NIS2 für KMU: was das DL 125/2025 verlangt und wo man anfängt

Die Obergrenze ist nicht der ernsteste Punkt. Das Gesetz überträgt den Leitungsorganen die Genehmigung und Überwachung der Cybersicherheitsmaßnahmen und die Förderung regelmäßiger Schulungen, für sich selbst und für die Mitarbeitenden. Diese Verantwortung lässt sich nicht beliebig delegieren. Cybersicherheit ist Sache des Vorstands geworden, nicht des IT-Mitarbeiters.

Am Ursprung steht eine EU-Richtlinie. NIS2 verlangt ein strukturiertes Cybersicherheits-Risikomanagement in gesellschaftlich relevanten Sektoren. Portugal hat sie mit dem DL 125/2025 umgesetzt, veröffentlicht am 4. Dezember 2025, das den Rechtsrahmen für Cybersicherheit (Regime Jurídico da Cibersegurança) geschaffen hat. Es trat 120 Tage später, im April 2026, in Kraft.

Die CNCS-Verordnung 756/2026 vom 22. Juni 2026 hat den Rahmen operationalisiert, und die Plattform MyCiber öffnete am folgenden Tag, dem 23. Juni 2026. Das CNCS schätzt laut Lusa rund sechstausend betroffene Einrichtungen, während der vorherige Rahmen etwa 450 umfasste.

Es gibt zwei Kategorien. Wesentliche: die kritischsten Sektoren und größere Unternehmen. Wichtige: die übrigen im Anwendungsbereich. Beide setzen Maßnahmen um und melden Vorfälle; sie unterscheiden sich in Anforderung, Aufsicht und Bußgeldobergrenze.

Beantworten Sie sechs Fragen. Ein „Ja“ bei einer der ersten drei deutet auf eine wahrscheinliche Einordnung hin, die mit juristischer Unterstützung zu formalisieren ist.

1. Sektor: steht die Tätigkeit in den Anhängen? Gesundheit, Banken, Energie, Wasser, Verkehr, digitale Infrastruktur, verwaltete IKT-Dienste, öffentliche Verwaltung, Post, Forschung, verarbeitendes Gewerbe, Lebensmittel, Chemie und Abfall, unter anderem.
2. Größe: haben Sie 50 oder mehr Beschäftigte? Oder übersteigen Jahresumsatz und Bilanzsumme jeweils 10 Millionen? Nach EU-Definition sind Sie dann kein kleines Unternehmen mehr.
3. Dienst, der unabhängig von der Größe erfasst ist: elektronische Kommunikation, Vertrauensdienste, DNS oder einziger Anbieter eines wesentlichen Dienstes.
4. Gruppe: wer zu einer Gruppe gehört, muss unter Umständen Beschäftigte und Werte zusammenrechnen und wird so vom kleinen zum mittleren Unternehmen.
5. Lieferkette: wenn Sie an betroffene Einrichtungen liefern, müssen diese das Lieferantenrisiko kontrollieren. Rechnen Sie mit Fragebögen, Klauseln und Nachweisanforderungen.
6. MyCiber: haben Sie die Selbstbewertung bereits durchgeführt? Die Selbstidentifizierung ist Sache des Unternehmens, nicht des CNCS. Wenn Sie betroffen sind und das nicht getan haben, klären Sie es jetzt mit Ihrem Juristen.

• Bereits abgelaufen Registrierung bei MyCiber für bestehende Einrichtungen: 60 Arbeitstage ab dem 23. Juni 2026; die Frist endete Mitte September 2026.
• Neue Einrichtungen 30 Arbeitstage nach Aufnahme der Tätigkeit.
• Cybersicherheitsverantwortlicher und ständige Kontaktstelle Bis zu 20 Arbeitstage nach Mitteilung der Einstufung.
• Bestandsverzeichnis der Assets Sechs Monate nach der endgültigen Einstufung oder 31. Januar 2027, je nachdem, was früher eintritt.
• Mindestmaßnahmen und Jahresbericht Zwei Jahre ab der CNCS-Verordnung, also Mitte 2028.

Die Mindestanforderungen gliedern sich in drei risikobasierte Stufen: Basis mit 39 Maßnahmen, substanziell mit 75 und hoch mit 91.

Nur, wenn Sie ihn rechtzeitig erkennen. Keine andere Pflicht belastet die Infrastruktur so sehr. Die Art. 42, 43 und 44 legen den Zeitplan für Vorfälle mit erheblichen Auswirkungen fest:

1. Erstmeldung: 24 Stunden nach Feststellung.
2. Aktualisierung: bis zu 72 Stunden, falls nötig, mit bewerteter Schwere und Auswirkung.
3. Meldung des Endes der Auswirkung: 24 Stunden nach Ende der erheblichen Auswirkung.
4. Abschlussbericht: innerhalb von 30 Arbeitstagen nach dieser Meldung.

Das erfordert drei Dinge: aktives Monitoring, aufbewahrte Protokolle und ein schriftliches Verfahren, das festlegt, wer entscheidet und wer mit dem CNCS spricht. Ein Angriff am Samstag, der erst Montagfrüh bemerkt wird, ist von Anfang an außerhalb der Frist. Deshalb empfehlen wir betroffenen Unternehmen IT Unlimited Premium 365: Es ist der einzige DataRoad-Plan, der Nächte, Feiertage und Wochenenden abdeckt.

Unabhängig von der zugewiesenen Stufe gibt es einen Kern, der immer vorkommt, und den jedes Unternehmen ab 10 Arbeitsplätzen haben sollte, ob betroffen oder nicht. Hier setzt DataRoad an.

• Bestandsverzeichnis Server, Arbeitsplätze, Netz, Cloud und Zugänge. Ausgangspunkt: die Checkliste für das Audit der IT-Arbeitsplätze.
• MFA Für E-Mail, Cloud-Dienste und Fernzugriff. Praktischer Leitfaden unter MFA im Unternehmen.
• Getestete externe Backups Mit definierten Wiederherstellungszeiten; siehe Managed Backups für Unternehmen.
• Managed Firewalls Mit Netzwerksegmentierung.
• Endpoints Schutz und Update-Management.
• Richtlinien und Schulung Dokumentiert und mit Teilnahmenachweis. Basis: die 7 Cybersicherheitsrichtlinien, die ein Unternehmen haben sollte.
• Reaktion auf Vorfälle Verfahren mit benannten Verantwortlichen und Simulationen.

Alles muss dokumentiert sein. Bei NIS2 genügt es nicht, geschützt zu sein; man muss es beweisen. Den vollständigen Service finden Sie unter technische Umsetzung von NIS2.

Ventask ist seit 2016 DataRoad-Kunde, mit mehr als 350 Arbeitsplätzen im Vertrag IT Unlimited. DataRoad verantwortet das gesamte Networking, die Administration der Unternehmens-Firewalls, Einführung und Management des Endpoint-Schutzes, sichere Remote-Arbeit und WLAN, mit proaktivem Monitoring und Alarmierung im Premium 365.

Kontinuierliche Überwachung, Perimeter, Endpoints und Fernzugriffe: die Ebenen, die NIS2 verlangt, in einem einzigen Vertrag. Lernen Sie die Referenz Ventask im Detail kennen.

Wir vergleichen Ihre Infrastruktur mit den technischen NIS2-Maßnahmen. Das Ergebnis ist ein Bericht mit jeder Lücke, ihrer Dringlichkeit und den Kosten, sie zu schließen. Unverbindlich. Sehen Sie auch unser Angebot für Managed Cybersecurity für Unternehmen.

Ab 10 Arbeitsplätzen · Wartungsvertrag · Remote-, Vor-Ort- und Telefon-Support. +351 211 459 950 * · sales@dataroad.pt

*Anruf ins portugiesische Festnetz.

• DL 125/2025 im Diário da República · EUR-Lex-Fassung
• CNCS-Verordnung Nr. 756/2026
• Plattform MyCiber
• Europäische Kommission: Was ist ein KMU
• ECO/Lusa, 24. Juni 2026: Registrierungsfrist bei MyCiber