NIS2: Was bedeutet das für mein Unternehmen?

Was NIS2 regelt und wo Deutschland ins Spiel kommt

NIS2 soll erreichen, dass Einrichtungen mit Bedeutung für Wirtschaft und Gesellschaft ihre digitalen Risiken systematisch beherrschen. Gemeint sind nicht nur spektakuläre Hackerangriffe. Auch Fehlkonfigurationen, ausgefallene Dienstleister und unzureichende Wiederherstellung können die Verfügbarkeit, Integrität oder Vertraulichkeit eines Dienstes beeinträchtigen. Ein Unternehmen braucht deshalb mehr als ein einzelnes Sicherheitsprodukt.

Die Richtlinie richtet sich zunächst an die Mitgliedstaaten. Für Unternehmen in Deutschland sind insbesondere das BSI-Gesetz, seine Anlagen und einschlägige ergänzende Vorschriften maßgeblich. Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Ältere Präsentationen mit einem damals erwarteten Starttermin sind daher keine verlässliche Arbeitsgrundlage mehr. Der jeweils aktuelle Gesetzestext gehört in die Prüfung.

Die Begriffe „wichtige Einrichtung“ und „besonders wichtige Einrichtung“ sind rechtliche Kategorien. Sie sagen nichts darüber aus, wie wichtig die eigene Arbeit persönlich ist. Beide Gruppen unterliegen grundlegenden Sicherheits- und Meldepflichten; Aufsicht und einzelne Anforderungen unterscheiden sich. Betreiber kritischer Anlagen müssen zusätzliche Regeln beachten. Die Abgrenzung zu KRITIS wird auf der KRITIS-Grundlagenseite ausführlicher erklärt.

Für die Leitung ist zunächst eine einfache Trennung hilfreich: Was müssen wir rechtlich tun, was benötigen wir für unseren Betrieb und was erwarten unsere Kunden? Diese drei Fragen überschneiden sich, sind aber nicht identisch. Ein Kundenfragebogen ersetzt keine rechtliche Einordnung. Ein positiver Rechtscheck wiederum hält den Betrieb bei einem Ausfall nicht am Laufen.

Betroffenheit prüfen: Tätigkeit vor Bauchgefühl

Die Prüfung beginnt mit der tatsächlichen Tätigkeit der jeweiligen Einrichtung. Welche Dienste werden erbracht, welche Produkte hergestellt und welche Einrichtungsarten aus den gesetzlichen Anlagen kommen infrage? Ein Branchenetikett auf der Website ist dafür zu ungenau. Ein Unternehmen kann mehrere Tätigkeiten ausüben; bei Unternehmensgruppen sind rechtliche Einheiten, Verbindungen und relevante Berechnungsregeln sorgfältig zu betrachten.

Danach werden die Größenkriterien und Sonderregeln geprüft. Mitarbeiterzahl, Umsatz und Bilanzsumme spielen eine Rolle, aber nicht in jeder Einrichtungsart nach demselben Muster. Es gibt außerdem gesetzliche Fälle, in denen eine Einordnung nicht von der üblichen Größe abhängt. Deshalb wäre „unter 50 Beschäftigten betrifft uns das nie“ ebenso unzuverlässig wie „ab 50 sind alle dabei“. Die Details stehen in § 28 BSIG und den Anlagen.

Ein brauchbarer Nachweis enthält die betrachtete Gesellschaft, Tätigkeiten, verwendeten Zahlen, Rechtsgrundlagen, offene Auslegungsfragen und ein Prüfdatum. Bei einem Grenzfall wird die Frage gezielt fachlich oder rechtlich geklärt. Das BSI bietet Orientierungshilfen; die Verantwortung für eine belastbare Einordnung wird durch einen Online-Test aber nicht abgegeben. Auch ein negatives Ergebnis sollte nachvollziehbar sein.

Was die Geschäftsleitung organisieren muss

§ 38 BSIG verpflichtet die Geschäftsleitungen erfasster Einrichtungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Dazu kommt die regelmäßige Schulung der Geschäftsleitung. Das bedeutet nicht, dass die Geschäftsführerin selbst eine Firewall konfigurieren soll. Sie muss jedoch verstehen können, welche wesentlichen Risiken bestehen, welche Maßnahmen vorgesehen sind und welche Entscheidungen oder Ressourcen fehlen.

Sinnvoll ist eine klare Aufgabenverteilung: Eine Person koordiniert Informationssicherheit; Fachbereiche verantworten ihre Prozesse; die IT betreibt technische Maßnahmen; die Geschäftsleitung entscheidet über Prioritäten und verbleibende Risiken. Externe Dienstleister können unterstützen. Ein Vertrag mit einem Systemhaus verschiebt jedoch nicht automatisch die eigene Leitungsverantwortung. „Die IT macht das“ ist als Organisationsmodell ungefähr so präzise wie „irgendjemand hat den Schlüssel“.

Die Leitung braucht eine regelmäßige, kurze Lageübersicht: wesentliche Risiken, überfällige Maßnahmen, kritische Schwachstellen, Ergebnisse von Wiederherstellungstests, relevante Vorfälle und offene Entscheidungen. Eine Ampel ist hilfreich, wenn ihre Bedeutung feststeht. Eine grüne Ampel ohne belastbare Prüfkriterien ist vor allem grün. Für eine sinnvolle Überwachung müssen auch unangenehme Abweichungen sichtbar werden dürfen.

Die persönliche Haftung lässt sich nicht seriös mit einem pauschalen Schreckenssatz erklären. § 38 verweist auf schuldhaft verursachte Schäden und die einschlägigen gesellschaftsrechtlichen Regeln. Für die Praxis zählt: Entscheidungen vorbereiten, Zuständigkeiten festlegen, Umsetzung verfolgen und nachvollziehbar dokumentieren. Bei konkreten Haftungsfragen ist die jeweilige Rechtsform und Situation entscheidend.

Angemessene Maßnahmen statt Dokumentensammlung

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Maßgeblich sind unter anderem Risikoexposition, Größe, Umsetzungskosten sowie mögliche wirtschaftliche und gesellschaftliche Folgen. Das ist kein Freibrief für das billigste Angebot. Es ist der Auftrag, Maßnahmen nachvollziehbar am tatsächlichen Risiko auszurichten und ihre Umsetzung zu dokumentieren.

• Risiken und wichtige Systeme kennen: Dienste, Verantwortliche, Abhängigkeiten und Schutzbedarf erfassen.
• Vorfälle erkennen und behandeln: Meldewege, Zuständigkeiten und Reaktionsabläufe vorbereiten.
• Betrieb und Wiederherstellung absichern: Backups, Notfallverfahren und Wiederanlauf praktisch prüfen.
• Lieferketten und Dienstleister berücksichtigen: Zugänge, Leistungen, Abhängigkeiten und Sicherheitsanforderungen klären.
• Systeme sicher beschaffen, entwickeln und pflegen: Schwachstellen behandeln, Änderungen kontrollieren und Updates organisieren.
• Wirksamkeit und Menschen einbeziehen: Kontrollen, Schulungen, sichere Zugänge und angemessene Authentisierung etablieren.

Diese Übersicht fasst Handlungsfelder zusammen; sie ersetzt nicht die vollständige Anforderungsliste des Gesetzes. Ein guter Maßnahmenplan verbindet jedes wesentliche Risiko mit einer Maßnahme, einem Verantwortlichen, einem Termin und einer geeigneten Wirksamkeitskontrolle. „Backup vorhanden“ ist ein Bestandsmerkmal. „Wiederherstellung innerhalb der vereinbarten Zeit erfolgreich getestet“ ist eine wesentlich nützlichere Aussage.

Ein Informationssicherheitsmanagementsystem schafft dafür Ordnung. Es muss nicht automatisch ein zertifiziertes ISO-27001-System sein. Vorhandene Prozesse können genutzt werden, solange Geltungsbereich, Anforderungen und Nachweise zusammenpassen. Das Grundprinzip ist PDCA: planen, umsetzen, prüfen und verbessern. Umfang und Formalität müssen zum Unternehmen passen; die Verantwortung darf dabei nicht zwischen den Ordnern verschwinden.

Registrierung und Meldungen vorbereiten

Die Registrierung und die Meldung eines Vorfalls sind zwei unterschiedliche Aufgaben. Nach § 33 BSIG gilt grundsätzlich eine Registrierungsfrist von drei Monaten, nachdem eine Einrichtung erstmals oder erneut unter die entsprechende Kategorie fällt. Änderungen bestimmter Angaben sind ebenfalls fristgebunden mitzuteilen. Für kritische Anlagen bestehen besondere Verknüpfungen zum KRITIS-Dachgesetz. Zugang, Kontaktpersonen und Vertretung sollten vor einem Vorfall geklärt sein.

Bei einem erheblichen Sicherheitsvorfall greift ein gestuftes Meldeverfahren nach § 32 BSIG. Die Fristen beginnen mit der Kenntniserlangung vom erheblichen Vorfall, nicht erst mit dem Abschluss der Ursachenanalyse. Ob die Erheblichkeit vorliegt, muss anhand der einschlägigen Kriterien beurteilt werden. Nicht jede blockierte Phishing-Mail ist bereits eine meldepflichtige Krise. Ein folgenreicher Ausfall sollte allerdings auch nicht intern so lange umbenannt werden, bis die Frist vorbei ist.

Bei einem noch laufenden Vorfall sieht das Gesetz statt des Abschlusses eine Fortschrittsmeldung vor; außerdem kann eine Zwischenmeldung verlangt werden. Diese Darstellung ist eine Orientierung zum allgemeinen Verfahren. Besondere Anforderungen sind im konkreten Fall zusätzlich zu prüfen. Die Organisation braucht deshalb eine dokumentierte Entscheidungskette mit Fachverantwortlichen, erreichbarer Leitung und Vertretung. Ein Ablauf, den ausschließlich eine Person im Urlaub kennt, ist kein belastbarer Meldeprozess.

Praxisbeispiel: vom Befund zum Arbeitsprogramm

Ein fiktiver mittelständischer Hersteller hat seine Betroffenheit geprüft und dokumentiert. In einer ersten Bestandsaufnahme fallen vier Dinge auf: externe Fernzugänge ohne einheitliche Freigabe, unklare Wiederherstellungszeiten, eine veraltete Kontaktliste und keine regelmäßige Risikoberichterstattung. Der erste Schritt ist nicht der Kauf einer Plattform. Zunächst werden Auswirkungen und Zuständigkeiten geklärt: Welche Produktion steht bei welchem Ausfall, wie lange ist das tragbar und wer entscheidet?

Danach werden offene Zugänge bereinigt, zusätzliche Authentisierung eingeführt und Dienstleisterrechte begrenzt. Parallel organisiert das Unternehmen einen Wiederherstellungstest für einen wichtigen Prozess und bereitet den Meldeablauf vor. Zu jeder Aufgabe stehen ein Verantwortlicher und ein Termin fest. Abhängigkeiten werden berücksichtigt: Ein wiederhergestellter Server hilft wenig, wenn die Anmeldung, die Datenbank oder die zuständige Person noch fehlen.

Nach der ersten Umsetzungsphase prüft die Geschäftsleitung die Ergebnisse. Ein Test zeigt, dass der Wiederanlauf länger dauert als angenommen. Das ist kein Anlass, den Bericht freundlicher zu formulieren. Es ist eine Entscheidungsgrundlage: Notverfahren verbessern, technische Engpässe beseitigen oder die tolerierbare Ausfallzeit fachlich neu bewerten. So wird aus einem gesetzlichen Anlass ein funktionierender Verbesserungsprozess. Die konkrete Reihenfolge bleibt risikobasiert; dieses Beispiel ist kein universeller Fristenplan.

Datenschutz, KI und Lieferanten mitdenken

Ein Sicherheitsvorfall kann zugleich personenbezogene Daten betreffen. Dann sind neben NIS2 die datenschutzrechtlichen Voraussetzungen für Meldungen und gegebenenfalls Benachrichtigungen gesondert zu prüfen. Gleich klingende Fristen bedeuten nicht, dass Empfänger, Auslöser und Inhalte identisch sind. Der Vorfallprozess sollte deshalb Informationssicherheit, Datenschutz und rechtliche Bewertung früh zusammenbringen. Eine Meldung an eine Stelle erledigt nicht automatisch alle anderen Pflichten.

KI wird relevant, wenn sie Informationen verarbeitet oder Geschäftsprozesse steuert. Vertrauliche Eingaben, fehlerhafte Ausgaben, weitreichende Agentenberechtigungen und die Abhängigkeit vom Anbieter gehören in die Risikoanalyse. Eine KI-Funktion ist kein Grund, bestehende Freigaben zu überspringen. Gerade wenn ein System eigenständig handeln kann, müssen erlaubte Aktionen, menschliche Kontrolle und Protokollierung bewusst festgelegt werden.

Lieferanten müssen nach ihrer Bedeutung betrachtet werden. Bei einem Dienstleister mit administrativem Zugriff interessieren andere Nachweise als bei einer unkritischen Hilfsleistung. Relevant sind unter anderem Reaktionsfähigkeit, Zugriffsschutz, Unterauftragnehmer, Wiederherstellung und die Unterstützung bei Vorfällen. Ein Zertifikat kann Hinweise liefern. Es beantwortet aber nicht von selbst, ob der zertifizierte Geltungsbereich genau die eingekaufte Leistung umfasst.

Typische Irrtümer und ein sinnvoller nächster Schritt

Mein Vorschlag ist, mit drei nachvollziehbaren Ergebnissen zu beginnen: einer belastbaren Einordnung, einem Überblick über die wichtigsten betrieblichen Risiken und einem priorisierten Maßnahmenplan. Daraus entsteht eine Grundlage für die Leitung, nicht nur eine Beschäftigung für die IT. Offene Rechtsfragen werden ausdrücklich vermerkt und gezielt geklärt; technische Grundmaßnahmen können parallel vorangebracht werden.

Diese Seite erklärt die allgemeine Struktur. Sie entscheidet keine konkrete Betroffenheit und ersetzt keine Prüfung sektorspezifischer Sonderregeln. Für die praktische Organisation helfen die Seiten zu Grundlagen, pragmatischer Informationssicherheit und ISMS. Das Ziel bleibt handfest: wissen, was wichtig ist, Maßnahmen wirksam umsetzen und im Vorfall nicht erst mit der Suche nach Zuständigkeiten beginnen.