oder Aktiengesetz. Zusätzlich müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagement in der IT-Sicherheit bewerten zu können. Einen festen Turnus schreibt das Gesetz nicht vor. Einmal im Jahr ist ein vernünftiger Richtwert.

Was droht bei Verstößen?

Die Bußgelder sind deutlich höher als früher (§ 65 BSIG). Für besonders wichtige Einrichtungen reichen sie bis zu 10 Mio. €, für wichtige Einrichtungen bis zu 7 Mio. €.

Bei sehr großen Unternehmen kann sich die Obergrenze am weltweiten Umsatz orientieren: 2 % bzw. 1,4 %. Für KMU sind die Maximalbeträge eher theoretisch. Entscheidend ist: Wer nachweisen kann, dass er sich ernsthaft um die Umsetzung gekümmert hat, steht bei einer Prüfung deutlich besser da.

Indirekt betroffen: NIS2 für Zulieferer und Dienstleister

Viele Unternehmen fallen formal nicht unter das Gesetz und spüren NIS2 trotzdem. Der Grund ist Punkt 4 der Risikomanagementmaßnahmen: die Sicherheit der Lieferkette. Regulierte Unternehmen müssen prüfen, wie sicher ihre direkten Zulieferer und Dienstleister sind. Und diesen Druck geben sie weiter.

Das zeigt sich in der Praxis an drei Stellen:

• Fragebögen zur Informationssicherheit in Ausschreibungen und bei Lieferantenbewertungen
• Vertragsklauseln, die Mindeststandards, Meldepflichten oder Audit-Rechte festschreiben
• Nachweise wie eine ISO-27001-Zertifizierung, ein TISAX-Label in der Automobilbranche oder ein dokumentiertes Sicherheitskonzept

Beispiel aus der Praxis: Ein mittelständischer Kunststoff-Zulieferer fertigt Spritzgussteile für die Automobilindustrie. Ob der Betrieb unter „Herstellung von Kraftwagenteilen“ fällt oder als Kunststoffverarbeiter in einem nicht regulierten Wirtschaftszweig eingeordnet ist, war zunächst unklar. Nach Prüfung mit dem Rechtsberater lautete die Einschätzung: nicht direkt betroffen.

Kurz darauf kam trotzdem ein umfangreicher Lieferantenfragebogen von einem Tier-1-Kunden, inklusive Frage nach Notfallplan, Multi-Faktor-Authentifizierung und Meldeprozess.

Die kaufmännische Leitung hat die NIS2-Anforderungen deshalb freiwillig als Maßstab genommen. Das Argument: Der Aufwand ist fast derselbe, und der Kunde wird diese Nachweise sowieso verlangen.

Die Lehre daraus: Auch wenn die Betroffenheitsprüfung „nein“ sagt, lohnt sich die Frage, welche Deiner Kunden reguliert sind. Wenn Du an Energieversorger, Krankenhäuser, Maschinenbauer oder Automobilhersteller lieferst, wirst Du früher oder später nach Nachweisen gefragt.

Du bekommst Lieferantenfragebögen zur IT-Sicherheit und weißt nicht, wie Du sie beantworten sollst? Sprich mit uns. Wir helfen Dir, die Lücken zu schließen und belastbare Antworten zu liefern.

Die NIS2-Checkliste für KMU in 8 Schritten

Jetzt wird es praktisch. Diese NIS2-Checkliste bringt die Pflichten in eine sinnvolle Reihenfolge. Sie orientiert sich am Gesetz und an der Erfahrung aus Sicherheitsprojekten im Mittelstand. Ergänzend bietet das BSI eine eigene NIS-2-Checkliste als PDF an.

Schritt 1: Betroffenheit prüfen und dokumentieren

Mach die BSI-Betroffenheitsprüfung. Halte fest, welchem Sektor Du Dich zuordnest, welche Mitarbeiter- und Umsatzzahlen Du zugrunde gelegt hast und wie das Ergebnis lautet. Prüfe das jährlich, denn wer wächst, kann über die Schwelle rutschen. Ab diesem Zeitpunkt läuft die Dreimonatsfrist.

Schritt 2: Beim BSI registrieren

Lege Dein MUK-Konto an und registriere Dich im BSI-Portal. Benenne eine Kontaktstelle, die für das BSI erreichbar ist.

Schritt 3: Verantwortlichkeiten festlegen

Die Geschäftsleitung trägt die Gesamtverantwortung. Für die operative Umsetzung brauchst Du trotzdem eine Person, die das Thema treibt. In KMU ist das oft die IT-Leitung oder ein externer Informationssicherheitsbeauftragter. Halte die Rollen schriftlich fest.

Schritt 4: Bestandsaufnahme und Risikoanalyse

Welche Systeme sind für Deinen Betrieb kritisch? Wo liegen welche Daten? Welche Dienstleister haben Zugriff? Auf dieser Basis bewertest Du Risiken nach Eintrittswahrscheinlichkeit und Schaden.

Ohne diese Grundlage ist jede weitere Maßnahme Stochern im Nebel. Wenn Du ohnehin Deine Datenflüsse für die DSGVO dokumentiert hast, kannst Du darauf aufbauen. Mehr dazu in unserem Beitrag zum DSGVO-konformen Digitalisieren.

Schritt 5: Technische Basismaßnahmen umsetzen

Starte mit den Maßnahmen, die das meiste Risiko für den geringsten Aufwand reduzieren:

• Multi-Faktor-Authentifizierung für alle Fernzugänge, E-Mail und Admin-Konten
• Getestete Backups, mindestens eines davon offline oder unveränderbar (siehe Backup-Strategie für KMU)
• Patch- und Schwachstellenmanagement mit festen Zyklen
• Rechtekonzept nach dem Prinzip „so wenig wie nötig“
• Verschlüsselung von Laptops und mobilen Geräten

Wenn Du mit Microsoft 365 arbeitest, sind viele dieser Funktionen schon lizenziert, aber oft nicht aktiviert. Ein sauber konfiguriertes Rechtekonzept in SharePoint gehört genauso dazu, wie wir in unserem Beitrag zur Zusammenarbeit mit SharePoint zeigen.

Schritt 6: Notfallplan und Meldeprozess aufsetzen

Schreib auf, was bei einem Vorfall passiert: Wer wird alarmiert? Wer entscheidet über die Meldung ans BSI? Wo liegen die Kontaktdaten, wenn E-Mail und Server ausgefallen sind?

Teste den Plan einmal im Jahr mit einer kurzen Übung. Ein Plan, der nur im Ordner liegt, hilft im Ernstfall nicht.

Schritt 7: Schulungen für Geschäftsleitung und Team

Die Geschäftsleitung muss regelmäßig geschult werden. Für alle Mitarbeitenden schreibt das Gesetz grundlegende Schulungen und Sensibilisierung vor. Phishing-Simulationen und kurze, wiederkehrende Awareness-Einheiten wirken erfahrungsgemäß besser als ein einmaliger Pflichttermin.

Schritt 8: Lieferkette prüfen und Wirksamkeit messen

Erstelle eine Liste Deiner wichtigsten IT-Dienstleister und Zulieferer und kläre, welche Sicherheitsstandards sie einhalten. Prüfe außerdem regelmäßig, ob Deine eigenen Maßnahmen wirken, etwa durch interne Audits oder einen externen Penetrationstest. Dokumentiere alles. Bei einer Prüfung durch das BSI zählt, was Du nachweisen kannst.

Diese acht Schritte allein umzusetzen, ist für viele KMU neben dem Tagesgeschäft kaum machbar. Bei der NIS2-Umsetzung unterstützen wir Dich von der Bestandsaufnahme über technische Maßnahmen bis zur Schulung Deines Teams.

Wie lange dauert die NIS2-Umsetzung und wovon hängt der Aufwand ab?

Eine pauschale Antwort gibt es nicht. Der Aufwand hängt davon ab, wie gut Deine IT heute aufgestellt und dokumentiert ist. Als grober Erfahrungswert gilt: Ein Unternehmen mit 50 bis 250 Mitarbeitenden, das bereits eine gepflegte IT-Grundausstattung hat, braucht für die wesentlichen NIS2-Anforderungen etwa drei bis neun Monate.

Die größten Kostentreiber sind selten neue Software. Es sind fehlende Dokumentation, nachzuholende Basismaßnahmen wie Backup und MFA sowie interne Arbeitszeit. Wer klug priorisiert, setzt zuerst die Maßnahmen um, die das Risiko am stärksten senken, und dokumentiert parallel. Wenn Dir intern die Kapazität fehlt, kann es sich lohnen, den First-Level-Support auszulagern, damit Deine IT Luft für Sicherheitsthemen bekommt. Wie groß der Aufwand in Deinem Fall ist, klären wir gern in einem unverbindlichen Erstgespräch.

Häufige Fragen zu NIS2

Wie finde ich heraus, ob NIS2 für mein Unternehmen gilt?

Nutze die kostenlose NIS-2-Betroffenheitsprüfung des BSI. Sie fragt Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme ab. Das Ergebnis ist eine Orientierung, keine verbindliche Entscheidung. Bei Grenzfällen, etwa bei der Zuordnung zu einem NACE-Wirtschaftszweig, solltest Du rechtlichen Rat einholen.

Gilt NIS2 auch für Unternehmen unter 50 Mitarbeitenden?

In der Regel nicht, solange auch Umsatz und Bilanzsumme nicht jeweils über 10 Mio. € liegen. Es gibt aber Ausnahmen für bestimmte Einrichtungsarten wie Telekommunikationsanbieter oder Betreiber kritischer Anlagen. Und als Zulieferer regulierter Kunden kannst Du indirekt betroffen sein.

Was passiert, wenn ich die Registrierungsfrist verpasst habe?

Registriere Dich so schnell wie möglich nachträglich. Eine fehlende oder verspätete Registrierung ist nach § 65 BSIG eine Ordnungswidrigkeit und kann ein Bußgeld nach sich ziehen. Ein zügiges Nachholen und ein erkennbarer Umsetzungsplan zeigen der Aufsicht, dass Du das Thema ernst nimmst.

Brauche ich für NIS2 eine ISO-27001-Zertifizierung?

Nein, das Gesetz schreibt keine bestimmte Zertifizierung vor. Eine ISO 27001 oder ein Vorgehen nach BSI-IT-Grundschutz deckt aber viele NIS2-Anforderungen ab und erleichtert den Nachweis gegenüber Kunden und Behörden.

Haftet der Geschäftsführer persönlich?

Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie dem eigenen Unternehmen für den Schaden nach den Regeln des Gesellschaftsrechts. Eine sauber dokumentierte Umsetzung ist deshalb auch persönlicher Schutz.

Fazit: NIS2-Anforderungen jetzt angehen, nicht aussitzen

NIS2 ist keine Zukunftsmusik mehr. Das Gesetz gilt seit Dezember 2025, die erste Registrierungsfrist ist abgelaufen, und Kunden fragen bereits nach Nachweisen. Die gute Nachricht: Die NIS2-Anforderungen sind kein Hexenwerk. Vieles davon ist solide IT-Sicherheit, die Dein Unternehmen ohnehin schützt.

Die wichtigsten Punkte noch einmal:

• Betroffenheit prüfen: Sektor plus Größe entscheiden, das BSI-Tool gibt eine erste Orientierung.
• Registrieren: über MUK und BSI-Portal, spätestens drei Monate nach Eintritt der Betroffenheit.
• Zehn Mindestmaßnahmen nach § 30 BSIG umsetzen und dokumentieren.
• Meldeprozess für 24, 72 Stunden und einen Monat vorbereiten.
• Geschäftsleitung in die Pflicht nehmen und schulen.
• Lieferkette im Blick behalten, auch wenn Du selbst nicht direkt betroffen bist.

Du musst diesen Weg nicht allein gehen. Bei snutig in Herford unterstützen wir KMU aus OWL und NRW pragmatisch bei der NIS2-Umsetzung, ohne Enterprise-Overkill. Starte jetzt mit unserem NIS2-Readiness-Check und erfahre, wo Dein Unternehmen steht.