Die Meisten KMU-Manager haben von der NIS2 als “jenes europäische Cybersicherheitsgesetz für Großunternehmen” gehört. Die Hälfte dieses Satzes ist falsch. Die NIS2 ist zwar eine europäische Richtlinie, aber in Portugal bereits nationales Recht – das Gesetzesdekret Nr. 125/2025, in Kraft seit dem 4. Mai 2026 – und sie erfasst viele mittlere Unternehmen sowie eine relevante Anzahl kleiner Unternehmen, entweder direkt oder über Kunden, die sie beliefern. Dieser Artikel erklärt ohne juristisches Fachchinesisch, wer davon betroffen ist, was bis wann getan werden muss und womit ein KMU beginnen sollte. Für die vollständigen und aktuellen Details haben wir die Seite NIS2 in Portugal: Ist Ihr Unternehmen betroffen?.
Die NIS2-Richtlinie ist eine EU-weite Gesetzgebung zur Stärkung der Cybersicherheit und der Resilienz kritischer Infrastrukturen. Sie verpflichtet Unternehmen aus zahlreichen Sektoren zu strengeren Sicherheitsmaßnahmen, Risikomanagement und Meldepflichten bei Vorfällen. Bei Verstößen drohen Organisationen und deren Management drastische Sanktionen und Geldbußen.
Es ist das europäische Regime, das Organisationen in als kritisch eingestuften Sektoren verpflichtet, das Cybersicherheitsrisiko nachweisbar zu managen: zu wissen, was sie haben, es mit Mindestmaßnahmen zu schützen, Vorfälle zu melden und die Verantwortung für die Einhaltung zu tragen. In Portugal nennt es sich das Rechtsregime für Cybersicherheit (Regime Jurídico da Cibersegurança) und wird vom Nationalen Zentrum für Cybersicherheit (CNCS) beaufsichtigt. Der große Unterschied zur vorherigen Version ist der Geltungsbereich – viel mehr Sektoren und Unternehmensgrößen – und die direkte Verantwortlichkeit der Geschäftsführungsorgane.
Wer ist abgedeckt
Zwei Kategorien: wesentliche Entitäten (Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung u. a., insbesondere mittlere und große Unternehmen) und wichtige Entitäten (Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe verschiedener Art, digitale Dienste, Forschung und kleinere Unternehmen in kritischen Sektoren). Die allgemeine Größenregel liegt bei 50 oder mehr Beschäftigten oder 10 Millionen Euro Jahresumsatz, aber es gibt Ausnahmen, bei denen die Größe keine Rolle spielt. Und es gibt einen indirekten Effekt, der viele KMU erfasst: Lieferanten erfasster Stellen sie müssen nun ihre eigenen Sicherheitsmaßnahmen nachweisen, da die Sicherheit der Lieferkette eine der Pflichten des Kunden ist.
Der wichtigste Punkt: Niemand kommt, um Sie zu qualifizieren
Das CNCS wird keinen Brief mit dem Text “Ihr Unternehmen fällt in den Anwendungsbereich” schicken. Die Last der Selbsteinschätzung liegt bei der Organisation: Jedes Unternehmen muss prüfen, ob es darunterfällt, sich identifizieren und auf der MyCiber-Plattform registrieren. Sich nicht zu registrieren, wenn man es Müsste, stellt bereits für sich genommen eine Ordnungswidrigkeit dar. Genau das unterscheidet die NIS2 von fast allen Verpflichtungen, an die ein KMU gewöhnt ist – man wartet nicht auf die Benachrichtigung.
Die Fristen, die bereits laufen
- Mitte September 2026Selbstidentifizierung und Registrierung im MyCiber für bereits tätige Unternehmen (60 Werktage ab dem 23. Juni, dem Datum, an dem die Plattform eröffnet wurde). Wer danach seine Tätigkeit aufgenommen hat, hat 30 Werktage Zeit.
- 20 Tage nach der QualifikationBenachrichtigen Sie den Verantwortlichen für Cybersicherheit und die ständige Kontaktstelle.
- 31. Januar 2027 (oder sechs Monate nach der endgültigen Qualifikation): Anlageninventar – Server, Arbeitsplätze, Netzwerkgeräte, Cloud-Dienste und Zugänge.
- Juni 2028Mindestmaßnahmen des zugewiesenen Niveaus implementiert und erster Jahresbericht eingereicht.
Die Mindestmaße
Das Regime legt je nach Einstufung der Einrichtung Maßnahmestufen fest, aber der Kern ist derselbe, den jedes gut geführte Unternehmen haben sollte: ein Inventar des Vorhandenen; schriftliche Sicherheitsrichtlinien; Zugangskontrolle und Multifaktor-Authentifizierung; Datenverschlüsselung; Netzwerkssegmentierung; Backups und Kontinuitätsplan; Schwachstellen- und Update-Management; Überwachung und Protokollierung von Ereignissen; Verfahren zur Vorfallsreaktion und -meldung; Sicherheit in der Lieferkette; sowie Schulungen – einschließlich für die Geschäftsführung. Wenn Sie unsere Artikel über gelesen haben MFA, Zero Trust für KMU e als sieben interne Richtlinien, du kennst den größten Teil bereits.
Die Geldbußen und die Verantwortung der Geschäftsführung
Bis zu 10 Millionen Euro oder 2% des weltweiten Umsatzes für wesentliche Unternehmen und bis zu 7 Millionen oder 1,4% für wichtige Unternehmen. Für ein KMU ist nicht so sehr der Höchstwert entscheidend, sondern vielmehr der Grundsatz: Die Regelung macht die Leitungsorgane direkt für die Einhaltung verantwortlich. Cybersicherheit ist nicht mehr nur eine Angelegenheit der “IT-Abteilung”, sondern wird zu einer Aufgabe der Unternehmensleitung – mit der Genehmigung von Maßnahmen, obligatorischen Schulungen und Überwachung.
Wo man diese Woche anfangen soll
- Die Einordnung überprüfenSektor, Dimension und Kunden. Wenn es Zweifel gibt, werden die Zweifel jetzt ausgeräumt, nicht im Oktober.
- Registrieren bei MyCiber falls abgedeckt. Es ist ein Akt der Einrichtung selbst – wir tun das nicht für Sie, aber wir helfen dabei, die Informationen zusammenzutragen.
- Inventur machen: ist das bis Januar 2027 geforderte Dokument, das fast kein KMU hat. Unser Checkliste für die IT-Infrastruktur-Prüfung Das ist der Ausgangspunkt.
- Die drei Maßnahmen mit der höchsten Rendite abschließenMFA bei allen Zugriffen, externe und getestete Backups, Firewall mit aktiver Verwaltung.
- Den Verantwortlichen benennen und das Management einzubeziehen — die Bildung der Führungsorgane ist eine Verpflichtung, kein Vorschlag.
Was ist, wenn es nicht abgedeckt ist?
Zwei Dinge. Erstens: Bestätigen Sie es und speichern Sie die Analyse, da ein betroffener Kunde möglicherweise einen Nachweis von Ihnen verlangt. Zweitens: Die Mindestmaßnahmen sind unabhängig vom Gesetz eine bewährte Praxis – die Mehrheit der Angriffe auf portugiesische KMU würde genau die Schwachstellen ausnutzen, die durch die NIS2 behoben werden müssen. Das Wesentliche zu tun, ohne dazu gezwungen zu sein, kostet weniger, als es in aller Eile zu tun, wenn ein Kunde es fordert.
Was DataRoad tut — und was nicht
Wir sind keine Anwälte und übernehmen die Registrierung nicht für Sie. Was wir tun, ist das, was danach kommt: das Vermögenswertinventar, die Implementierung von Mindestmaßnahmen mit dokumentarischem Nachweis (Zugriffe, Verschlüsselung, Segmentierung, Backups, Überwachung mit gespeicherten Protokollen), den Vorfallreaktionsplan und die jährliche Begleitung im Rahmen des Dienstes Geführte Cybersicherheit. Für die betroffenen Unternehmen ist der erste Schritt eine schriftliche Bestandsaufnahme mit dem Vorhandenen, den Mängeln, Fristen und Kosten — Fordern Sie es auf der NIS2-Seite an..
Häufig gestellte Fragen
Kann ein Unternehmen mit 30 Mitarbeitern abgedeckt sein?
Direkt, nur in spezifischen Fällen, in denen die Größe keine Rolle spielt. Indirekt ja: Wenn Sie Dienstleistungen für betroffene Unternehmen erbringen, werden diese den Nachweis Ihrer Sicherheitsmaßnahmen verlangen.
Was passiert, wenn ich mich nicht bis September registriere?
Das Fehlen der Registrierung stellt für sich allein eine Ordnungswidrigkeit dar. Wenn Sie betroffen sind und sich nicht registriert haben, lautet der Rat, sich umgehend zu registrieren und den Grund für die Verzögerung zu dokumentieren.
Ersetzt die NIS2-Verordnung die DSGVO?
Nein. Das sind unterschiedliche Regime: Die DSGVO schützt personenbezogene Daten; die NIS2 schützt die Kontinuität und Sicherheit von Diensten. Viele Maßnahmen überschneiden sich, und die Einhaltung der einen hilft bei der Einhaltung der anderen.
Wie viel kostet die Einhaltung der NIS2-Richtlinie für ein KMU?
Das kommt darauf an, was bereits vorhanden ist. Unternehmen mit MFA, getesteten Backups und einer verwalteten Firewall haben den Großteil der Arbeit erledigt; die Kosten konzentrieren sich auf das Inventar, die Dokumentation und die Protokollüberwachung. Eine Bestandsaufnahme ergibt einen Festpreis.
Sie wissen nicht, ob Ihr Unternehmen abgedeckt ist?
Wir machen die Bestandsaufnahme, sagen Ihnen schriftlich, was da ist, was fehlt und bis wann, und setzen die Maßnahmen im Rahmen des Vertrags um. Sehen Sie sich unsere Seite an zum Thema NIS2 in Portugal Oder rufen Sie 211 459 950 an.
