Suche
SupportNIS2 in der Praxis: Was Geschäftsleitungen jetzt wissen müssen
Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Welche Pflichten die Geschäftsleitung persönlich trifft und wie Sie strukturiert eine belastbare Grundlage schaffen.
In vielen mittelständischen Unternehmen lief IT-Sicherheit bisher so: Die IT-Abteilung oder der Dienstleister kümmert sich, die Geschäftsführung unterschreibt einmal im Jahr das Budget. Mit dem NIS2-Umsetzungsgesetz, das in Deutschland am 6. Dezember 2025 in Kraft getreten ist, reicht das für betroffene Unternehmen nicht mehr. Das Gesetz nimmt die Leitungsebene ausdrücklich in die Pflicht – und zwar persönlich.
Dieser Beitrag richtet sich an Geschäftsführerinnen, Geschäftsführer und Vorstände. Er erklärt, wer betroffen ist, was konkret von der Leitung erwartet wird und wie ein realistischer Einstieg aussieht, ohne das Tagesgeschäft lahmzulegen.
Bin ich betroffen?
Ob ein Unternehmen unter NIS2 fällt, entscheiden im Wesentlichen zwei Fragen: In welchem Sektor ist es tätig, und wie groß ist es? Erfasst sind zahlreiche Sektoren, darunter Energie, Transport und Logistik, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienstleistungen, aber auch Produktion bestimmter Güter, Lebensmittel, Chemie, Abfallwirtschaft sowie Post- und Kurierdienste.
Bei der Größe gilt als Faustregel die Schwelle für mittlere Unternehmen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Das Gesetz unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen; für einige Einrichtungen gelten Sonderregeln unabhängig von der Größe. Entscheidend ist die tatsächliche Geschäftstätigkeit, nicht der Eintrag im Handelsregister. Gerade Unternehmensgruppen und Firmen mit mehreren Geschäftsfeldern sollten die Einordnung sorgfältig prüfen und im Zweifel rechtlich absichern lassen.
Auch wer nicht direkt betroffen ist, spürt NIS2 häufig indirekt: Betroffene Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb bei ihren Zulieferern und Dienstleistern nach Nachweisen.
Was das Gesetz von der Geschäftsleitung verlangt
Neu ist nicht, dass es Sicherheitsanforderungen gibt, sondern wer für sie geradesteht. Die Geschäftsleitung betroffener Einrichtungen muss die Maßnahmen zum Risikomanagement billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen, um Risiken selbst beurteilen zu können. Verletzt sie diese Pflichten schuldhaft, kann sie gegenüber dem Unternehmen haften.
In der Praxis heißt das: Eine Unterschrift unter ein Konzept, das niemand gelesen hat, genügt nicht. Die Leitung muss nachvollziehen können, welche Risiken bestehen, welche Maßnahmen beschlossen wurden, wer sie umsetzt und wie weit die Umsetzung ist. Delegieren lässt sich die Arbeit, nicht die Verantwortung.
Woran Sie erkennen, ob Ihre Aufsicht funktioniert
- Es gibt einen schriftlichen Maßnahmenplan, den die Geschäftsleitung beschlossen hat
- Sie erhalten regelmäßig – etwa quartalsweise – einen kurzen Bericht zum Umsetzungsstand
- Sie können die drei größten Risiken Ihres Unternehmens in eigenen Worten benennen
- Zuständigkeiten für Sicherheit und Vorfallmeldungen sind namentlich festgelegt
- Ihre letzte Schulung zur Informationssicherheit ist dokumentiert
Welche Maßnahmen gefordert sind
Das Gesetz verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Es schreibt keine bestimmten Produkte vor, nennt aber Themen, die abgedeckt sein müssen:
- Risikoanalyse und Konzepte für die Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette, also auch der Dienstleister und Zulieferer
- Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
- Bewertung der Wirksamkeit der Maßnahmen
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen
- Mehr-Faktor-Authentifizierung und gesicherte Kommunikation
Für ein mittelständisches Unternehmen klingt diese Liste umfangreich. Vieles davon ist aber solides IT-Handwerk, das in gut betreuten Umgebungen ohnehin stattfindet. Was häufig fehlt, ist die Dokumentation: der Nachweis, dass eine Maßnahme bewusst beschlossen, umgesetzt und überprüft wurde. Eine gepflegte IT-Dokumentation und ein aktuelles IT-Notfallhandbuch decken bereits mehrere Punkte ab.
Meldepflichten: Wer meldet was bis wann?
Erhebliche Sicherheitsvorfälle müssen dem Bundesamt für Sicherheit in der Informationstechnik (BSI) gestuft gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden mit einer ersten Bewertung und ein Abschlussbericht innerhalb eines Monats.
24 Stunden sind kurz, wenn gleichzeitig Systeme ausgefallen sind und niemand weiß, wie weit ein Angreifer gekommen ist. Deshalb müssen vorab feststehen: Wer entscheidet, ob ein Vorfall erheblich ist? Wer hat Zugang zum Meldeportal? Wer vertritt diese Person im Urlaub? Wie Sie die ersten Stunden eines Angriffs strukturieren, beschreiben wir im Beitrag Cyberangriff – die ersten 24 Stunden. Zusätzlich gelten unabhängig von NIS2 die Meldepflichten der DSGVO, wenn personenbezogene Daten betroffen sind.
Was bei Verstößen droht
Die NIS2-Richtlinie sieht empfindliche Bußgelder vor: für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent – jeweils der höhere Betrag. Hinzu kommen Aufsichtsmaßnahmen des BSI. Für die meisten Unternehmen wiegt allerdings ein anderes Risiko schwerer: ein Vorfall, der den Betrieb tagelang stilllegt, und die Frage, ob die Leitung ihn mit angemessenen Maßnahmen hätte verhindern können.
So starten Sie strukturiert
1. Betroffenheit und Registrierung klären
Halten Sie schriftlich fest, ob und in welcher Kategorie Ihr Unternehmen betroffen ist und auf welcher Grundlage Sie das entschieden haben. Betroffene Einrichtungen müssen sich beim BSI registrieren; die Frist dafür ist abgelaufen. Was Nachzügler jetzt tun sollten, steht im Beitrag NIS2-Registrierung verpasst?
2. Standortbestimmung
Eine Gap-Analyse zeigt, welche Anforderungen bereits erfüllt sind und wo Lücken bestehen. Wichtig ist, dass sie nicht nur Fragebögen auswertet, sondern die tatsächliche Konfiguration prüft: Ist die Mehr-Faktor-Anmeldung wirklich für alle Konten aktiv? Lassen sich die Backups wirklich wiederherstellen?
3. Maßnahmen priorisieren und beschließen
Nicht alles muss sofort perfekt sein. Entscheidend ist ein nachvollziehbarer Plan, der die größten Risiken zuerst angeht, mit Verantwortlichen, Terminen und Budget. Diesen Plan beschließt die Geschäftsleitung formal.
4. Umsetzen, berichten, nachweisen
Lassen Sie sich regelmäßig berichten und halten Sie die Berichte fest. Wer im Prüffall zeigen kann, dass Risiken erkannt, Maßnahmen beschlossen und ihr Fortschritt überwacht wurden, steht deutlich besser da als ein Unternehmen mit einem perfekten, aber nie gelebten Konzept.
So gehen wir bei BABFE vor
Wir übernehmen die technische Seite von NIS2 und liefern der Geschäftsleitung die Informationen, die sie für ihre Aufsicht braucht. Den Einstieg bildet häufig unser kostenloser Sicherheitscheck: Er prüft Windows-PCs und Macs ohne Administratorrechte und ordnet jede Prüfung unter anderem NIS2 und ISO 27001 zu. Darauf aufbauend erstellen wir einen priorisierten Maßnahmenplan.
Für betreute Kunden stellen wir im Kundenportal den Sicherheitsstatus, die Sicherheits-Baseline und unsere Stellungnahmen zu den umgesetzten Maßnahmen bereit. Das Nachweispaket enthält technische Nachweise, zugeordnet zu NIS2 Art. 21, ISO 27001 und BSI IT-Grundschutz, und ein Kundenbericht je Quartal dient als Grundlage für Ihre Berichte an die Geschäftsleitung. Organisatorische Entscheidungen trifft Ihre Geschäftsführung; für die rechtliche Einordnung der Betroffenheit empfehlen wir Ihre Rechtsberatung. Unsere Leistungen rund um NIS2 fassen wir auf der Seite NIS2 – technisch umsetzen zusammen.
Ihr nächster Schritt
Planen Sie einen Termin, in dem Sie mit Ihrer IT oder Ihrem Dienstleister die vier Startschritte durchgehen. Wenn Sie dafür eine neutrale Standortbestimmung möchten, sprechen Sie uns an – die Erstberatung ist kostenfrei.
