--- title: "NIS2 für KMU: was das DL 125/2025 verlangt und wo man anfängt" description: "Bußgelder bis 10 Mio. € und Meldung binnen 24 Stunden: was NIS2 (DL 125/2025) von KMU verlangt und welche Maßnahmen jetzt nötig sind. Unverbindliches Angebot." language: de url: https://www.dataroad-it.com/de/nis2-kmu-portugal-leitfaden/ source: https://www.dataroad-it.com/de/nis2-kmu-portugal-leitfaden/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Bußgelder bis 10 Mio. € und Meldung binnen 24 Stunden: was NIS2 (DL 125/2025) von KMU verlangt und welche Maßnahmen jetzt nötig sind. Unverbindliches Angebot. # NIS2 für KMU: was das DL 125/2025 verlangt und wo man anfängt Auf einen Blick Für Entscheider mit wenig Zeit. - 01 NIS2 gilt in Portugal über das Decreto-Lei n.º 125/2025, seit April 2026. - 02 Höchstbußgeld: 10 Mio. € oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen. - 03 Erheblicher Vorfall: Erstmeldung in 24 Stunden, Abschlussbericht in 30 Arbeitstagen. - 04 Technische Pflichtmaßnahmen bis Mitte 2028; die Geschäftsleitung haftet dafür. ### In diesem Artikel NIS2 kann ein betroffenes Unternehmen 2 % des weltweiten Umsatzes oder 10 Millionen Euro kosten, je nachdem, was höher ist, und macht die Geschäftsleitung persönlich für die Cybersicherheit verantwortlich. Für ein KMU entscheidet sich die Frage in zwei Schritten: prüfen, ob es unter das DL 125/2025 fällt, und falls ja, technische Maßnahmen nachweisen und einen Vorfall innerhalb von 24 Stunden melden können. Dieser Leitfaden zur Managed Cybersecurity behandelt beides, mit den Zahlen aus dem Gesetz und der Verordnung des CNCS. **Hinweis:** DataRoad erteilt keine Rechtsberatung. Wir setzen den technischen Teil um. Die rechtliche Einordnung Ihres Unternehmens sollte von Ihrem Juristen bestätigt werden. ## Was steht für mein Unternehmen auf dem Spiel? | Kategorie | Bußgeldobergrenze bei sehr schwerer Ordnungswidrigkeit | | --- | --- | | Wesentliche Einrichtung | 2 % des weltweiten Jahresumsatzes oder 10 Millionen Euro, es gilt der höhere Wert | | Wichtige Einrichtung | 1,4 % des weltweiten Jahresumsatzes oder 7 Millionen Euro, es gilt der höhere Wert | Die Obergrenze ist nicht der ernsteste Punkt. Das Gesetz überträgt den Leitungsorganen die Genehmigung und Überwachung der Cybersicherheitsmaßnahmen und die Förderung regelmäßiger Schulungen, für sich selbst und für die Mitarbeitenden. Diese Verantwortung lässt sich nicht beliebig delegieren. Cybersicherheit ist Sache des Vorstands geworden, nicht des IT-Mitarbeiters. ## Woher kommt die Pflicht und wie viele Unternehmen betrifft sie? Am Ursprung steht eine EU-Richtlinie. NIS2 verlangt ein strukturiertes Cybersicherheits-Risikomanagement in gesellschaftlich relevanten Sektoren. Portugal hat sie mit dem DL 125/2025 umgesetzt, veröffentlicht am 4. Dezember 2025, das den Rechtsrahmen für Cybersicherheit (Regime Jurídico da Cibersegurança) geschaffen hat. Es trat 120 Tage später, im April 2026, in Kraft. Die CNCS-Verordnung 756/2026 vom 22. Juni 2026 hat den Rahmen operationalisiert, und die Plattform MyCiber öffnete am folgenden Tag, dem 23. Juni 2026. Das CNCS schätzt laut Lusa rund sechstausend betroffene Einrichtungen, während der vorherige Rahmen etwa 450 umfasste. Es gibt zwei Kategorien. **Wesentliche**: die kritischsten Sektoren und größere Unternehmen. **Wichtige**: die übrigen im Anwendungsbereich. Beide setzen Maßnahmen um und melden Vorfälle; sie unterscheiden sich in Anforderung, Aufsicht und Bußgeldobergrenze. ## Woran erkenne ich, ob ich betroffen bin? Beantworten Sie sechs Fragen. Ein „Ja“ bei einer der ersten drei deutet auf eine wahrscheinliche Einordnung hin, die mit juristischer Unterstützung zu formalisieren ist. - **Sektor**: steht die Tätigkeit in den Anhängen? Gesundheit, Banken, Energie, Wasser, Verkehr, digitale Infrastruktur, verwaltete IKT-Dienste, öffentliche Verwaltung, Post, Forschung, verarbeitendes Gewerbe, Lebensmittel, Chemie und Abfall, unter anderem. - **Größe**: haben Sie 50 oder mehr Beschäftigte? Oder übersteigen Jahresumsatz und Bilanzsumme jeweils 10 Millionen? Nach EU-Definition sind Sie dann kein kleines Unternehmen mehr. - **Dienst, der unabhängig von der Größe erfasst ist**: elektronische Kommunikation, Vertrauensdienste, DNS oder einziger Anbieter eines wesentlichen Dienstes. - **Gruppe**: wer zu einer Gruppe gehört, muss unter Umständen Beschäftigte und Werte zusammenrechnen und wird so vom kleinen zum mittleren Unternehmen. - **Lieferkette**: wenn Sie an betroffene Einrichtungen liefern, müssen diese das Lieferantenrisiko kontrollieren. Rechnen Sie mit Fragebögen, Klauseln und Nachweisanforderungen. - **MyCiber**: haben Sie die Selbstbewertung bereits durchgeführt? Die Selbstidentifizierung ist Sache des Unternehmens, nicht des CNCS. Wenn Sie betroffen sind und das nicht getan haben, klären Sie es jetzt mit Ihrem Juristen. ## Welche Termine muss ich einhalten? - **Bereits abgelaufen** Registrierung bei MyCiber für bestehende Einrichtungen: 60 Arbeitstage ab dem 23. Juni 2026; die Frist endete Mitte September 2026. - **Neue Einrichtungen** 30 Arbeitstage nach Aufnahme der Tätigkeit. - **Cybersicherheitsverantwortlicher und ständige Kontaktstelle** Bis zu 20 Arbeitstage nach Mitteilung der Einstufung. - **Bestandsverzeichnis der Assets** Sechs Monate nach der endgültigen Einstufung oder 31. Januar 2027, je nachdem, was früher eintritt. - **Mindestmaßnahmen und Jahresbericht** Zwei Jahre ab der CNCS-Verordnung, also Mitte 2028. Die Mindestanforderungen gliedern sich in drei risikobasierte Stufen: Basis mit 39 Maßnahmen, substanziell mit 75 und hoch mit 91. ## Kann ich einen Vorfall innerhalb von 24 Stunden melden? Nur, wenn Sie ihn rechtzeitig erkennen. Keine andere Pflicht belastet die Infrastruktur so sehr. Die Art. 42, 43 und 44 legen den Zeitplan für Vorfälle mit erheblichen Auswirkungen fest: - **Erstmeldung**: 24 Stunden nach Feststellung. - **Aktualisierung**: bis zu 72 Stunden, falls nötig, mit bewerteter Schwere und Auswirkung. - **Meldung des Endes der Auswirkung**: 24 Stunden nach Ende der erheblichen Auswirkung. - **Abschlussbericht**: innerhalb von 30 Arbeitstagen nach dieser Meldung. Das erfordert drei Dinge: aktives Monitoring, aufbewahrte Protokolle und ein schriftliches Verfahren, das festlegt, wer entscheidet und wer mit dem CNCS spricht. Ein Angriff am Samstag, der erst Montagfrüh bemerkt wird, ist von Anfang an außerhalb der Frist. Deshalb empfehlen wir betroffenen Unternehmen [IT Unlimited Premium 365](https://www.dataroad-it.com/de/it-unlimited-premium-365-24-7/): Es ist der einzige DataRoad-Plan, der Nächte, Feiertage und Wochenenden abdeckt. ## Welche technischen Maßnahmen sollte ich zuerst umsetzen? Unabhängig von der zugewiesenen Stufe gibt es einen Kern, der immer vorkommt, und den jedes Unternehmen ab 10 Arbeitsplätzen haben sollte, ob betroffen oder nicht. Hier setzt DataRoad an. - **Bestandsverzeichnis** Server, Arbeitsplätze, Netz, Cloud und Zugänge. Ausgangspunkt: die [Checkliste für das Audit der IT-Arbeitsplätze](https://www.dataroad-it.com/de/it-bestand-audit-checkliste-8-bloecke/). - **MFA** Für E-Mail, Cloud-Dienste und Fernzugriff. Praktischer Leitfaden unter [MFA im Unternehmen](https://www.dataroad-it.com/de/mfa-multi-faktor-authentifizierung-14-tage/). - **Getestete externe Backups** Mit definierten Wiederherstellungszeiten; siehe [Managed Backups für Unternehmen](https://www.dataroad-it.com/de/backup-loesungen-unternehmen-portugal/). - **Managed Firewalls** Mit Netzwerksegmentierung. - **Endpoints** Schutz und Update-Management. - **Richtlinien und Schulung** Dokumentiert und mit Teilnahmenachweis. Basis: [die 7 Cybersicherheitsrichtlinien, die ein Unternehmen haben sollte](https://www.dataroad-it.com/de/cybersecurity-sieben-richtlinien-unternehmen/). - **Reaktion auf Vorfälle** Verfahren mit benannten Verantwortlichen und Simulationen. Alles muss dokumentiert sein. Bei NIS2 genügt es nicht, geschützt zu sein; man muss es beweisen. Den vollständigen Service finden Sie unter [technische Umsetzung von NIS2](https://www.dataroad-it.com/de/nis2-compliance-portugal/). ## Wie sieht das bei einem echten Kunden aus? Ventask ist seit 2016 DataRoad-Kunde, mit mehr als 350 Arbeitsplätzen im Vertrag IT Unlimited. DataRoad verantwortet das gesamte Networking, die Administration der Unternehmens-Firewalls, Einführung und Management des Endpoint-Schutzes, sichere Remote-Arbeit und WLAN, mit proaktivem Monitoring und Alarmierung im Premium 365. Kontinuierliche Überwachung, Perimeter, Endpoints und Fernzugriffe: die Ebenen, die NIS2 verlangt, in einem einzigen Vertrag. Lernen Sie die [Referenz Ventask im Detail](https://www.dataroad-it.com/de/ventask-managed-firewalls-350-arbeitsplaetze/) kennen. ## Häufige Fragen ### Fällt ein Unternehmen mit weniger als 50 Beschäftigten nicht unter NIS2? In der Regel nicht. Ausnahmen: Umsatz und Bilanzsumme jeweils über 10 Millionen, Zugehörigkeit zu einer Gruppe, die es zum mittleren Unternehmen macht, oder ein unabhängig von der Größe erfasster Dienst. Außerhalb des Anwendungsbereichs kann es dennoch als Lieferant zur Einhaltung verpflichtet werden. ### Wie viel Zeit bleibt, um einen erheblichen Vorfall zu melden? 24 Stunden für die Erstmeldung. Danach folgen bei Bedarf eine Aktualisierung bis 72 Stunden, die Meldung des Endes der Auswirkung innerhalb von 24 Stunden und innerhalb von 30 Arbeitstagen der Abschlussbericht. ### Wie hoch können NIS2-Bußgelder ausfallen? Bei wesentlichen Einrichtungen 2 % des weltweiten Umsatzes oder 10 Millionen Euro; bei wichtigen 1,4 % oder 7 Millionen. Es gilt immer der höhere Wert. ### Registriert DataRoad mein Unternehmen bei MyCiber? Nein. Registrierung und Selbstidentifizierung sind Handlungen der Einrichtung selbst, mit juristischer Prüfung. Wir stellen die technischen Informationen zusammen und setzen die geforderten Maßnahmen um. ## Sie möchten schriftlich wissen, wo Sie exponiert sind, in 10 Werktagen? Wir vergleichen Ihre Infrastruktur mit den technischen NIS2-Maßnahmen. Das Ergebnis ist ein Bericht mit jeder Lücke, ihrer Dringlichkeit und den Kosten, sie zu schließen. Unverbindlich. Sehen Sie auch unser Angebot für [Managed Cybersecurity für Unternehmen](https://www.dataroad-it.com/de/cybersicherheit-unternehmen/). **Ab 10 Arbeitsplätzen · Wartungsvertrag · Remote-, Vor-Ort- und Telefon-Support.** +351 211 459 950 * · sales@dataroad.pt **Anruf ins portugiesische Festnetz.* ## Quellen - [DL 125/2025 im Diário da República](https://diariodarepublica.pt/dr/detalhe/decreto-lei/125-2025-962603401) · [EUR-Lex-Fassung](https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=NIM:202506649) - [CNCS-Verordnung Nr. 756/2026](https://diariodarepublica.pt/dr/detalhe/regulamento/756-2026-1134399056) - [Plattform MyCiber](https://myciber.gov.pt) - [Europäische Kommission: Was ist ein KMU](https://single-market-economy.ec.europa.eu/smes/sme-fundamentals/sme-definition_en) - [ECO/Lusa, 24. Juni 2026: Registrierungsfrist bei MyCiber](https://eco.sapo.pt/2026/06/24/entidades-tem-60-dias-uteis-para-se-registarem-na-plataforma-myciber-no-ambito-da-ciberseguranca/) Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Managed IT und CybersicherheitTeams auf Reisen: Laptops, Handys und öffentliches WLAN sichernDas echte Reiserisiko ist ein verlorener, unverschlüsselter Laptop, nicht das Hotel-WLAN. Mit Verschlüsselung, MFA und zentraler Verwaltung …12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/cybersecurity-teams-auf-reisen-laptop-wlan/)[Managed IT und CybersicherheitExterne Angriffsfläche: was das Internet von Ihrer Firma siehtAutomatisierte Angriffe suchen verwundbare Versionen, die Firmengröße spielt keine Rolle. 2025 verzeichnete CERT.PT 3.864 Vorfälle, 40 % meh…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/externe-angriffsflaeche-unternehmen/)[Managed IT und CybersicherheitNOC und Managed Cybersecurity: wer Ihr KMU überwacht, und wannEntscheidend ist nicht ein SOC, sondern wer samstags um 22 Uhr den Alarm erhält und was dann passiert. Bei DataRoad sind Nächte, Wochenenden…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/noc-soc-managed-cybersecurity-kmu/)[Managed IT und CybersicherheitMicrosoft-365-Sicherheit: die 10 Kontrollen des UnternehmensIn Microsoft 365 gehört die Plattform Microsoft, die Schlüssel gehören Ihnen. Laut Microsoft stoppen MFA und das Blockieren veralteter Authe…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/microsoft-365-sicherheit-geteilte-verantwortung/)[Managed IT und CybersicherheitDSGVO und Managed Cybersecurity: 10 technische KontrollenOhne dokumentierte technische Maßnahmen wird eine Datenpanne vom IT-Vorfall zum Problem mit der Aufsichtsbehörde. Zehn Kontrollen in drei Bl…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/)[Managed IT und CybersicherheitGeleakte Passwörter: Domain prüfen und Lücke in 5 Tagen schließenDas Risiko ist nicht die E-Mail im Datenleck, sondern dasselbe Passwort für ein Firmenkonto. Betroffenes ändern, MFA für alle Konten und ein…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/zugangsdaten-datenleck-domain-pruefen/)[Managed IT und CybersicherheitAsset-Inventar: Grundlage für IT-Bestandsverwaltung und NIS2Ohne Asset-Inventar gibt es keine geplante Erneuerung, keine nachweisbare Sicherheit und keine Antwort an das CNCS. NIS2-Einrichtungen müsse…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/it-asset-inventar-nis2/)[Managed IT und CybersicherheitBreak-Glass-Konten in Microsoft 365: die Versicherung der FirmaEin ausgesperrter Admin kann E-Mail, Teams und Dateien tagelang unverwaltet lassen. Break-Glass-Konten sind der Reserve-Administrator, wenn …12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/)[Managed IT und CybersicherheitWindows 365 im Unternehmen: wann der Cloud-PC Kosten senktDer Cloud-PC lohnt sich für Berater, Saisonkräfte, Teams ohne Büro und gemischte Mac-/Windows-Umgebungen. Für Video, CAD oder schwaches Inte…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/windows-365-cloud-pc-kosten-unternehmen/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Managed Cybersecurity ## One StepAhead of IT. Das Risiko trägt die Geschäftsführung, den Schutz übernehmen wir. In 11 Jahren hatte DataRoad keinen einzigen Sicherheitsvorfall. - **Top 5%** KMU · scoring.pt - **11** Jahre am Markt, seit 2015 - **MFA** auf allen betreuten Konten We do **IT** right. DataRoad IT Unlimited ## Ein Internetausfall sollte Ihr Büro nicht lahmlegen. Redundante Zugänge, automatisches Failover und laufende Überwachung. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/nis2-kmu-portugal-leitfaden/