NIS-2: Was die Geschäftsleitung jetzt persönlich verantwortet

Das deutsche NIS-2-Umsetzungsgesetz macht Informationssicherheit zur Pflicht der Geschäftsleitung selbst: Sie muss Sicherheitsmaßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen – und haftet, wenn sie das versäumt. Lange war IT-Sicherheit in vielen Unternehmen eine Aufgabe, die man an die IT-Leitung delegierte und im Jahresbericht mit einem Absatz würdigte. Das Gesetz ändert diese Arbeitsteilung grundlegend.

Der rechtliche Rahmen

Grundlage ist die europäische NIS-2-Richtlinie (EU) 2022/2555, die die Mitgliedstaaten bis Oktober 2024 hätten umsetzen müssen. Deutschland war spät dran: Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde im November 2025 von Bundestag und Bundesrat beschlossen, am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist.

Das Gesetz ist ein sogenanntes Artikelgesetz. Sein Kern ist eine Neufassung des BSI-Gesetzes (BSIG). Wenn im Folgenden Paragrafen genannt werden, sind es solche des neuen BSIG.

Wer ist betroffen?

Das BSIG unterscheidet zwei Kategorien (§ 28):

Besonders wichtige Einrichtungen sind unter anderem:

• Betreiber kritischer Anlagen (KRITIS) – unabhängig von der Größe,
• qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter – unabhängig von der Größe,
• Unternehmen in einem Sektor nach Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Bilanzsumme.

Wichtige Einrichtungen sind unter anderem:

• Unternehmen in einem Sektor nach Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Bilanzsumme,
• nicht qualifizierte Vertrauensdiensteanbieter – unabhängig von der Größe.

Anlage 1 umfasst Sektoren wie Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser und digitale Infrastruktur. Anlage 2 ergänzt weitere, etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Gerade das verarbeitende Gewerbe macht NIS-2 für viele Mittelständler relevant, die sich bisher nie als „kritisch“ verstanden haben.

Zwei Feinheiten verdienen Aufmerksamkeit: Die Größenschwellen richten sich nach der KMU-Empfehlung der EU-Kommission, also grundsätzlich unter Einbeziehung verbundener Unternehmen. Das BSIG lässt Daten von Partner- oder verbundenen Unternehmen aber außer Betracht, wenn die Einrichtung bei ihren IT-Systemen und Prozessen unabhängig ist. Und Geschäftstätigkeiten, die im Verhältnis zur Gesamttätigkeit vernachlässigbar sind, können bei der Sektorzuordnung unberücksichtigt bleiben. Ob Sie betroffen sind, ist daher eine Einzelfallprüfung. Das BSI bietet dafür eine Online-Betroffenheitsprüfung an.

Registrierung: Die Frist ist abgelaufen

Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren (§ 33). Für Unternehmen, die mit Inkrafttreten des Gesetzes betroffen waren, endete diese Frist also Anfang März 2026. Das BSI hatte nach Fachpresseberichten eine Nachfrist bis zum 31. Juli 2026 eingeräumt; auch diese ist verstrichen. Das BSI fordert noch nicht registrierte Unternehmen auf, dies unverzüglich nachzuholen.

Die Registrierung läuft zweistufig: Zuerst wird über „Mein Unternehmenskonto“ ein ELSTER-Organisationszertifikat beantragt, dann erfolgt die Registrierung im BSI-Portal. Anzugeben sind unter anderem Name, Rechtsform, Kontaktdaten, öffentliche IP-Adressbereiche, Sektor und die Mitgliedstaaten, in denen Sie tätig sind. Änderungen müssen binnen zwei Wochen gemeldet werden. Registriert sich eine Einrichtung nicht, kann das BSI sie auch selbst registrieren.

Die Pflichten der Geschäftsleitung

§ 38 BSIG ist die Vorschrift, die für Vorstände und Geschäftsführer am meisten Gewicht hat. Sie enthält drei Elemente:

1. Umsetzen und überwachen: Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und deren Umsetzung überwachen. Delegieren lässt sich die operative Arbeit – nicht aber die Verantwortung dafür, dass sie geschieht.
2. Haftung: Verletzt die Geschäftsleitung diese Pflichten schuldhaft und entsteht dem Unternehmen dadurch ein Schaden, haftet sie nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform. Nur wo das Gesellschaftsrecht keine Regelung trifft, begründet das BSIG die Haftung selbst.
3. Schulung: Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken im Bereich der Informationssicherheit erkennen und bewerten zu können. Ein festes Intervall nennt das Gesetz nicht. Das BSI hat einen Leitfaden zur Geschäftsleitungsschulung veröffentlicht.

Was „Risikomanagementmaßnahmen“ bedeutet

§ 30 verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Das Gesetz nennt dazu einen Katalog, der sich an Artikel 21 der Richtlinie orientiert, darunter:

• Konzepte für Risikoanalyse und Sicherheit der Informationssysteme,
• Bewältigung von Sicherheitsvorfällen,
• Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung und Krisenmanagement,
• Sicherheit der Lieferkette,
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit Schwachstellen,
• Bewertung der Wirksamkeit der Maßnahmen,
• Cyberhygiene und Schulungen,
• Kryptografie und Verschlüsselung,
• Personalsicherheit, Zugriffskontrolle und Management von Anlagen,
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Die Liste ist keine Checkliste zum Abhaken, sondern ein Rahmen, der dokumentiert und begründet ausgefüllt werden muss. Für das Thema Backup bietet unser Leitfaden Backups nach der 3-2-1-Regel einen praktischen Einstieg.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle müssen dem BSI in mehreren Stufen gemeldet werden (§ 32):

Die praktische Konsequenz: 24 Stunden sind kurz. Wer erst im Ernstfall klärt, wer meldet, wer entscheidet und wo das Portal-Login liegt, verliert diese Zeit. Melde- und Eskalationswege gehören in den Notfallplan und sollten geübt werden.

Was droht bei Verstößen?

Das BSIG sieht Bußgelder vor (§ 65). Für besonders wichtige Einrichtungen reicht der Rahmen bei bestimmten Verstößen bis 10 Mio. Euro, bei Unternehmen mit mehr als 500 Mio. Euro Umsatz bis zu 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegen die Werte bei 7 Mio. Euro beziehungsweise 1,4 Prozent. Hinzu kommen Aufsichtsbefugnisse des BSI. Mindestens so relevant wie das Bußgeld ist für die Geschäftsleitung jedoch die persönliche Haftung gegenüber dem eigenen Unternehmen.

Einordnung

NIS-2 ist nicht in erster Linie ein Bürokratieprojekt, auch wenn es sich in der Umsetzung oft so anfühlt. Die Anforderungen entsprechen weitgehend dem, was solide Informationssicherheit ohnehin ausmacht. Neu ist vor allem die Verbindlichkeit und die klare Zuordnung der Verantwortung. Für Unternehmen, die bisher ohne Sicherheitskonzept gearbeitet haben, ist der Aufwand erheblich. Für Unternehmen mit etabliertem Informationssicherheits-Managementsystem (etwa nach ISO/IEC 27001) geht es eher um Lückenanalyse und Nachweise.

Ein Nebeneffekt, den Geschäftsleitungen beachten sollten: Die Pflicht zur Sicherheit der Lieferkette betrifft auch die Auswahl von Software und Cloud-Diensten. Abhängigkeiten von einzelnen Anbietern sind ein Risiko, das bewertet werden muss – ein Thema, das wir in Exit-Strategie gegen Lock-in vertiefen.

Erste Schritte

• Betroffenheit prüfen, Ergebnis und Begründung dokumentieren – auch wenn es „nicht betroffen“ lautet
• Falls betroffen und noch nicht geschehen: sofort registrieren (ELSTER-Organisationszertifikat, BSI-Portal)
• Verantwortlichkeiten festlegen: Wer berichtet der Geschäftsleitung, wie oft?
• Schulung der Geschäftsleitung planen und nachweisbar durchführen
• Lückenanalyse gegen den Maßnahmenkatalog des § 30
• Meldeprozess für 24/72 Stunden definieren, Zugänge hinterlegen, üben
• Lieferanten und Dienstleister auf Sicherheitsanforderungen prüfen
• Haftungsfragen und D&O-Versicherung mit Rechtsberatung klären

Dieser Beitrag ersetzt keine Rechtsberatung.