Übersicht
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es ist die deutsche Umsetzung der EU-Richtlinie 2022/2555, schreibt das BSI-Gesetz neu und erweitert den Kreis der regulierten Unternehmen von rund 4.500 auf etwa 29.500 — eine Versechsfachung. Wer betroffen ist, muss zehn Mindestmaßnahmen umsetzen, drei gestufte Meldepflichten erfüllen und persönliche Geschäftsführer-Haftung tragen. Dieser Beitrag fasst die rechtliche Struktur, die Klassifikation, die Maßnahmenpflichten und die Sanktionen kompakt zusammen — mit Paragraphenverweisen.
NIS-2-Umsetzungsgesetz (NIS2UmsuCG)
Gesetz zur Umsetzung der EU-Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Es modernisiert das BSI-Gesetz (BSIG) grundlegend und legt für besonders wichtige und wichtige Einrichtungen verbindliche Mindestmaßnahmen, gestufte Meldepflichten und eine persönliche Haftung der Geschäftsleitung fest. Die Pflichten gelten ohne Übergangsfrist seit dem 6. Dezember 2025; die zentrale Aufsichtsbehörde in Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Aktueller Umsetzungsstand
Das NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Drei Monate später, am 6. März 2026, lief die gesetzliche Frist für die Registrierung beim BSI nach § 33 BSIG ab. Das Ergebnis ist eindeutig — und für viele der neu erfassten Unternehmen problematisch.
Registrierungs-Quote zum 6. März 2026
Von rund 29.500 pflichtigen Unternehmen haben sich bis zur Frist nur etwa 11.500 fristgerecht beim BSI registriert — das entspricht einer Quote von 38,5 Prozent. Die Pflicht endet nicht mit der Registrierung: Sie ist der Eintrittspunkt in ein laufendes Risikomanagement mit dauerhaften Nachweispflichten. Wer jetzt — ob aus Unkenntnis oder Verzögerung — noch nicht erfasst ist, riskiert Bußgelder bis 10 Millionen Euro und persönliche Haftung der Geschäftsführung. Quelle: Security Insider 2026; BSI Pressemitteilung Dezember 2025.
Unter dem alten IT-Sicherheitsgesetz beaufsichtigte das BSI rund 4.500 Organisationen — überwiegend KRITIS-Betreiber mit langer Compliance-Erfahrung. Mit NIS-2 hat sich der Kreis mehr als versechsfacht. Viele der neu erfassten Unternehmen — Lebensmittelhersteller, Logistiker, mittelständische Industriezulieferer, Forschungseinrichtungen — hatten bisher keine Berührungspunkte mit BSI-Regulierung und unterschätzen Geltung, Aufwand und Sanktionen erheblich.
Wer ist betroffen — Klassifikation und Schwellen
NIS-2 unterscheidet zwei Klassen von Pflicht-Adressaten: besonders wichtige Einrichtungen (Anhang I) und wichtige Einrichtungen (Anhang II). Beide Klassen unterliegen denselben zehn Mindestmaßnahmen, aber unterschiedlichen Bußgeld-Höhen und Aufsichtsregimen. Die Klassifikation hängt von zwei Faktoren ab: Sektor (Anhang I oder II?) und Größe (mindestens mittelständisch?). Ein dritter Sonderfall sind größenunabhängig erfasste Einrichtungen — KRITIS-Betreiber, Telekommunikationsanbieter, qualifizierte Vertrauensdienste, TLD- und DNS-Anbieter — bei denen die Größe keine Rolle spielt.
Größenunabhängig erfasst? KRITIS-Betreiber, TK-Anbieter, qualifizierte Vertrauensdienste, TLD- oder DNS-Anbieter
Sektor in Anhang I (hochkritisch) und ab 250 MA oder 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme?
Sektor in Anhang I oder II und ab 50 MA oder 10 Mio. € Umsatz?
Sektor nicht erfasst oder unter 50 MA und unter 10 Mio. € Umsatz?
Die Größenschwellen werden am Bilanzstichtag des letzten abgeschlossenen Geschäftsjahres geprüft. Mitarbeitende werden in Vollzeitäquivalenten gezählt. Wer in einem Anhang-I-Sektor unterhalb der „besonders wichtig“-Schwelle liegt, fällt automatisch in die wichtige-Klasse, sofern die kleinere Schwelle erreicht ist.
Die 18 Sektoren in Anhang I und II
Die NIS-2-Richtlinie und das deutsche BSIG erfassen 18 Sektoren in zwei Anhängen. Anhang I umfasst elf Sektoren mit hoher Kritikalität — dort sind Unternehmen ab den entsprechenden Größenschwellen besonders wichtige Einrichtungen. Anhang II umfasst sieben weitere kritische Sektoren — dort werden Unternehmen ab den Schwellenwerten als wichtige Einrichtungen eingestuft. Eine Einrichtung kann nur einer Klasse angehören; bei mehrfach tätigen Unternehmen entscheidet die kritischste Tätigkeit.
Anhang I · 11 Sektoren
Sektoren mit hoher Kritikalität
- Energie — Strom, Fernwärme, Erdöl, Erdgas, Wasserstoff
- Verkehr — Luft-, Schienen-, Schiff- und Straßenverkehr
- Bankwesen — Kreditinstitute
- Finanzmarktinfrastruktur — Handelsplätze, zentrale Gegenparteien
- Gesundheitswesen — Krankenhäuser, Labore, Hersteller von Medizinprodukten
- Trinkwasser — Versorgung und Verteilung
- Abwasser — Sammlung, Entsorgung, Behandlung
- Digitale Infrastruktur — Internet-Knoten, DNS, TLD, Cloud, Rechenzentren, CDN, Vertrauensdienste, TK-Netze
- Verwaltung von IKT-Diensten — Managed Service und Managed Security Service Provider
- Öffentliche Verwaltung — Bund, Land, Kommunen (sofern erfasst)
- Weltraum — Bodeninfrastruktur-Betreiber
Anhang II · 7 Sektoren
Sonstige kritische Sektoren
- Post- und Kurierdienste — Anbieter mit Zustellnetzwerk
- Abfallbewirtschaftung — Sammlung, Behandlung, Entsorgung
- Chemikalien — Produktion, Herstellung, Vertrieb von Stoffen und Gemischen
- Lebensmittel — Produktion, Verarbeitung, Großhandelsvertrieb
- Verarbeitendes Gewerbe — Medizinprodukte, Computer/Elektronik, elektrische Ausrüstung, Maschinenbau, Kraftfahrzeuge, sonstige Fahrzeuge
- Anbieter digitaler Dienste — Online-Marktplätze, Suchmaschinen, soziale Netzwerk-Plattformen
- Forschungseinrichtungen — öffentlich oder privat finanziert
Häufig übersehen: Anhang II umfasst auch das verarbeitende Gewerbe in breiten Teilsektoren — Maschinenbau, Kraftfahrzeugzulieferer, Medizintechnik, Elektronik. Wer als Mittelständler mit 50–250 Beschäftigten in einem dieser Bereiche tätig ist, fällt damit als wichtige Einrichtung unter die zehn Mindestmaßnahmen, auch wenn er sich klassisch nicht als „kritische Infrastruktur“ versteht. Die Klassifikationsfrage lohnt sich — sie ist der erste Compliance-Schritt.
Die zehn Mindestmaßnahmen nach § 30 BSIG
§ 30 BSIG verlangt von allen besonders wichtigen und wichtigen Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um die Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme abzusichern. Die Maßnahmen müssen dem Stand der Technik entsprechen und mindestens die folgenden zehn Bereiche abdecken. Die Aufzählung in § 30 Abs. 2 BSIG ist gesetzlich verbindlich — keine dieser Maßnahmen ist optional. Ein nach ISO/IEC 27001 zertifiziertes ISMS deckt diese zehn Bereiche weitgehend automatisch ab.
- Risikoanalyse und Sicherheitskonzepte — dokumentierte Konzepte für Risikoanalyse und Informationssicherheit, mit jährlicher Überprüfung und Aktualisierung bei wesentlichen Änderungen (Nr. 1)
- Bewältigung von Sicherheitsvorfällen — definierte Prozesse zur Erkennung, Klassifikation, Eindämmung und Aufarbeitung von Sicherheitsvorfällen mit Meldewegen, Eskalationsregeln und Nachbereitung (Nr. 2)
- Aufrechterhaltung des Betriebs — Backup-Management, Wiederherstellungskonzepte, Notfall- und Krisenmanagement; faktisch der Bezug zu ISO/IEC 22301 (Nr. 3)
- Lieferkettensicherheit — Sicherheitsanforderungen an direkte Anbieter und Diensteanbieter, vertragliche Mindeststandards, Lieferanten-Bewertung, Reaktion auf Vorfälle in der Lieferkette (Nr. 4)
- Sicherheit bei Beschaffung, Entwicklung und Wartung — sichere Beschaffungsprozesse, Schwachstellenmanagement, sicherer Softwareentwicklungszyklus, Patch- und Konfigurationsmanagement (Nr. 5)
- Wirksamkeitsprüfung der Maßnahmen — Konzepte und Verfahren zur Bewertung der Wirksamkeit, Audit-Programme, interne und externe Prüfungen, Penetrationstests, Wirksamkeitsindikatoren (Nr. 6)
- Cyber-Hygiene und Schulungen — grundlegende Cyber-Hygiene-Praktiken, Sensibilisierung der Belegschaft zu Phishing, Social Engineering, Passwort-Hygiene, mit dokumentierter Schulungshistorie (Nr. 7)
- Kryptografie und Verschlüsselung — Konzepte und Verfahren für Datenübertragung, Datei-Speicherung und Authentifizierung, Krypto-Inventar, Schlüsselmanagement (Nr. 8)
- Personalsicherheit, Zugriffskontrolle, Asset-Management — strukturierte Personalsicherheit (Eintritt, Wechsel, Austritt), rollenbasiertes Zugriffskonzept nach Need-to-Know, vollständiges Asset-Inventar (Nr. 9)
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation — MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, Notfallkommunikation (Nr. 10)
„Geeignet, verhältnismäßig, wirksam“
Das BSI prüft nicht, ob ein Tool gekauft wurde — es prüft, ob die Maßnahmen wirksam sind. Eine Backup-Lösung ohne dokumentierten Wiederanlauf-Test zählt nicht als wirksam; ein Awareness-Programm ohne Schulungsquote ist nicht nachweisbar. Die Pflicht zur Dokumentation ist explizit — nicht-dokumentierte Maßnahmen gelten im Audit als nicht umgesetzt.
Meldepflichten — drei Stationen, drei Fristen
Erhebliche Sicherheitsvorfälle unterliegen einem strukturierten und zeitkritischen Meldeprozess an das BSI. § 32 BSIG legt drei Stationen mit harten Fristen fest. Alle drei Meldungen erfolgen über das BSI-Melde- und Informationsportal. Ein Vorfall ist meldepflichtig, wenn er eine erhebliche Auswirkung auf die Erbringung der wesentlichen Dienstleistung haben kann oder grenzüberschreitende Auswirkungen hat.
+ 24 Stunden — Frühwarnung (§ 32 Abs. 4 Satz 1 Nr. 1 BSIG)
Erste Meldung an das BSI binnen 24 Stunden ab Kenntnisnahme des Vorfalls. Inhalt: Annahme der Rechtswidrigkeit oder Bösartigkeit, mögliche grenzüberschreitende Auswirkungen, erste Einschätzung der Schwere. Eine vorläufige Meldung bei unklarem Sachverhalt ist möglich und empfohlen.
+ 72 Stunden — Erstmeldung mit Bewertung (§ 32 Abs. 4 Satz 1 Nr. 2 BSIG)
Strukturierte Bewertung des Vorfalls binnen 72 Stunden: Schwere und Auswirkungen, Indikatoren für Kompromittierung, bisherige und geplante Gegenmaßnahmen. Die 72-Stunden-Frist ist parallel zur DSGVO-Datenpannen-Meldung nach Art. 33 DSGVO — bei Personenbezug greifen beide Pflichten zugleich.
+ 1 Monat — Abschlussbericht (§ 32 Abs. 4 Satz 1 Nr. 4 BSIG)
Detaillierte Vorfalls-Analyse binnen einem Monat: Bewertung der Bedrohungsart und der Auswirkungen, ergriffene Maßnahmen, Lessons Learned. Der Abschlussbericht ist der Compliance-Nachweis und wird vom BSI archiviert. Bei nicht abgeschlossener Aufarbeitung ist ein Zwischenbericht zulässig, mit Begründung der Verzögerung.
Bei NIS-2-Pflicht greift die Meldepflicht zusätzlich zu bestehenden Pflichten — etwa der DSGVO-Datenpannen-Meldung nach Art. 33 DSGVO, der KRITIS-Meldung für KRITIS-Betreiber oder branchenspezifischen Pflichten (BAIT/VAIT für den Finanzsektor). Zwei Meldungen aus einem Vorfall sind die Regel, nicht die Ausnahme. Die Konsolidierung der Meldewege gehört in den Notfallplan.
Geschäftsführer-Haftung nach § 38 BSIG
Die einschneidendste Neuerung von NIS-2 steht in § 38 BSIG. Die Geschäftsleitung haftet persönlich für die Umsetzung der Risikomanagementmaßnahmen — mit Privatvermögen, ohne Möglichkeit der Haftungsbegrenzung durch die Einrichtung selbst. Drei konkrete Pflichten sind gesetzlich verankert.
Genehmigungspflicht (§ 38 Abs. 1 BSIG)
Die Risikomanagementmaßnahmen nach § 30 müssen von der Geschäftsführung formell genehmigt werden. Delegation an den CISO oder die IT-Leitung reicht nicht. Die Geschäftsleitung muss nachweislich entschieden haben — mit Beschlussdokumentation und Datum.
Überwachungspflicht (§ 38 Abs. 1 BSIG)
Die Geschäftsführung muss die Umsetzung der Maßnahmen aktiv überwachen — nicht nur informiert werden, sondern steuern. Das BSI kann Nachweise verlangen, dass diese Überwachung stattfindet: Reportings, Steuerungsgremien, dokumentierte Review-Termine.
Schulungspflicht (§ 38 Abs. 3 BSIG)
Leitungsorgane müssen sich regelmäßig in Cybersicherheit schulen lassen. Die Gesetzesbegründung rechnet mit halbtägigen Schulungen — etwa vier Stunden — und mindestens alle drei Jahre Auffrischung. Die Pflicht ist persönlich und nicht delegierbar; ein Schulungsnachweis muss im Audit vorliegen.
Haftungsverzicht ausgeschlossen
§ 38 Abs. 2 BSIG ordnet die persönliche Haftung der Geschäftsleitung gegenüber der Einrichtung an, wenn diese Pflichten schuldhaft verletzt werden — nach den jeweils anwendbaren Regeln des Gesellschaftsrechts (§ 43 GmbHG, § 93 AktG). Ein Verzicht auf diese Haftung durch das Unternehmen selbst ist gesetzlich ausgeschlossen. Die Geschäftsführung kann sich also nicht durch Beschluss der Gesellschafterversammlung freistellen lassen — eine fundamentale Abweichung von der sonst üblichen GmbH-Praxis.
Bußgelder und Sanktionen
Die Bußgeld-Obergrenzen unterscheiden sich nach Klassifikation. Besonders wichtige Einrichtungen tragen das höhere Risiko, wichtige Einrichtungen das niedrigere — beide auf einem Niveau, das für mittelständische Unternehmen existenzbedrohend werden kann. In beiden Klassen gilt das Höchstwert-Prinzip: der jeweils höhere der beiden Werte (Festbetrag oder Prozentsatz vom weltweiten Konzernumsatz) ist die Obergrenze.
Besonders wichtige Einrichtungen
- 10 Mio. € Festbetrag-Obergrenze
- 2 % vom weltweiten Jahresumsatz
- Jeweils der höhere Wert gilt
- Anlasslose Vor-Ort-Kontrollen nach § 61 BSIG
- Audit-Anordnungen jederzeit möglich
- Bei schweren Verstößen: Untersagung der Geschäftstätigkeit
Wichtige Einrichtungen
- 7 Mio. € Festbetrag-Obergrenze
- 1,4 % vom weltweiten Jahresumsatz
- Jeweils der höhere Wert gilt
- Anlassbezogene Aufsicht nach § 62 BSIG
- Prüfungen bei Anhaltspunkten für Verstöße
- Persönliche GF-Haftung gleichermaßen
Im Rechtsvergleich liegen die NIS-2-Bußgelder ähnlich hoch wie unter der DSGVO und höher als unter dem alten IT-Sicherheitsgesetz. Der ab 2027 anwendbare Cyber Resilience Act (CRA) sieht Sanktionen bis 15 Mio. € oder 2,5 % vor. Das Sanktionsniveau zwischen den europäischen Cybersicherheits-Regimen konvergiert auf einen Korridor, in dem ein einzelner Verstoß die wirtschaftliche Existenz eines mittelständischen Unternehmens gefährden kann.
NIS-2 im Vergleich zu anderen Regimen
NIS-2 steht nicht allein. Die Cybersicherheits-Welt ist eine überlappende Landkarte aus Pflicht-Regulierungen, Wahl-Standards und sektoralen Anforderungen. Wer eine NIS-2-Pflicht hat, hat häufig parallel eine ISO-27001-Anforderung von Konzernmüttern oder Großkunden, eine KRITIS-Pflicht im Versorgungssektor oder eine DORA-Pflicht im Finanzsektor. Die folgende Tabelle ordnet die fünf wichtigsten Regime nach Anwendungsbereich, Pflicht-Charakter, Zertifizierung und Sanktionen ein.
| NIS-2 / BSIG | ISO/IEC 27001 | KRITIS | DORA | CRA | |
|---|---|---|---|---|---|
| Charakter | Gesetzliche Pflicht | Freiwilliger Standard, oft de-facto-Pflicht | Gesetzliche Pflicht | EU-Verordnung | EU-Verordnung, ab 2027 |
| Anwendungsbereich | ~29.500 Unternehmen in 18 Sektoren | Alle Branchen, weltweit | ~2.000 KRITIS-Anlagenbetreiber | Banken, Versicherer, KVGs, IKT-Dienstleister | Hersteller von Produkten mit Software-Komponenten |
| Zertifizierung | Keine Pflicht; Wirksamkeitsnachweis durch BSI-Audit | Akkreditierte Zertifizierung durch DEKRA, DQS, TÜV | Nachweis alle 2 Jahre an das BSI | Audits durch BaFin, Wirtschaftsprüfer | CE-Konformität oder Notified-Body |
| Bußgeld-Maximum | 10 Mio. € / 2 % (besonders wichtig) 7 Mio. € / 1,4 % (wichtig) |
Keine direkte Sanktion | 20 Mio. € | 1 % Tagesumsatz Zwangsgeld pro Tag | 15 Mio. € / 2,5 % |
| Persönliche GF-Haftung | Ja — § 38 BSIG, Verzicht ausgeschlossen | Mittelbar über § 43 GmbHG / § 91 AktG | Mittelbar über Sorgfaltspflichten | Spezifische Verantwortlichkeiten der Leitungsorgane | Herstellerhaftung für Konformität |
| Aufsichtsbehörde (DE) | BSI | Akkreditierte Zertifizierungsstellen | BSI | BaFin und Bundesbank | Marktüberwachungsbehörden |
Die fünf Regime überschneiden sich in der Praxis. Ein nach ISO/IEC 27001 zertifiziertes ISMS deckt einen Großteil der NIS-2-Mindestmaßnahmen ab. Ein KRITIS-Betreiber ist meist auch NIS-2-pflichtig (besonders wichtige Einrichtung). Ein Finanzdienstleister mit DORA-Pflicht hat zusätzlich BAIT/VAIT/KAIT-Anforderungen. Die strategische Frage ist nie „welches Regime?“, sondern „welches integrierte Management-System reduziert den Doku- und Audit-Aufwand?“.
NIS-2-Audit-Checkliste
Die folgenden Punkte sind Mindestanforderungen für eine NIS-2-konforme Aufstellung. Sie sollten regelmäßig überprüft werden — idealerweise einmal jährlich oder bei wesentlichen Änderungen an Prozessen, Systemen oder Lieferanten:
- Klassifikation als besonders wichtige oder wichtige Einrichtung ist dokumentiert
- Registrierung beim BSI nach § 33 BSIG ist erfolgt und aktuell
- Alle zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG sind dokumentiert und werden gelebt
- Geschäftsleitung hat die Risikomanagementmaßnahmen formell genehmigt (mit Datum)
- Schulungsnachweise für die Geschäftsleitung liegen vor (mindestens alle drei Jahre)
- Lieferketten-Sicherheit: Verträge mit kritischen Anbietern enthalten Sicherheitsanforderungen
- Vorfalls-Reaktion mit 24/72-Stunden-Bereitschaft ist eingeübt — nicht nur dokumentiert
- Multi-Faktor-Authentifizierung ist für alle privilegierten Konten eingerichtet
- Backup-Konzept mit getestetem Wiederanlauf ist vorhanden und periodisch geprüft
- Cyber-Awareness-Schulung der Belegschaft mit dokumentierter Teilnahmequote
- Wirksamkeit der Maßnahmen wird periodisch überprüft (interne Audits, Penetrationstests)
- Tätigkeitsbericht der Informationssicherheit geht jährlich an die Geschäftsleitung
Häufige Fragen zu NIS-2
Gilt NIS-2 auch für meine kleine GmbH mit 30 Mitarbeitenden?
Vermutlich nicht — die Größenschwelle für „wichtige Einrichtungen“ liegt bei mindestens 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz. Es gibt aber zwei Ausnahmen: Erstens fällt das Unternehmen doch unter NIS-2, wenn es größenunabhängig erfasst ist (KRITIS-Betreiber, TK-Anbieter, qualifizierter Vertrauensdienst, TLD- oder DNS-Anbieter). Zweitens werden bei verbundenen Unternehmen die Werte der Muttergesellschaft miteinberechnet, wenn die Tochter keinen eigenständigen Marktauftritt hat.
Was passiert, wenn ich die BSI-Registrierungs-Frist verpasst habe?
Die Frist (6. März 2026) ist abgelaufen, aber die Pflicht besteht weiter — die Registrierung nach § 33 BSIG ist eine Dauerpflicht, keine einmalige Stichtagspflicht. Wer noch nicht registriert ist, sollte die Eintragung umgehend nachholen, idealerweise begleitet von der Klassifikationsdokumentation und ersten Maßnahmennachweisen. Eine verspätete Registrierung allein ist kein automatisches Bußgeld-Verfahren — riskant wird es, wenn die fehlende Registrierung mit fehlenden Mindestmaßnahmen zusammenfällt und das BSI auf einen erheblichen Sicherheitsvorfall reagiert.
Reicht ein ISO-27001-Zertifikat für die NIS-2-Konformität?
Weitgehend, aber nicht vollständig. Ein nach ISO/IEC 27001:2022 zertifiziertes ISMS deckt acht bis neun der zehn Mindestmaßnahmen nach § 30 BSIG sehr gut ab. Was zusätzlich nachgewiesen werden muss, sind die NIS-2-spezifischen Pflichten: Lieferkettensicherheit in der konkreten BSIG-Auslegung, die BSI-Registrierung selbst, die Geschäftsführer-Schulung nach § 38 Abs. 3 BSIG, die formale Genehmigung der Maßnahmen durch die Leitung, die Anbindung an die § 32-Meldepflicht. Eine ISO-27001-Zertifizierung ist also ein starker Anker, aber kein Selbstläufer für NIS-2-Konformität.
Wer haftet bei einem Sicherheitsvorfall — die Geschäftsführung persönlich?
Im Außenverhältnis haftet die Einrichtung als juristische Person für Bußgelder und Schadensersatz. Im Innenverhältnis kann die Einrichtung jedoch ihre Geschäftsführer in Anspruch nehmen — auf Basis der allgemeinen Sorgfaltspflichten (§ 43 GmbHG, § 93 AktG) oder direkt nach § 38 Abs. 2 BSIG bei nachweislichem Verstoß gegen die Genehmigungs-, Überwachungs- oder Schulungspflicht. Diese Innenhaftung erstreckt sich auf das Privatvermögen. Anders als bei sonstigen Geschäftsführer-Haftungen kann die Einrichtung diese spezifische BSIG-Haftung nicht durch Beschluss der Gesellschafterversammlung erlassen.
Wie hoch ist der typische Aufwand für die NIS-2-Einführung?
Bei einem mittelständischen Unternehmen mit 50–250 Beschäftigten und mittlerer IT-Komplexität liegt der Zeitraum vom Projektstart bis zur belastbaren Konformitäts-Reife typischerweise bei 6–12 Monaten. Die Kosten verteilen sich auf drei Blöcke: Beratung und Methodik (externer ISB oder Projekt-Beratung), technische Maßnahmen (Patch-Management, MFA-Roll-out, Backup-Verbesserungen, Monitoring) und interne Personalbindung (IT-Leitung, Datenschutz, Fachbereiche). Mandanten mit vorhandenem ISMS oder Datenschutz-Strukturen erreichen den unteren Rand des Korridors.
Müssen wir einen Informationssicherheits-Beauftragten bestellen?
NIS-2 selbst verlangt keinen formal benannten ISB im Sinne einer Bestellung — anders als die DSGVO mit Art. 37 für den Datenschutzbeauftragten. Praktisch ist die ISB-Funktion aber unverzichtbar, weil § 30 BSIG ein systematisch gesteuertes Risikomanagement verlangt, § 38 BSIG eine ständige Überwachung durch die Geschäftsleitung und § 32 BSIG eine 24-Stunden-Reaktionsbereitschaft. Diese Anforderungen sind ohne benannten Verantwortlichen praktisch nicht zu leisten. Für mittelständische Unternehmen ist ein externer ISB häufig der pragmatischere Weg.
Wie verhält sich NIS-2 zu unseren bestehenden Compliance-Pflichten?
NIS-2 setzt sich auf bestehende Pflichten — sie ergänzt, ersetzt aber nicht. Wer als KRITIS-Betreiber bisher unter § 8a BSIG-alt fiel, hat seine Pflicht in § 31 BSIG-neu wiedergefunden — mit zusätzlich § 30 BSIG. Wer als Finanzdienstleister DORA und BAIT/VAIT erfüllt, hat NIS-2 weitgehend abgedeckt. Wer einen Datenschutz-Beauftragten hat, hat methodisch viel von einem ISMS schon vorbereitet. Die strategische Antwort ist nicht „getrennte Systeme nach Pflicht“, sondern ein integriertes Management-System, das alle einschlägigen Pflichten gemeinsam adressiert. Audit- und Doku-Aufwand reduzieren sich dadurch erfahrungsgemäß um 30–50 %.
