Inhalt dieses Artikels
Die Frage kommt in Gründerteams meist aus dem Vertrieb, nicht aus der Rechtsabteilung. Ein größerer Kunde schickt einen Sicherheitsfragebogen, darin steht etwas von NIS-2, und plötzlich sitzen zwei Leute abends vor einem Gesetzestext, den sie nie lesen wollten.
Die gute Nachricht: Für kleine SaaS-Teams ist die Antwort auf „Sind wir betroffen?“ häufig nein, jedenfalls was die direkten Pflichten angeht. Die schlechte: Das befreit dich nicht von den Fragen deiner Kunden. Dieser Beitrag trennt beides sauber, nennt die maßgeblichen Schwellen und zeigt, was du in vier Wochen tatsächlich aufsetzen kannst. Er ist allgemeine Information und keine Rechtsberatung; für die Einordnung deines Falls ist eine Kammer oder eine Fachanwältin die richtige Adresse.
Wann eine SaaS direkt unter NIS-2 fällt
NIS-2 ist der EU-Rahmen für ein höheres gemeinsames Niveau der Cybersicherheit. Für die direkte Betroffenheit müssen in Deutschland zwei Bedingungen zusammenkommen, und genau hier liegt das häufigste Missverständnis. Erstens muss dein Unternehmen einer Einrichtungsart aus den Anlagen des BSIG zuzuordnen sein. Cloud-Computing-Dienste stehen dort, und die Richtlinie fasst darunter ausdrücklich auch Software as a Service. Zweitens muss eine Größenschwelle erreicht oder überschritten sein.
Nach § 28 Abs. 2 BSIG gilt als wichtige Einrichtung, wer einer solchen Einrichtungsart zuzuordnen ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Die höhere Stufe, die besonders wichtige Einrichtung, verlangt nach § 28 Abs. 1 BSIG mindestens 250 Mitarbeiter oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro. Betreiber kritischer Anlagen, also KRITIS, sowie DNS-Diensteanbieter, Top Level Domain Name Registries und Vertrauensdiensteanbieter sind unabhängig von ihrer Größe erfasst. Verwirrend ist dabei die Sprache: Die EU-Richtlinie spricht von wesentlichen und wichtigen Einrichtungen, das deutsche Umsetzungsgesetz NIS2UmsuCG von besonders wichtigen und wichtigen. Gemeint ist dieselbe Staffelung.
| Einstufung | Schwelle für sonstige Einrichtungsarten | Was das für dich heißt |
|---|---|---|
| Besonders wichtige Einrichtung | mindestens 250 Mitarbeiter oder Jahresumsatz über 50 Millionen Euro und Jahresbilanzsumme über 43 Millionen Euro | Registrierung, Risikomanagement, Meldepflichten, strengste Aufsicht |
| Wichtige Einrichtung | mindestens 50 Mitarbeiter oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro | Registrierung, Risikomanagement, Meldepflichten, Aufsicht im Anlassfall |
| Weder noch | darunter, und keine kritische Anlage | keine direkten Pflichten, aber Lieferkettenfragen deiner Kunden |
Rechne die Schwelle ehrlich: Für die Mitarbeiterzahl und die Finanzwerte gilt die KMU-Empfehlung der EU-Kommission, und Daten von Partner- oder verbundenen Unternehmen bleiben nur dann außen vor, wenn dein Betrieb technisch wirklich unabhängig dasteht. Wer gerade eine Beteiligung aufgenommen hat, prüft diesen Punkt besser zweimal.
Quellen: § 28 BSIG | NIS-2-Richtlinie der EU
Direkt betroffen oder nur unter Kundendruck?
Direkt betroffen heißt: Das Gesetz adressiert dich selbst, du registrierst dich und meldest Vorfälle. Indirekt betroffen heißt: Deine Kunden sind es, und sie geben ihre Pflichten über Verträge und Fragebögen an dich weiter. Für die Praxis im Startup ist der zweite Fall der häufigere und oft der teurere, weil er Deals aufhält.
Lieferkettensicherheit ist in NIS-2 ausdrücklich adressiert. Eine regulierte Einrichtung muss ihre Dienstleister im Blick haben, also fragt der Einkauf nach Zuständigkeiten, Zugriffsschutz, Backup, Meldewegen und Unterauftragnehmern. Das läuft meist über standardisierte Sicherheitsfragebögen in Vendor Reviews, Ausschreibungen und Due Diligence. Wenn du diese Fragen nicht belegen kannst, verlierst du den Auftrag, ganz unabhängig davon, ob NIS-2 formal auf dich zutrifft.
Vertraglich landet das Thema bei dir meist zusammen mit dem Datenschutz. Wer einen Auftragsverarbeitungsvertrag für SaaS ohnehin sauber aufgesetzt hat, kann viele Security-Fragen aus denselben Unterlagen beantworten. Auch die Frage, ob dein Team einen Datenschutzbeauftragten braucht, stellen Einkaufsabteilungen gern im selben Fragebogen.
Betroffenheitsprüfung und Registrierung beim BSI
Statt zu raten, nutze den amtlichen Erstcheck. Das BSI stellt eine Betroffenheitsprüfung bereit, die dich über Sektor, Tätigkeit und Größe führt, und ein Portal für Registrierung und Meldungen. Das NIS-2-Umsetzungsgesetz ist seit 06.12.2025 in Kraft, seitdem laufen Registrierungs- und Meldepflichten für betroffene Einrichtungen.
Die Größenordnung hilft bei der Einordnung des eigenen Falls: Nach Angaben des BSI gelten die neuen Pflichten für rund 29.500 Unternehmen in Deutschland und Institutionen der Bundesverwaltung. Bis zum 30.09.2026 hatten sich 20.141 Einrichtungen nach NIS-2 registriert. Das ist viel, gemessen am deutschen Mittelstand aber eine klar umgrenzte Gruppe. Dass dein Startup nicht dazugehört, ist der Normalfall und kein Versäumnis.
Ein Hinweis zur Dokumentation: Halte das Ergebnis deiner Prüfung schriftlich fest, mit Datum und den Werten, die du angesetzt hast. Das kostet zehn Minuten und beantwortet später die Frage eines Kunden oder Investors, ob ihr euch mit dem Thema befasst habt.
Quellen: BSI, FAQ zu NIS-2 | BSI, NIS-2 in Zahlen
Die Meldefristen, falls es dich doch trifft
Fällst du unter die Pflichten, ist die Meldung erheblicher Sicherheitsvorfälle der Teil mit der härtesten Uhr. Das BSI nennt drei Stufen. Die frühe Erstmeldung hat den Charakter einer Frühwarnung und erfolgt innerhalb von 24 Stunden nach Kenntniserlangung. Die Folgemeldung mit detaillierten Angaben zu Ursache und Maßnahmen folgt innerhalb von 72 Stunden nach Kenntniserlangung, nicht erst nach der Erstmeldung. Die Abschlussmeldung kommt spätestens einen Monat nach der Meldung, und solange der Vorfall andauert, tritt an ihre Stelle eine weitere Folgemeldung.
Praktisch heißt das: Die Fristen gewinnst oder verlierst du vorher. Wer nachts um drei erst klären muss, wer melden darf und wo die Zugangsdaten liegen, hat die 24 Stunden schon halb verbraucht. Ein Blatt Papier mit Namen, Telefonnummern und Meldeweg reicht als erste Fassung. Dazu kommt ein Punkt, den Gründerteams gern überlesen: Nach § 38 BSIG muss die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des für ihre Rechtsform geltenden Gesellschaftsrechts. Compliance ist hier also keine Aufgabe, die man vollständig nach unten delegiert.
Quellen: BSI, NIS-2-Meldepflicht
Das Minimal-Setup für kleine Teams
Ob betroffen oder nicht, dieses Fundament zahlt sich im Vertrieb aus und ist in vier Wochen zu schaffen. Es braucht keine Abteilung für Informationssicherheit, sondern vier Abende und jemanden, der es aufschreibt.
- Woche 1, Lage klären: Kundensegmente und Leistungsbild prüfen, Betroffenheitsprüfung des BSI durchlaufen, Grenzfälle notieren.
- Woche 2, Zugriffe ordnen: Admin-Konten erfassen, MFA überall aktivieren, privilegierte Zugänge reduzieren, Asset- und Tool-Liste anlegen.
- Woche 3, Resilienz belegen: Backup- und Restore-Ablauf aufschreiben und einmal wirklich zurückspielen, Meldeweg und Notfallkontakte festhalten.
- Woche 4, verkaufsfähig werden: Dienstleisterliste zusammenstellen, Standardantworten für Sicherheitsfragebögen vorbereiten, einen knappen Security-One-Pager schreiben.
Der One-Pager ist der Teil mit dem schnellsten Ertrag. Eine Seite mit Zuständigkeiten, MFA-Status, Backup-Rhythmus, Meldeweg und den wichtigsten Dienstleistern erspart euch in jedem zweiten Fragebogen die halbe Arbeit. Für sehr kleine Teams bietet das BSI zusätzlich den CyberRisikoCheck als niedrigschwelligen Einstieg an.
NIS-2, CRA und AI Act nicht vermischen
In Gesprächen laufen drei Regelwerke ständig durcheinander, und das führt zu Arbeit, die niemand braucht. NIS-2 regelt die Sicherheitsorganisation und den Betrieb von Einrichtungen in bestimmten Sektoren. Der Cyber Resilience Act setzt Sicherheitsanforderungen an Produkte mit digitalen Elementen, also an das, was du auslieferst, samt Pflichten über den Lebenszyklus. Der AI Act regelt KI-Systeme nach Risikoklassen.
Als Merkhilfe: NIS-2 ist die Betriebsseite, der CRA die Produktseite, der AI Act die KI-Seite. Wer gerade an KI-Funktionen baut, findet die aktuelle Entwicklung im EU AI Act und dem Omnibus-Paket genauer aufgeschlüsselt. Und wer noch über der Unternehmensform sitzt: Auf die NIS-2-Einstufung hat sie keinen Einfluss, die Schwellen zählen Köpfe und Geld.
FAQ zu NIS-2 und SaaS
Ist meine SaaS-Firma automatisch von NIS-2 betroffen?
Nein. Du musst einer Einrichtungsart aus den Anlagen des BSIG zuzuordnen sein und zusätzlich eine Größenschwelle überschreiten. Kleine Teams unter 50 Mitarbeitern liegen meist darunter, sofern sie keine kritische Anlage betreiben.
Was ist der Unterschied zwischen direkt und indirekt betroffen?
Direkt betroffen bedeutet eigene gesetzliche Pflichten, also Registrierung, Risikomanagement und Meldungen. Indirekt betroffen bedeutet, dass regulierte Kunden ihre Anforderungen vertraglich an dich weitergeben.
Was fragt ein Sicherheitsfragebogen im B2B konkret ab?
Typisch sind Zuständigkeiten für Sicherheit, Zugriffsschutz und MFA, Backup und Restore, der Umgang mit Vorfällen, Unterauftragnehmer und der Serverstandort. Je belegbarer die Antworten, desto schneller geht der Einkauf weiter.
Brauchen wir eine Zertifizierung, um Enterprise-Deals zu gewinnen?
Nicht zwingend. Dokumentierte Prozesse schlagen in frühen Phasen ein Zertifikat ohne gelebte Praxis, und eine Zertifizierung lohnt sich meist erst, wenn Kunden sie wiederholt ausdrücklich verlangen.
Fazit
Nicht jede SaaS ist von NIS-2 betroffen, und die Schwellen des BSIG sind deutlich höher, als die Aufregung in vielen Fragebögen vermuten lässt. Prüfe deshalb zuerst sauber, ob dich die Pflichten überhaupt treffen, statt vorsorglich Geld in Zertifikate zu stecken.
Was sich in jedem Fall lohnt, ist das dokumentierte Fundament: Zuständigkeiten, MFA, getestetes Restore, ein Meldeweg und eine Dienstleisterliste. Das macht dich im Einkauf großer Kunden anschlussfähig, und falls dein Team eines Tages über die Schwelle wächst, hast du den Aufwand schon hinter dir.
Transparenzhinweis: Dieser Beitrag wurde unter Zuhilfenahme künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft. Alle Zahlen und Angaben wurden gegen die im Text verlinkten Primärquellen abgeglichen.
