NIS-2-Richtlinie - Umsetzung und Dokumentation

Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland die europäische NIS-2-Richtlinie (EU) 2022/2555 umgesetzt. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten; eine Übergangsfrist gibt es nicht. Die Pflichten ergeben sich aus dem neu gefassten BSI-Gesetz (BSIG).

Der Kreis der Verpflichteten ist deutlich größer als bisher. Neben den Betreibern kritischer Infrastrukturen fallen nach Schätzungen des BSI rund 29.500 Unternehmen unter die neuen Regeln, viele davon aus dem Mittelstand. Sie müssen sich beim BSI registrieren, angemessene Maßnahmen zur Informationssicherheit treffen, erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen melden und die Umsetzung dokumentieren.

Die Verantwortung liegt bei der Geschäftsleitung. Sie muss die Maßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Pflichtverletzungen können Bußgelder nach sich ziehen und eine persönliche Haftung begründen.

Wie wir unterstützen

Wir prüfen, ob und in welcher Kategorie Ihr Unternehmen betroffen ist und begleiten die Registrierung beim BSI. Gemeinsam mit Ihrer IT oder Ihrem IT-Dienstleister erstellen wir die erforderliche Dokumentation: Richtlinien, Zuständigkeiten, Meldeprozesse und Nachweise für die Geschäftsleitung. Verträge mit Dienstleistern und Zulieferern passen wir an die neuen Anforderungen an.

Wer betroffen ist

Das BSIG unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen (§ 28 BSIG). Maßgeblich sind der Tätigkeitsbereich und die Unternehmensgröße. Die erfassten Sektoren sind in den Anlagen 1 und 2 zum BSIG aufgeführt, darunter Energie, Transport und Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste.

• Besonders wichtige Einrichtungen: Unternehmen eines Sektors nach Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Bilanzsumme. Hinzu kommen Betreiber kritischer Anlagen sowie qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter unabhängig von ihrer Größe.
• Wichtige Einrichtungen: Unternehmen eines Sektors nach Anlage 1 oder 2 mit mindestens 50 Beschäftigten oder jeweils mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme, soweit sie nicht bereits besonders wichtige Einrichtungen sind.

Geschäftstätigkeiten, die im Verhältnis zur Gesamttätigkeit vernachlässigbar sind, bleiben bei der Zuordnung außer Betracht. Die Einordnung ergibt sich deshalb nicht immer allein aus Branche und Größe. Die Online-Betroffenheitsprüfung des BSI bietet eine erste Orientierung, ersetzt aber keine Prüfung im Einzelfall.

Die wesentlichen Pflichten

• Registrierung (§ 33 BSIG): spätestens drei Monate nachdem ein Unternehmen erstmals als betroffene Einrichtung gilt, über das BSI-Portal. Voraussetzung ist ein Organisationskonto bei „Mein Unternehmenskonto“ (ELSTER).
• Risikomanagement (§ 30 BSIG): geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, unter anderem zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Krisenmanagement, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung und Schulung der Beschäftigten. Die Umsetzung ist zu dokumentieren.
• Meldepflichten (§ 32 BSIG): Erhebliche Sicherheitsvorfälle sind dem BSI gestaffelt zu melden: eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach.
• Aufsicht: Bei besonders wichtigen Einrichtungen kann das BSI die Einhaltung auch ohne besonderen Anlass prüfen. Bei wichtigen Einrichtungen setzt eine Prüfung voraus, dass Tatsachen auf eine unzureichende Umsetzung hindeuten.

Verantwortung der Geschäftsleitung

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Die Aufgabe lässt sich nicht auf die IT-Abteilung oder einen externen Dienstleister abwälzen. Verletzt die Geschäftsleitung diese Pflichten, haftet sie gegenüber dem Unternehmen für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Vorschriften, bei der GmbH also nach § 43 GmbHG, bei der Aktiengesellschaft nach § 93 AktG. Außerdem müssen die Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen.

Bußgelder

Verstöße gegen zentrale Pflichten, etwa beim Risikomanagement oder bei den Meldungen, können nach § 65 BSIG mit Geldbußen geahndet werden: bei besonders wichtigen Einrichtungen bis zu 10 Mio. Euro, bei wichtigen Einrichtungen bis zu 7 Mio. Euro. Bei einem weltweiten Jahresumsatz von mehr als 500 Mio. Euro liegt die Obergrenze bei 2 Prozent bzw. 1,4 Prozent dieses Umsatzes.

Wie finde ich heraus, ob mein Unternehmen betroffen ist?

Entscheidend sind die tatsächliche Tätigkeit, die Zuordnung zu einem Sektor der Anlagen 1 und 2 zum BSIG sowie Beschäftigtenzahl, Umsatz und Bilanzsumme. Die Betroffenheitsprüfung des BSI gibt eine erste Einschätzung. Bei Unternehmen mit mehreren Geschäftsfeldern oder in Konzernstrukturen ist eine genauere Prüfung sinnvoll.

Die Registrierungsfrist ist abgelaufen. Was jetzt?

Die Registrierung sollte unverzüglich nachgeholt werden. Die Pflicht besteht unabhängig davon, ob das Unternehmen bereits zur Registrierung oder Stellungnahme aufgefordert wurde.

Sind auch Zulieferer und Dienstleister betroffen?

Unmittelbar nur, wenn sie selbst die Voraussetzungen erfüllen. Betroffene Unternehmen müssen jedoch die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis geben sie die Anforderungen deshalb häufig vertraglich an Zulieferer und IT-Dienstleister weiter.

Kann die Geschäftsleitung die Aufgabe an die IT delegieren?

Die praktische Umsetzung können die IT-Abteilung oder externe Dienstleister übernehmen. Die Verantwortung für die Maßnahmen und deren Überwachung bleibt bei der Geschäftsleitung. Entscheidungen, Berichte und Schulungen sollten deshalb sorgfältig dokumentiert werden.

Wie oft muss die Geschäftsleitung geschult werden?

Das Gesetz verlangt eine regelmäßige Teilnahme an Schulungen, nennt aber keinen festen Turnus. Eine jährliche Auffrischung sowie zusätzliche Schulungen bei wesentlichen Änderungen können als Richtwert gelten.

Reicht eine bestehende ISO-27001-Zertifizierung aus?

Ein bestehendes Informationssicherheitsmanagement deckt viele Anforderungen ab und ist eine gute Grundlage. Es sollte aber mit den Vorgaben des BSIG abgeglichen werden, insbesondere mit Registrierung, Meldepflichten und den Pflichten der Geschäftsleitung.