NIS2 erklärt für KMU: gilt für meine Firma und was ich jetzt tun kann

8 Minuten Lesestunden · DataRoad

Die NIS2 erklärt für KMU Es dreht sich alles um eine Frage und eine Aufgabe. Die Frage: Ist mein Unternehmen betroffen? Die Aufgabe: Wenn ja, zu beweisen, dass es entsprechende Cybersicherheitsmaßnahmen hat – und innerhalb von 24 Stunden einen Vorfall melden zu können. Dieser Leitfaden beantwortet diese beiden Punkte in Management-Sprache anhand der in dem Gesetz und in der Verordnung des Nationalen Zentrums für Cybersicherheit (CNCS) festgelegten Zahlen.

Ein Hinweis vor dem Start: Die DataRoad bietet keine Rechtsberatung an. Wir implementieren die technischen Maßnahmen. Die Qualifizierung Ihres Unternehmens muss mit Ihrem Anwalt überprüft werden.

Was ist die NIS2 und was hat sich in Portugal geändert?

Die NIS2 ist eine europäische Richtlinie, die Unternehmen und Organisationen in wichtigen gesellschaftlichen Bereichen verpflichtet, das Cybersicherheitsrisiko strukturiert zu managen. In Portugal wurde sie durch das Dekret-Gesetz Nr. 125/2025 umgesetzt, das am 4. Dezember 2025 veröffentlicht wurde und das das neue Rechtsregime für Cybersicherheit geschaffen hat. Das Dokument trat 120 Tage nach der Veröffentlichung im April 2026 in Kraft.

Der CNCS veröffentlichte anschließend das Reglement Nr. 756/2026 vom 22. Juni, das das System in Betrieb setzte und die Plattform MyCiber am 23. Juni 2026 öffnete. Laut dem CNCS, wie es von der Agentur Lusa zitiert wird, soll das neue System etwa sechs tausend Unternehmen umfassen – gegenüber etwa 450 im vorherigen System.

Gilt es für meine Firma? 6 Fragen

Wenn Sie auf eine der ersten drei Fragen mit “Ja” antworten, ist es wahrscheinlich, dass Sie betroffen sind – und die Entscheidung muss mit juristischem Beistand formell festgelegt werden.

1. Ist Ihre Branche in den Anhangs des Gesetzes aufgenommen? Zu diesen gehören unter anderem Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von ICT-Diensten, öffentliches Management, Postdienstleistungen, Abfallwirtschaft, Chemikalien, Ernährung, verarbeitende Industrie und Forschung.
2. Ist Ihr Unternehmen mittelgroß oder groß? Nach der europäischen Definition ist ein Unternehmen kleiner als eine kleine Firma, wenn es 50 oder mehr Arbeitnehmer hat, oder wenn das Jahresumsatzvolumen und der Jahresabschluss beide über 10 Millionen Euro liegen.
3. Leistet das Unternehmen irgendeinen Service, der unabhängig von der Größe des Unternehmens gilt? Beispielsweise elektronische Kommunikation, vertrauenswürdige Dienste, DNS-Dienste oder die Rolle des einzigen Anbieters eines essenziellen Dienstes.
4. Teilt man sich eine Gruppe? In der europäischen Definition von KMU muss ein Unternehmen, das einem Konzern angehört, die Zahl der Beschäftigten und die Werte des Konzerns addieren. Ein “kleines” Unternehmen kann daher als Durchschnittswert berücksichtigt werden.
5. Ist sie Lieferant einer unternehmensweiten Organisation? Selbst wenn Sie nicht betroffen sind, sind Ihre Kunden verpflichtet, das Risiko der Lieferanten zu bewältigen. Sie erhalten Fragebögen, Vertragsbestimmungen und Anfragen nach Beweismitteln.
6. Haben Sie die Selbstbewertung in MyCiber durchgeführt? Die Verantwortung für die Identifizierung liegt bei dem Unternehmen, nicht bei dem CNCS. Wenn Sie hiervon betroffen sind und noch nicht eingetragen sind, sollten Sie dies umgehend mit Ihrem Anwalt klären.

Die Fristen zählen

Die Mindestmaßnahmen sind in drei Stufen gegliedert, die je nach Risiko der Organisation zugewiesen werden: Basismaßnahmen (39), Substanziell (75) und Höchstmaß (91).

Ereignisse: Das 24-Stunden-Uhrwerk

Dies ist die Aufgabe, die die größte technische Vorbereitung erfordert. Im Falle eines Vorfalls mit signifikanten Auswirkungen legt das Gesetz (Artikel 42 bis 44) fest:

• Bis zu 24 Stunden Nach der Überprüfung: erste Benachrichtigung.
• Bis zu 72 Stunden, Wenn erforderlich: Aktualisierung mit der initialen Bewertung der Schwere und des Ausmaßes.
• Bis zu 24 Stunden nach dem Ende des signifikanten Einflusses: Mitteilung über das Ende des Einflusses.
• 30 Werktage nach dieser Mitteilung: Abschlussbericht.

Eine Meldung innerhalb von 24 Stunden ist nur möglich, wenn jemand rechtzeitig den Vorfall meldet. Dazu bedarf es einer Überwachung, gespeicherten Protokollen und eines schriftlichen Verfahrens, das besagt, wer entscheidet und wer meldet. Ein Vorfall, der am Montagmorgen nach einem Wochenend ohne Überwachung entdeckt wird, beginnt bereits spät. Aus diesem Grund empfehlen wir Unternehmen, die betroffen sind, die Verwendung der folgenden Verfahren: IT Unlimited Premium 365, Das einzige Tarifpaket, das auch über Nacht-, Wochenend- und Feiertagsanrufe verfügt.

Geldstrafen und Verantwortlichkeit der Verwaltung

Wichtiger als der Höchstwert: Das Gesetz legt die Verantwortung auf die Leitungsorgane. Sie genehmigen und überwachen die Cybersicherheitsmaßnahmen und fördern regelmäßige Schulungen – und diese Verantwortung kann nicht frei delegiert werden. Die Schulungen betreffen die Verantwortlichen der Leitungsorgane sowie die Mitarbeiter. NIS2 hat den Status eines “Themas für Informatiker” verloren.

Was zu tun ist morgen: die technischen Maßnahmen

Dies ist der Teil, in dem DataRoad eingreift. Unabhängig vom zugewiesenen Level gibt es Maßnahmen, die immer vorhanden sind – und die jede Firma mit mehr als 10 Mitarbeitern haben sollte, unabhängig davon, ob sie diese Maßnahmen bereits umgesetzt hat oder nicht:

1. Aktivaumfrage: Server, Computer, Netzwerk, Cloud-Services und Zugriffsmöglichkeiten. Beginnen Sie mit uns Checkliste für die IT-Infrastruktur-Prüfung.
2. Zugriffskontrolle mit MFA per E-Mail, Cloud und Fernzugriff. Sehen Sie sich an, wie es funktioniert Multifaktor-Authentifizierung im Unternehmen.
3. Off-site-Backups und getestet, mit festgelegten Erholungszeiten — siehe Backup-Lösungen.
4. Verwaltetes Firewall und Netzwerksegmentierung.
5. Endpunkt-Sicherheit und Aktualisierungskontrolle.
6. Schriftliche Richtlinien und Schulungen mit Aufzeichnung der Anwesenheit — wir haben einen Ausgangspunkt in 7 interne Cybersicherheitsrichtlinien.
7. Verfahren zur Beantwortung von Vorfällen, Mit definierten Verantwortlichen und Simulationen.

Jede Maßnahme muss dokumentiert werden. Bei NIS2 reicht es nicht aus, sicher zu sein: man muss dies auch nachweisen können. Die Besonderheit unseres Dienstes ist auf der Seite zu finden. NIS2 — technischer Umsetzungsplan.

Ein echter Fall: Sicherheit in einem Park mit 350 Stellplätzen verwaltet

Ventask ist seit 2016 Kunde von DataRoad und beschäftigt mehr als 350 Mitarbeiter bei IT Unlimited. DataRoad verwaltet die gesamte Netzwerkabteilung, verwaltet und pflegt die Unternehmens-Firewalls, implementiert und verwaltet die Endpoint-Schutzlösung sowie die sicheren Remotearbeitslösungen und das WLAN – mit proaktiver Überwachung und Alarmierung im Premium-Plan 365.

Es sind die technischen Funktionen, die NIS2 in einem einzigen Vertrag anfordert – Perimeter-, Endpoints-, Remote-Zugriffe- und kontinuierliche Überwachung. Lesen Sie den Fall Ventask.

Häufig gestellte Fragen

Gilt die NIS2-Verordnung für Unternehmen mit weniger als 50 Arbeitnehmern?

In der Regel nicht, es sei denn, das Umsatzvolumen und der Bilanzsummenwert übersteigen beide 10 Millionen Euro, wenn das Unternehmen zu einem Konzern gehört, der es als Durchschnittsumfang angibt, oder wenn ein Dienstleistungsspektrum erbracht wird, unabhängig von der Größe. Auch außerhalb dieses Rahmens kann es als Lieferant für im Rahmen der Richtlinie fallende Unternehmen gelten.

Welche Fristen gelten für die Meldung eines Vorfalls?

Erste Benachrichtigung innerhalb von 24 Stunden nach der Überprüfung eines bedeutenden Vorfalls, Aktualisierung innerhalb von 72 Stunden, wenn erforderlich, Abschlussbenachrichtigung innerhalb von 24 Stunden nach dessen Beendigung und abschließende Berichterstattung innerhalb von 30 Werktagen.

Was ist der Höchstbetrag der Geldstrafen?

Für wesentliche Unternehmen bis zu 10 Millionen Euro oder 2% des jährlichen weltweiten Umsatzes; für wichtige Unternehmen bis zu 7 Millionen Euro oder 1,4%, wobei der höhere Wert gilt.

Führt DataRoad die Registrierung bei MyCiber für mein Unternehmen durch?

Nein. Die Selbstidentifizierung und die Registrierung sind Handlungen der Organisation selbst, und die Qualifizierung muss rechtlich validiert werden. DataRoad erstellt die notwendigen technischen Informationen und implementiert die erforderlichen Sicherheitsmaßnahmen.

Technischer NIS2-Diagnosebericht innerhalb von 10 Werktagen

Wir bewerten Ihre Infrastruktur anhand der technischen Anforderungen von NIS2 und liefern Ihnen ein schriftliches Dokument mit den Lücken, der Dringlichkeit jeder Lücke und den Kosten für ihre Behebung. Für Unternehmen mit mehr als 10 Standorten · Vertrag zur Assistenz · lokaler und telefonischer Remote-Support. Erfahren Sie außerdem mehr über unsere Dienstleistungen Cybersicherheit für Unternehmen.

Quellen

• Gesetzesdekret Nr. 125/2025 vom 4. Dezember — Amtsblatt der Republik: diariodarepublica.pt (der vollständige Text auch auf EUR-Lex)
• Verordnung Nr. 756/2026 vom 22. Juni (CNCS) — Amtsblatt der Republik: diariodarepublica.pt
• MyCiber-Plattform (CNCS): myciber.gov.pt
• Europäische Kommission — Definition von KMU: ec.europa.eu
• ECO/Lusa — Organisationen haben 60 Werktage Zeit, sich bei MyCiber zu registrieren (24. Juni 2026): eco.sapo.pt