Ist mein Handwerksbetrieb von NIS2 betroffen?

In aller Regel nicht direkt. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, zielt aber auf mittlere und große Unternehmen (Faustregel: ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz) in bestimmten Sektoren. Ein typischer Elektro-, SHK-, Maler- oder KFZ-Betrieb unterhalb dieser Grenzen ist nicht unmittelbar verpflichtet. Relevanz kann indirekt entstehen, wenn ein NIS2-pflichtiger Auftraggeber Sicherheitsanforderungen vertraglich in die Lieferkette weitergibt.

Welche IT-Sicherheits-Pflicht gilt auch für Kleinstbetriebe?

Die DSGVO. Artikel 32 verpflichtet jeden, der personenbezogene Daten verarbeitet — ohne Größen-Untergrenze — zu geeigneten technischen und organisatorischen Maßnahmen: also Zugriffsschutz, Verschlüsselung, funktionierende Backups und belastbare Systeme. Auch ein Drei-Mann-Betrieb mit Kunden- und Mitarbeiterdaten fällt darunter. Kommt es zu einer Datenpanne, greift zudem die 72-Stunden-Meldepflicht nach Artikel 33 DSGVO.

Was ist die wichtigste Sofortmaßnahme gegen einen Ausfall?

Ein funktionierendes, getestetes Backup nach der 3-2-1-Regel: drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon außer Haus oder offline. Der häufigste Grund für einen Totalverlust ist nicht der Hacker, sondern die kaputte Festplatte ohne Sicherung — oder ein Verschlüsselungstrojaner, der auch das angeschlossene Backup mitverschlüsselt. Deshalb muss eine Kopie getrennt sein.

Gibt es kostenlose Hilfe vom Staat?

Ja. Das BSI und Deutschland sicher im Netz (DsiN) bieten kostenlose Angebote speziell für kleine Betriebe: den CyberRisikoCheck (standardisierte Beratung nach DIN SPEC 27076), den Einstieg WiBA (Weg in die Basis-Absicherung) sowie Selbsttests wie die NIS2-Betroffenheitsprüfung des BSI und den FitNIS2-Navigator von DsiN. Damit lässt sich der eigene Stand kostenlos und ohne Vorwissen einordnen.

IT-Sicherheit im Handwerksbetrieb — was WIRKLICH Pflicht ist (2026)

Kurz gesagt: IT-Sicherheit im Handwerksbetrieb ist 2026 vor allem eine Frage der Basics, nicht der großen Gesetze: Das NIS2-Gesetz gilt seit dem 6. Dezember 2025, betrifft kleine Handwerksbetriebe aber grundsätzlich nicht direkt. Die tatsächlich bindende Pflicht für jeden Betrieb ist Artikel 32 DSGVO — plus funktionierende Backups, starke Passwörter und wache Mitarbeiter.

Ein Verschlüsselungstrojaner legt die Angebots- und Rechnungsdaten lahm, mitten in der Hochsaison. Eine kaputte Festplatte nimmt zehn Jahre Kundenkartei mit. Eine gefälschte Lieferanten-Mail leitet eine Überweisung auf ein fremdes Konto. Das sind keine Schauergeschichten aus dem Konzern — das trifft Handwerksbetriebe jede Woche, und meist nicht, weil jemand gezielt angegriffen wurde, sondern weil die Basics fehlten.

Die gute Nachricht: Du musst kein IT-Experte werden. Die Maßnahmen, die neunzig Prozent der realen Schäden verhindern, sind bezahlbar, an einem Tag umsetzbar und danach weitgehend automatisch. Dieser Artikel trennt die Pflicht von der Panik — und zeigt dir den konkreten Fahrplan.

Muss ich als Handwerker jetzt NIS2 fürchten?

NIS2 ist die große EU-Cybersicherheits-Richtlinie, über die seit Monaten geschrieben wird. Das deutsche Umsetzungsgesetz (NIS2UmsuCG) wurde Ende 2025 verabschiedet und ist seit dem 6. Dezember 2025 in Kraft. Wer betroffen ist, musste sich bis zum 6. März 2026 beim BSI registrieren.

Für die allermeisten Handwerksbetriebe ist die Antwort trotzdem klar: direkt betroffen bist du in aller Regel nicht. NIS2 zielt auf mittlere und große Unternehmen — die grobe Faustregel sind ab 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz — und das auch nur in bestimmten gelisteten Sektoren (Energie, Wasser, Transport, Gesundheit, IT und Telekommunikation, Teile des verarbeitenden Gewerbes und weitere). Ein klassischer Elektro-, SHK-, Maler-, Schreiner- oder KFZ-Betrieb unterhalb dieser Größe fällt nicht unmittelbar darunter.

Wo es für dich relevant werden kann, ist die Lieferkette: Arbeitest du als Zulieferer oder Dienstleister für einen großen, NIS2-pflichtigen Auftraggeber — etwa ein Stadtwerk, ein Krankenhaus oder einen Industriebetrieb — dann kann dieser seine Sicherheitsanforderungen vertraglich an dich weitergeben. Das steht dann in der Ausschreibung oder im Rahmenvertrag, nicht im Gesetz. Wer solche Aufträge will, verschafft sich mit sauberer IT-Sicherheit also einen echten Wettbewerbsvorteil.

!INFOOb du unter NIS2 fällst, kannst du kostenlos selbst prüfen: Das BSI stellt eine NIS2-Betroffenheitsprüfung online, Deutschland sicher im Netz (DsiN) den kostenlosen FitNIS2-Navigator für KMU. Beides dauert wenige Minuten und ersetzt jedes Bauchgefühl durch eine klare Antwort.

Was gilt dann wirklich — für jeden Betrieb?

Die eigentliche, größenunabhängige Pflicht steht nicht in NIS2, sondern in der DSGVO. Und die gilt schon lange, für den Drei-Mann-Betrieb genauso wie für den Konzern.

Artikel 32 DSGVO verlangt von jedem, der personenbezogene Daten verarbeitet — Kundenadressen, Mitarbeiterdaten, Lieferantenkontakte — „geeignete technische und organisatorische Maßnahmen" für ein dem Risiko angemessenes Schutzniveau. Übersetzt heißt das: Zugriffsschutz, Verschlüsselung sensibler Daten, funktionierende Backups und Systeme, die einen Ausfall wegstecken. Es gibt hier keine Untergrenze nach Mitarbeiterzahl. Wer schludert und es kommt zu einer Datenpanne, riskiert ein Bußgeld.

Kommt tatsächlich etwas abhanden — ein gestohlener Laptop mit Kundendaten, ein erfolgreicher Hackerangriff — greift zusätzlich die Meldepflicht nach Artikel 33 DSGVO: Datenpannen mit Risiko für die Betroffenen sind innerhalb von 72 Stunden an die zuständige Datenschutzaufsicht zu melden. Wer das im Ernstfall weiß, handelt richtig, statt in Panik zu verschleppen.

Merke dir also die ehrliche Einordnung: Für kleine Handwerksbetriebe ist nicht NIS2, sondern die DSGVO die real bindende IT-Sicherheits-Grundpflicht. Und die erfüllst du am besten, indem du die folgenden Basics umsetzt.

Die 7 Basics, die dich wirklich schützen

Diese sieben Punkte verhindern den Großteil der realen Schäden. Kein Fachjargon, keine teure Spezialsoftware — Handwerk an der IT.

Backups nach der 3-2-1-Regel. Drei Kopien deiner Daten, auf zwei verschiedenen Medien, eine davon außer Haus oder offline. Der häufigste Totalverlust ist die kaputte Platte ohne Sicherung — oder ein Trojaner, der das dauerhaft angeschlossene Backup gleich mitverschlüsselt. Deshalb muss eine Kopie getrennt sein. Und: Ein Backup, das nie zurückgespielt wurde, ist nur eine Hoffnung — teste die Wiederherstellung einmal im Quartal.
Starke, einzigartige Passwörter mit einem Passwort-Manager. Ein Manager erzeugt und merkt für jeden Dienst ein eigenes, langes Passwort. Damit fällt das gefährlichste Muster weg: dasselbe Passwort überall. Wird ein Dienst gehackt, bleibt der Schaden lokal.
Zwei-Faktor-Authentifizierung (2FA), wo es sie gibt. E-Mail, Online-Banking, Steuer- und Buchhaltungssoftware: Ein zweiter Faktor per App macht ein geknacktes Passwort fast wertlos. Das ist die wirkungsvollste einzelne Maßnahme überhaupt.
Updates automatisch installieren. Betriebssystem, Browser, Programme, Router, Smartphones. Die meisten erfolgreichen Angriffe nutzen bekannte Lücken, für die es längst ein Update gibt. Aktiviere automatische Updates und die Sache läuft von allein.
Phishing erkennen. Die gefährlichste Masche im Handwerk ist die gefälschte Rechnung oder geänderte Bankverbindung eines vermeintlichen Lieferanten. Feste Regel im Betrieb: Bei jeder Änderung einer Kontoverbindung wird per bekannter Telefonnummer zurückgerufen — niemals nur per Mail bestätigt.
Mitarbeiter mitnehmen. Die beste Technik nützt nichts, wenn im Büro jeder Anhang geöffnet wird. Zehn Minuten in der Monatsbesprechung über aktuelle Maschen sind die günstigste Sicherheitsmaßnahme, die es gibt.
Geräte verschlüsseln und sperren. Laptop und Smartphone mit aktivierter Geräteverschlüsselung (BitLocker, FileVault, Handy-Verschlüsselung) und automatischer Bildschirmsperre. Geht ein Gerät verloren, sind die Daten dann nicht offen zugänglich — und aus einer teuren Datenpanne wird ein ärgerlicher, aber harmloser Verlust.

Kostenlose Hilfe vom Staat — nutz sie

Du musst das nicht allein stemmen. Für kleine Betriebe gibt es echte, kostenlose Angebote:

CyberRisikoCheck (DIN SPEC 27076): eine standardisierte, auf kleine und Kleinstunternehmen zugeschnittene Cybersicherheits-Beratung durch qualifizierte IT-Dienstleister, mit Ergebnisbericht und konkreten Handlungsempfehlungen. Teils sogar förderfähig.
WiBA — „Weg in die Basis-Absicherung": die kostenlose Einstiegshilfe des BSI in den IT-Grundschutz, mit Checklisten in verständlicher Sprache.
Selbsttests: die NIS2-Betroffenheitsprüfung des BSI und der FitNIS2-Navigator von DsiN — beide kostenlos, beide in Minuten erledigt.

Ein Anruf bei der Digitalisierungsberatung deiner Handwerkskammer bringt dich hier ebenfalls schnell weiter — dieser Service ist über deinen Kammerbeitrag bereits bezahlt.

Dein Fahrplan in einer Woche

Du brauchst kein Großprojekt. So gehst du es an:

Heute: 2FA für E-Mail und Online-Banking einschalten, automatische Updates aktivieren.
Diese Woche: Backup nach 3-2-1 einrichten und eine Wiederherstellung testen. Passwort-Manager einführen.
Diesen Monat: die feste Rückruf-Regel bei Kontoänderungen im Team besprechen, Geräteverschlüsselung prüfen.
Danach: einen kostenlosen CyberRisikoCheck oder Selbsttest machen und die letzten Lücken schließen.

IT-Sicherheit ist wie Arbeitsschutz: nicht das spannendste Thema, aber der Betrieb, der es ernst nimmt, hat im Ernstfall keinen stillstehenden Tag — und der Ernstfall kommt statistisch für jeden irgendwann. Die Basics sind an einem Tag gelegt und schützen dich jahrelang.

!TIPRechtsstand: September 2026. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft; die genannten Größen-Schwellen sind die üblichen NIS2-Werte und dienen der Orientierung. Angaben zu Gesetzen und Förderungen ohne Gewähr — dieser Artikel ist eine allgemeine Information und ersetzt keine Rechts- oder Datenschutzberatung. Im Zweifel die aktuelle BSI-Information oder eine fachkundige Beratung heranziehen.