Was ist NIS2 und warum gilt es in Deutschland seit Dezember 2025?
Die EU-Richtlinie NIS2, in deutsches Recht umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), markiert einen historischen Bruch in der deutschen Regulierungslandschaft. Erstmals haftet die Geschäftsführung persönlich für das Versagen von Cybersicherheitsmaßnahmen.
§38 BSIG-neu macht dies explizit: Leitungsorgane sind verpflichtet, die Umsetzung zu überwachen und können bei Versagen persönlich haftbar gemacht werden. Nach §61 BSIG kann eine unzuverlässige Geschäftsleitung als letzte Maßnahme vorübergehend abgesetzt werden. Dieses Instrument ist bewusst gewählt worden, um Cybersicherheit strukturell aus der IT-Abteilung auf die Führungsebene zu heben.
Welche Unternehmen sind von NIS2 betroffen?
Merkmal – Besonders wichtige Einrichtungen – Wichtige Einrichtungen
- Unternehmensgröße
Groß (>250 MA oder >50 Mio. € Umsatz)
Mittelgroß (>50 MA oder >10 Mio. € Umsatz) - Sektoren
Energie, Gesundheit, Wasser, Banken, digitale Infrastruktur
Produktion, Chemie, Lebensmittel, Post, Forschung u. a. - Bußgeld max.
10 Mio. € oder 2 % weltweiter Jahresumsatz
7 Mio. € oder 1,4 % weltweiter Jahresumsatz - Aufsicht
Proaktiv durch BSI
Reaktiv nach Vorfall
Der Geltungsbereich von NIS2 ist gegenüber der Vorgängerrichtlinie drastisch ausgeweitet worden: von rund 4.500 auf etwa 29.500 bis 30.000 Unternehmen in 18 Sektoren.
Wichtig: Die BSI-Registrierungsfrist lief am 6. März 2026 ab. Unternehmen, die sie versäumt haben, befinden sich bereits in einem bußgeldriskanten Zustand.
NIS2 auf einen Blick – die wichtigsten Eckdaten
- In Kraft seit: 6. Dezember 2025 (NIS2UmsuCG, BGBl. 2025 I Nr. 301)
- Betroffene Unternehmen (DE): ca. 29.500–30.000
- Sektoren: 18, u. a. Energie, Gesundheit, Verkehr, Wasser, IT, Produktion
- Schwellenwert: ab 50 Mitarbeiter oder 10 Mio. € Jahresumsatz in relevanten Sektoren
- Bußgeld (besonders wichtig): bis 10 Mio. € oder 2 % Jahresumsatz
- Persönliche Haftung: §38 BSIG-neu
- Registrierungsfrist BSI: abgelaufen am 6. März 2026
Was müssen Unternehmen nach NIS2 nachweisbar umsetzen – die 10 Maßnahmenbereiche
§30 BSIG-neu definiert zehn Kernbereiche des Risikomanagements, die Unternehmen implementieren und dokumentieren müssen:
- Risikoanalyse und Sicherheitskonzept
- Incident Management (Erkennung, Meldung, Reaktion)
- Business Continuity und Krisenmanagement
- Lieferkettensicherheit
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
- Bewertung der Wirksamkeit von Cybersicherheitsmaßnahmen
- Schulungen und Cybersecurity-Hygiene
- Kryptographie und Verschlüsselung ← besonders relevant
- Zugangs- und Berechtigungsmanagement
- 1Multi-Faktor-Authentifizierung
Das Adjektiv „nachweisbar“ ist programmatisch: Wer die Maßnahmen umsetzt, ohne Dokumentation zu führen, erfüllt NIS2 nicht.
Besonders relevant für die Praxis ist Maßnahmenbereich 8: Kryptographie und Verschlüsselung. Er betrifft direkt das Management digitaler Zertifikate und kryptographischer Schlüssel – ein Bereich, in dem viele Unternehmen keine dokumentierten, überprüfbaren Prozesse haben. Hier konvergiert NIS2 direkt mit den Anforderungen des Certificate Lifecycle Managements.
Was bedeutet NIS2-Governance konkret für die Geschäftsführung?
NIS2-Compliance beginnt nicht mit einer technischen Maßnahme. Sie beginnt mit einer Governance-Entscheidung:
- Wer ist verantwortlich für Cybersicherheit auf Führungsebene?
- Welche Prozesse sind dokumentiert und überprüfbar?
- Wie wird die Geschäftsleitung regelmäßig über den Sicherheitsstatus informiert?
- Wie ist die Eskalationskette bei einem Sicherheitsvorfall geregelt?
In der Praxis empfiehlt sich ein gestuftes Vorgehen. Der erste Schritt ist ein strukturiertes GAP-Assessment gegen die Anforderungen von ISO 27001, NIST CSF und NIS2. Es liefert:
- eine dokumentierte Analyse des Ist-Zustands
- eine Reifegradmessung
- einen priorisierten Maßnahmenplan – das Fundament für nachweisbares Handeln
Unternehmen, die diesen Weg noch nicht gegangen sind, sollten jetzt handeln. Nicht weil das BSI morgen vor der Tür steht – sondern weil die Dokumentation des eigenen Sicherheitsstatus im Ernstfall (bei einem Vorfall, einer Prüfung, einem Rechtsstreit) den Unterschied zwischen nachgewiesener Sorgfalt und persönlicher Haftung ausmacht.
Fazit – NIS2 als Chance für nachhaltige Cybersicherheit
NIS2 ist unbequem. Es erfordert Zeit, Ressourcen und die Bereitschaft, Cybersicherheit als strategisches Managementthema zu behandeln.
Aber es bietet auch eine Chance: Organisationen, die den durch NIS2 erzwungenen Reifegrad nutzen, um Cybersicherheit dauerhaft auf Vorstands- und Geschäftsführerebene zu verankern, werden besser geschützt, haften seltener und gewinnen das Vertrauen von Kunden, Partnern und Versicherern.
Der erste Schritt ist immer derselbe: ein ehrliches Lagebild. Ohne das bleibt NIS2 eine abstrakte Pflicht. Mit ihm wird sie zur Grundlage nachhaltiger Resilienz.
Manage Now begleitet Sie von der Analyse Ihrer bestehenden Sicherheitslandschaft bis zur nachweisbaren NIS2-Umsetzung.
Manage Now ist ein führender IT-Service- und Managed Services Provider für Unternehmen und öffentliche Institutionen, die ihre IT strategisch weiterentwickeln und gleichzeitig stabil betreiben wollen. Mit über 50 Jahren kombinierter IT- und Projekterfahrung übernehmen wir Verantwortung für komplexe IT-Landschaften. Dabei verbinden wir Consulting, Betrieb und Transformation in einem integrierten Ansatz und schaffen so die Grundlage für eine IT, die zuverlässig funktioniert und gleichzeitig steuerbar bleibt. Unser integriertes Portfolio reicht von Sovereign Cloud und Hybrid- und Multi-Cloud über SAP und Application Management bis hin zu Security und modernen Arbeitsumgebungen und schafft die Grundlage für eine IT, die zuverlässig funktioniert und gleichzeitig steuerbar bleibt. Unternehmen entscheiden dabei selbst, wie viel Verantwortung sie abgeben wollen, vom einzelnen Service bis zur vollständigen End-to-End-Betriebsverantwortung.
Manage Now GmbH
Gabrielenstraße 9
80636 München
Telefon: +49 (89) 3076310
Telefax: +49 (89) 5281-28100
http://manage-now.de
MARKETING & PR
E-Mail: Ingo.Koehler.external@manage-now.de
MARKETING & PR
Telefon: +49 (89) 3076310
E-Mail: marketing@manage-now.de
