Recherche-Ratgeber · Recht/DSGVO

NIS2 für Selbstständige und kleine Agenturen: Wer betroffen ist und was Zulieferer wissen sollten

Recherche-Ratgeber · Stand Oktober 2026 · kein Praxistest · veröffentlicht 24.10.2026 · 8 Min · CompareAI Editorial

Teil der Themenübersicht Recht & Datenschutz für Freelancer: Alle Ratgeber im Überblick

Hinweis: Dieser Beitrag ist eine Recherche auf Basis öffentlicher Anbieterangaben und Gesetzestexte (Stand Okt 2026), kein Praxistest. Preise und Limits können sich ändern, prüfe sie vor dem Kauf auf der verlinkten Quelle. Keine Rechts- oder Steuerberatung.

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Es verpflichtet laut Bundesamt für Sicherheit in der Informationstechnik (BSI) rund 29.500 Unternehmen zu Risikomanagement, Meldungen bei Sicherheitsvorfällen und einer Registrierung beim BSI. Viele Selbstständige fragen sich, ob sie dazugehören. Die kurze Antwort: In den allermeisten Fällen nicht direkt – aber indirekt über ihre Kunden oft schon. Dieser Ratgeber fasst zusammen, was die offiziellen Quellen sagen. Er ersetzt keine Rechtsberatung.

Wer direkt unter NIS2 fällt

Ob ein Unternehmen betroffen ist, hängt von zwei Fragen ab: Ist es in einem der Sektoren tätig, die das Gesetz aufzählt (etwa Energie, Transport, Gesundheit, digitale Infrastruktur, Verwaltung von IKT-Diensten, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe oder digitale Dienste)? Und überschreitet es bestimmte Größenschwellen? Laut BSI-FAQ gelten im Regelfall folgende Grenzen:

Kategorie	Beschäftigte	oder Umsatz und Bilanzsumme
Wichtige Einrichtung	mindestens 50	Jahresumsatz über 10 Mio. € und Jahresbilanzsumme über 10 Mio. €
Besonders wichtige Einrichtung	mindestens 250	Jahresumsatz über 50 Mio. € und Jahresbilanzsumme über 43 Mio. €

Vereinfachte Darstellung nach BSI-FAQ zu NIS-2 (Abruf 24.10.2026). Für Details gilt der Entscheidungsbaum des BSI.

Ein Solo-Selbstständiger oder eine Agentur mit zehn Leuten liegt damit klar unter den Schwellen. Ein Webdesigner mit fünf Mitarbeitenden ist also nicht deshalb NIS2-pflichtig, weil er Websites betreut.

Ausnahmen: größenunabhängig betroffen

Für einige Einrichtungsarten spielt die Größe laut BSI keine Rolle. Dazu gehören qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Diensteanbieter sowie Anbieter öffentlicher Telekommunikationsnetze oder öffentlich zugänglicher Telekommunikationsdienste. Für kleine IT-Dienstleister ist vor allem der Punkt DNS interessant: Wer für Dritte eigene autoritative Nameserver oder öffentlich nutzbare Resolver betreibt, sollte genauer prüfen, ob er unter die Definition fällt. Wer dagegen nur die DNS-Einträge seiner Kunden beim Hoster oder Registrar pflegt, betreibt selbst keinen DNS-Dienst. Im Zweifel hilft der Entscheidungsbaum des BSI oder eine Anwältin mit IT-Schwerpunkt.

Selbst prüfen: die BSI-Betroffenheitsprüfung

Unternehmen müssen selbst einschätzen, ob sie betroffen sind. Eine Behörde schickt dazu keinen Bescheid. Das BSI bietet eine anonyme Online-Betroffenheitsprüfung an, die durch die Fragen führt. Das Ergebnis ist ausdrücklich unverbindlich, ersetzt also nicht die eigene rechtliche Bewertung. Für die Dokumentation lohnt es sich trotzdem, das Ergebnis mit Datum abzulegen – etwa im selben Ordner wie das AVV-Verzeichnis.

Registrierung, Fristen und Bußgelder

Betroffene Einrichtungen müssen sich laut BSI innerhalb von drei Monaten registrieren (§ 33 BSIG). Das läuft über „Mein Unternehmenskonto“, das auf einem ELSTER-Zertifikat basiert, und anschließend über das BSI-Portal. Die Registrierung erfolgt ohne Nachweis; Unterlagen müssen nur auf Nachfrage des BSI vorgelegt werden. Eine allgemeine Übergangsfrist für die inhaltlichen Pflichten gibt es laut BSI nicht.

Die Drittquelle Secjur nennt als rechnerische Registrierungsfrist den 6. März 2026 und eine vom BSI eingeräumte Nachfrist bis 31. Juli 2026; für eine unterlassene Registrierung seien Bußgelder bis 500.000 € möglich (§ 65 BSIG). Diese Angaben haben wir nicht in einer Primärquelle des BSI gegengeprüft – wer betroffen ist, sollte sie direkt beim BSI verifizieren.

Warum NIS2 Freelancer trotzdem trifft: die Lieferkette

Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen, zu denen auch die Sicherheit der Lieferkette gehört. In der Praxis heißt das: Ein Stadtwerk, ein Logistikunternehmen oder ein mittelständischer Hersteller, der unter NIS2 fällt, wird von seinen Dienstleistern Nachweise verlangen. Typisch sind:

Fragebögen zur Informationssicherheit vor Vertragsabschluss,
Vertragsklauseln zu Meldepflichten bei Sicherheitsvorfällen,
Anforderungen an Zugänge, etwa Zwei-Faktor-Authentifizierung und persönliche statt geteilter Konten,
Vorgaben zu Backups, Updates und Verschlüsselung,
Regeln zum Umgang mit Subunternehmern.

Wie streng solche Anforderungen ausfallen, unterscheidet sich je nach Kunde. Wer Websites, Software, IT-Support oder Marketing für solche Unternehmen erbringt, sollte also vorbereitet sein – auch wenn er selbst nie beim BSI registriert sein muss.

Pragmatische Grundausstattung für kleine Dienstleister

Die folgenden Punkte sind keine NIS2-Pflichten für Kleinstunternehmen, sondern Maßnahmen, die in Kunden-Fragebögen regelmäßig abgefragt werden und ohnehin sinnvoll sind:

Passwortmanager und 2FA: Einzigartige Passwörter und Zwei-Faktor-Login für alle Kundenzugänge, etwa mit Bitwarden (siehe Passwortmanager für Freelancer).
Backups nach 3-2-1-Regel: Mehrere Kopien, eine davon extern – Details im Ratgeber Backup-Strategie.
Updates: Betriebssystem, CMS, Plugins und Router zeitnah aktualisieren; bei gehosteten Kundenseiten (z. B. bei Hostinger, IONOS oder netcup) auch PHP-Versionen prüfen.
Vorfallplan: Eine Seite mit Ansprechpartnern, Sofortmaßnahmen und Meldewegen. Für personenbezogene Daten gilt zusätzlich die 72-Stunden-Frist der DSGVO, siehe Datenpanne melden.
Dokumentation: Liste der genutzten Dienste, Auftragsverarbeitungsverträge und Zugriffsrechte. Das beantwortet die meisten Fragebogenfragen auf einmal.

So reagierst du auf einen Sicherheitsfragebogen

Ehrlich bleiben ist wichtiger als Vollständigkeit. Wer eine Maßnahme nicht umgesetzt hat, sollte das angeben und einen Zeitplan nennen, statt „ja“ anzukreuzen. Falsche Angaben können vertragliche Folgen haben. Sinnvoll ist außerdem, Haftungs- und Meldeklauseln vor der Unterschrift prüfen zu lassen, besonders wenn der Kunde sehr kurze Meldefristen verlangt.

Fazit

NIS2 verpflichtet direkt fast nur Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme sowie einige größenunabhängige Sonderfälle. Selbstständige spüren das Gesetz vor allem über die Anforderungen ihrer Kunden. Wer Zugänge, Backups, Updates und Vorfallpläne sauber organisiert, ist für diese Gespräche gut aufgestellt.

Anbieterseiten

Affiliate-Hinweis (Werbung): Links mit Partnerstatus sind als „sponsored“ markiert. Für dich ändert sich der Preis nicht.

Bitwarden öffnen Profil
netcup öffnen Profil
IONOS öffnen Profil
Hostinger öffnen Profil

FAQ

Muss ich mich als Freelancer beim BSI registrieren?

In aller Regel nein. Laut BSI greifen die Pflichten erst ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme, außer bei Sonderfällen wie DNS-Diensteanbietern oder Vertrauensdiensteanbietern.

Seit wann gilt NIS2 in Deutschland?

Das NIS-2-Umsetzungsgesetz ist laut BSI am 6. Dezember 2025 in Kraft getreten, ohne allgemeine Übergangsfrist.

Ist die BSI-Betroffenheitsprüfung verbindlich?

Nein. Sie ist anonym und unverbindlich; die Einschätzung bleibt Aufgabe des Unternehmens.

Warum fragen Kunden plötzlich nach Informationssicherheit?

Betroffene Einrichtungen müssen auch die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen daher an Dienstleister weiter.