NIS2 und Passwörter: wen das Gesetz trifft und was es zu Zugängen sagt

Die kurze Antwort für kleine Betriebe

Das deutsche Gesetz zur Umsetzung von NIS2 ist am 6. Dezember 2025 in Kraft getreten. Es hat vor allem das BSI-Gesetz (BSIG) neu gefasst. Pflichten hat danach nur, wer einem der Sektoren aus den Anlagen 1 und 2 des BSIG angehört und mindestens 50 Mitarbeiter beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Bilanzsumme hat. Ohne Größengrenze erfasst das Gesetz nur wenige Einrichtungsarten, etwa Betreiber kritischer Anlagen, Vertrauensdiensteanbieter und DNS-Dienste. Ein Malerbetrieb mit zwölf Leuten oder eine Kanzlei mit acht hat aus dem Gesetz selbst keine Pflicht, weil weder das Malerhandwerk noch die Rechtsberatung in den Anlagen steht.

Konkrete Regeln für Passwörter, etwa eine Mindestlänge oder eine Wechselfrist, stehen nicht im Gesetz, auch nicht für die betroffenen Firmen. § 30 BSIG verlangt von ihnen Konzepte zur Zugriffskontrolle und Lösungen zur Multi-Faktor-Authentifizierung, die Einzelheiten legt jede Einrichtung nach ihrer Risikoanalyse fest. Kleine Firmen spüren NIS2 meist über Kunden: Wer betroffen ist, muss nach § 30 auch die Sicherheit seiner Lieferkette regeln und gibt Anforderungen in Verträgen an Zulieferer und Dienstleister weiter.

Wer nach dem BSI-Gesetz betroffen ist

§ 28 BSIG teilt in besonders wichtige und wichtige Einrichtungen ein. Beide Gruppen brauchen zwei Merkmale zugleich: eine Tätigkeit aus den Anlagen und eine bestimmte Größe.

Gezählt wird nach der Empfehlung der EU-Kommission für kleine und mittlere Unternehmen. Laut BSI zählen Mitarbeiter dabei in Jahresarbeitseinheiten: Teilzeitkräfte und Saisonkräfte zählen mit einem Bruchteil, Auszubildende gar nicht. Zahlen von Partner- und verbundenen Unternehmen rechnen Sie nach § 28 Abs. 4 nicht hinzu, wenn Ihre Firma bei ihren IT-Systemen von ihnen unabhängig ist. Eine Nebentätigkeit, die im Verhältnis zum ganzen Geschäft vernachlässigbar ist, darf bei der Zuordnung zu einem Sektor außen vor bleiben.

Eine Nachricht vom BSI bekommt niemand. Jede Firma prüft selbst, ob sie betroffen ist, und muss sich dann nach § 33 BSIG innerhalb von drei Monaten beim BSI registrieren, laut BSI über Mein Unternehmenskonto und das BSI-Portal. Wer schon seit dem Inkrafttreten betroffen ist, hätte das also bis Anfang März 2026 erledigen müssen. Für eine erste Einschätzung bietet das BSI die NIS-2-Betroffenheitsprüfung an. Sie läuft anonym, ist aber ausdrücklich nicht verbindlich.

Die Maßnahmen zu Zugängen im Gesetz

§ 30 Abs. 2 BSIG zählt zehn Mindestmaßnahmen auf. Drei davon betreffen Passwörter und Anmeldungen unmittelbar:

• Nr. 8: Konzepte und Prozesse für den Einsatz kryptografischer Verfahren.
• Nr. 9: Konzepte für die Sicherheit des Personals, für die Zugriffskontrolle und für die Verwaltung von IT-Systemen.
• Nr. 10: Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation.

Nr. 3 kommt hinzu, sobald es um den Ausfall geht: Backup-Management und Wiederherstellung nach einem Notfall. Den vollständigen Wortlaut von § 30 veröffentlicht das Bundesjustizministerium.

Wie weit die Maßnahmen gehen müssen, richtet sich nach § 30 Abs. 1 unter anderem nach der Größe der Einrichtung, den Kosten und dem Risiko. Die Firma muss dokumentieren, was sie umgesetzt hat. Nach § 38 BSIG ist das Sache der Geschäftsleitung: Sie muss die Maßnahmen umsetzen, ihre Umsetzung beaufsichtigen und muss regelmäßig an Schulungen teilnehmen.

Was das BSI dazu konkret schreibt

In seinen Infopaketen zu NIS-2 übersetzt das BSI Nr. 9 und Nr. 10 in Anforderungen aus dem IT-Grundschutz. Zur Zugriffskontrolle heißt es dort unter anderem: Berechtigungen nur nach Bedarf vergeben, nicht mehr benötigte Berechtigungen bei personellen Veränderungen unverzüglich entziehen, länger ungenutzte Konten deaktivieren. Ein Passwort darf nicht für mehrere Systeme verwendet werden. Das BSI fügt selbst hinzu, dass diese Anforderungen nicht automatisch alle Pflichten aus NIS-2 erfüllen.

Ein bestimmtes Verfahren für den zweiten Faktor schreibt das BSI nicht vor. Die Einrichtung entscheidet auf Grundlage ihrer Risikoanalyse und kombiniert Faktoren aus verschiedenen Kategorien, also etwa ein Passwort mit einer App auf dem Handy. Für die Passwörter selbst verweist das BSI auf seine allgemeinen Empfehlungen. Was davon in eine schriftliche Regel für das Team gehört, steht im Ratgeber Passwortrichtlinie im Unternehmen.

Über Kunden: was in der Lieferkette ankommt

Zulieferer und Dienstleister verpflichtet das BSIG nicht direkt. Laut BSI sind sie indirekt betroffen: Eine regulierte Firma soll ihre Zulieferer zur Einhaltung passender Sicherheitsanforderungen verpflichten, nach der Gesetzesbegründung etwa durch vertragliche Vereinbarungen zu Risikomanagement, Umgang mit Sicherheitsvorfällen und Patchmanagement. Das BSI schreibt auch, dass regulierte Einrichtungen nicht mehr mit jedem Unternehmen zusammenarbeiten können, ohne Pflichtverstöße zu riskieren (BSI: Sichere Lieferkette).

Ein allgemeines Zertifikat zum Nachweis der Anforderungen gibt es laut FAQ des BSI nicht. Ihr Kunde kann eine ISO-27001-Zertifizierung berücksichtigen, die Risiken bewertet er trotzdem selbst. Was er von Ihnen verlangen darf, steht in Ihrem Vertrag mit ihm. Kommt ein Fragebogen oder ein Anhang zum Vertrag, fragen Sie zuerst nach, welche Ihrer Leistungen er betrifft. Bei einem Wartungs- oder Servicebetrieb sind das zum Beispiel die Zugänge, die der Kunde selbst vergibt: Fernwartung, Lieferantenportal, ein Konto in seinem Netz.

Ein erfundenes Beispiel aus der Kältetechnik

Ein Betrieb für Kälte- und Klimatechnik mit sieben Mitarbeitern wartet die Kühlzellen eines Lebensmittelgroßhändlers mit 140 Beschäftigten. Der Großhändler ist nach Anlage 2 eine wichtige Einrichtung und schickt einen neuen Anhang zum Wartungsvertrag. Darin steht: Fernzugriff auf die Anlagensteuerung nur über persönliche Konten mit zweitem Faktor, Meldung, wenn ein Techniker den Betrieb verlässt, Meldung von Sicherheitsvorfällen.

Bisher nutzten die drei Servicetechniker einen gemeinsamen Login, der auf einem Zettel im Servicewagen stand. Die Inhaberin lässt sich vom Großhändler drei persönliche Konten anlegen, jeder Techniker richtet den zweiten Faktor auf seinem Diensthandy ein. Diese drei Zugänge legt niemand in eine gemeinsame Sammlung, sonst wären sie nicht mehr persönlich. In einer kurzen Liste hält die Inhaberin fest, wer welche Kundenzugänge hat, damit sie einen Weggang noch am selben Tag melden kann. Mehr zu Zugängen in solchen Betrieben steht auf der Seite für SHK-Betriebe.

Was auch ohne Pflicht sinnvoll ist

Die Maßnahmen aus § 30 taugen für kleine Firmen als Prüfliste, ohne dass daraus eine Pflicht folgt. Diese vier Punkte schafft auch ein Betrieb ohne IT-Abteilung:

1. Für jeden Dienst ein eigenes, zufällig erzeugtes Passwort, keine Wiederholung zwischen Mail, Banking und Portalen.
2. Zweiter Faktor zuerst an Mailpostfächern, Administratorkonten und Fernzugängen. Die Reihenfolge erklärt der Ratgeber Zwei-Faktor im Unternehmen einführen.
3. Ein fester Ablauf, wenn jemand geht: Konten sperren, geteilte Passwörter ändern, siehe die Checkliste, wenn ein Mitarbeiter die Firma verlässt.
4. Ein Plan, wer im Ernstfall an welche Zugänge kommt, beschrieben im IT-Notfallplan für kleine Unternehmen.

Fragt eine Cyberversicherung nach denselben Dingen, gelten dort deren Bedingungen und nicht das BSIG. Die Fragen der Versicherer stehen auf der Seite Cyberversicherung: Passwörter und Zwei-Faktor.

Häufige Fehlannahmen

• „NIS2 verlangt den Passwortwechsel alle 90 Tage.“ § 30 nennt weder Fristen noch Längen. Wann ein Wechsel nötig ist, steht unter Passwort regelmäßig ändern.
• „Wir haben 52 Leute, also sind wir dabei.“ Teilzeit- und Saisonkräfte zählen anteilig, Auszubildende zählen nicht. Und ohne Tätigkeit aus den Anlagen gilt das Gesetz auch bei 500 Mitarbeitern nicht.
• „Das BSI meldet sich schon.“ Die Prüfung liegt bei der Firma, die Frist für die Registrierung läuft ab dem Zeitpunkt, an dem sie betroffen ist.
• „Mit dem richtigen Programm sind wir abgedeckt.“ Das Gesetz verlangt Konzepte und eine Dokumentation der Einrichtung. Ein Werkzeug kann bei der Umsetzung helfen, die Entscheidungen trifft die Geschäftsleitung.

Wobei ein gemeinsamer Tresor hilft

Ein Passwort-Tresor hilft bei einem Teil der Zugriffskontrolle: Die Geschäftsführung gibt Sammlungen je Abteilung frei, jeder Mitarbeiter meldet sich mit eigenem Master-Passwort und eigenem zweiten Faktor an, und der Verantwortliche sperrt das Konto, wenn jemand geht. Die Passwort-Berichte zeigen schwache, mehrfach verwendete und in Datenlecks aufgetauchte Passwörter über alle Sammlungen. Wie Sie Sammlungen aufteilen, erklärt der Ratgeber Passwörter im Team teilen.

Bei Passwortheld ist der zweite Faktor am Tresor für alle Mitarbeiter Pflicht, Eigentümer und Administratoren richten ihn selbst ein. Die Inhalte sind Ende-zu-Ende-verschlüsselt, wir können sie nicht lesen. Eine Sicherung gehört nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. dazu. Ohne Backup-Paket sichern wir den Tresor nicht, dann exportieren Sie ihn selbst verschlüsselt, das zeigen wir bei der Einrichtung.

Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Ob der Tresor zu den Anforderungen eines Kunden passt, besprechen wir im kostenlosen Erstgespräch (15 Minuten).