NIS-2 im Mittelstand: Wen es betrifft und was das für Policen heißt

Cybersicherheit ist längst kein Thema nur für Konzerne mehr. Was NIS-2 für Ihren Betrieb bedeutet und wo die Versicherung ins Spiel kommt.

Ein Kunde aus der Metallverarbeitung fragte kürzlich, ob NIS-2 auch seinen Betrieb mit vierzig Mitarbeitenden betrifft. Er hatte davon in der Zeitung gelesen, im Zusammenhang mit großen Energieversorgern und Krankenhäusern, und war sich nicht sicher, ob das Thema für ihn überhaupt relevant ist. Diese Unsicherheit ist verständlich, denn die Regelung betrifft tatsächlich deutlich mehr Unternehmen, als man beim ersten Lesen vermutet.

Das NIS2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft und überträgt eine europäische Richtlinie zur Cybersicherheit in deutsches Recht. Es unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Wesentliche Einrichtungen sind größere Unternehmen aus besonders kritischen Sektoren wie Energie, Wasser, Verkehr oder Gesundheitswesen. Wichtige Einrichtungen umfassen einen breiteren Kreis, darunter auch Teile der verarbeitenden Industrie, der Abfallwirtschaft, der Post- und Kurierdienste und einige Dienstleistungsbranchen, sofern bestimmte Größenmerkmale erfüllt sind. Ob ein konkreter Betrieb erfasst ist, hängt von Branche, Mitarbeiterzahl und Umsatz ab, und das muss im Einzelfall geprüft werden. Diese Einordnung ersetzt keine Rechtsberatung, hier lohnt sich der Blick eines Fachanwalts oder der IHK.

Was viele überrascht: NIS-2 ist kein IT-Thema, das man an die Systemadministration delegieren kann. Das Gesetz nimmt ausdrücklich die Geschäftsführung in die Pflicht. Wer als Geschäftsführer oder Vorstand betroffen ist, muss sich mit Risikomanagement im Bereich Cybersicherheit befassen, Maßnahmen billigen und ihre Umsetzung überwachen. Bei Pflichtverletzungen drohen nicht nur Bußgelder für das Unternehmen, sondern auch eine persönliche Haftung der Leitungsebene. Genau an dieser Stelle berühren sich zwei Versicherungsthemen, die bisher oft getrennt betrachtet wurden.

Zum einen die Cyberversicherung. Sie deckt in der Regel Schäden aus Cybervorfällen ab, etwa Betriebsunterbrechung nach einem Verschlüsselungsangriff oder Kosten für die Wiederherstellung von Daten. Versicherer schauen inzwischen genauer hin, welche Schutzmaßnahmen ein Unternehmen tatsächlich umgesetzt hat, bevor sie eine Police ausstellen oder im Schadenfall zahlen. Wer im Rahmen von NIS-2 ohnehin Risikomanagement, Meldewege und technische Schutzmaßnahmen aufbaut, verbessert damit häufig auch seine Position gegenüber dem Cyberversicherer. Zum anderen die D&O-Versicherung, die Organe und Geschäftsführung gegen Ansprüche aus Pflichtverletzungen absichert. Wenn NIS-2 die persönliche Verantwortung der Geschäftsleitung schärft, wird die Frage relevanter, ob eine bestehende D&O-Police dieses gestiegene Risiko überhaupt sinnvoll abbildet.

Ein Beispiel aus der Praxis: Ein mittelständischer Zulieferer mit eigener Produktionssteuerung über vernetzte Anlagen stellte im Beratungsgespräch fest, dass seine bestehende Cyberpolice noch auf einem älteren Fragebogen beruhte, der die inzwischen umgesetzten Schutzmaßnahmen gar nicht abbildete. Die Geschäftsführung sicherte sich getrennt über die D&O ab, ohne die beiden Verträge je gemeinsam betrachtet zu haben. Erst im Abgleich beider Policen zeigte sich, wo Deckungslücken und wo Doppelungen bestanden. Solche Konstellationen sind keine Seltenheit, weil Cyber- und D&O-Versicherung meist zu unterschiedlichen Zeitpunkten und oft bei unterschiedlichen Ansprechpartnern abgeschlossen wurden.

Als Makler sind wir nach Paragraf 60 Versicherungsvertragsgesetz Sachwalter unserer Kunden, wir vertreten also Sie und nicht den Versicherer, und haften für unsere Beratung. Das bedeutet in diesem Zusammenhang: Wir schauen uns Cyber- und D&O-Deckung nicht isoliert an, sondern im Zusammenhang mit dem, was NIS-2 von Ihrem Betrieb tatsächlich verlangt, und sprechen offen an, wo Anpassungsbedarf besteht, auch wenn das nicht zwingend zu einem neuen Vertrag führt.

Wenn Sie unsicher sind, ob NIS-2 für Ihren Betrieb relevant ist oder Ihre bestehende Cyber- und D&O-Absicherung dazu passt, ist ein Gespräch der einfachste erste Schritt. Es bindet Sie zu nichts, ein Maklermandat lässt sich jederzeit formlos widerrufen, und für Sie fällt dabei in der Regel kein zusätzliches Honorar an, da die Courtage im Beitrag steckt und ohnehin anfällt. Mehr zu unserer Arbeit für Unternehmen finden Sie in unserem Bereich für Gewerbekunden, und wenn Sie konkret einsteigen möchten, erreichen Sie uns unkompliziert über das Kontaktformular.