Inhalt:
IT-Sicherheit galt lange als Aufgabe der Technik-Abteilung. Mit der NIS2-Richtlinie und ihrer deutschen Umsetzung ändert sich diese Sichtweise grundlegend, denn Verantwortung und mögliche Haftung verlagern sich spürbar auf die Führungsebene. Seit dem 6. Dezember 2025 ist das deutsche Umsetzungsgesetz in Kraft – und zwar ohne Übergangsfrist. Betroffene Unternehmen müssen die neuen Pflichten also nicht erst in einigen Monaten erfüllen, sondern bereits jetzt. Für Geschäftsführerinnen und Geschäftsführer lohnt es sich daher, die wichtigsten Punkte zu kennen, unabhängig davon, ob das Unternehmen groß ist oder mittelständisch geprägt.
NIS2 ist der erweiterte EU-Rechtsrahmen für Cybersicherheit. Ziel ist es, digitale Infrastrukturen widerstandsfähiger zu machen und ein einheitliches Sicherheitsniveau in Europa zu schaffen. Der Kreis der betroffenen Organisationen wurde dabei deutlich ausgeweitet. Neben Energie und Verkehr zählen nun auch Gesundheitswesen, digitale Dienste, produzierendes Gewerbe, Abfallwirtschaft, Lebensmittel und Finanzwesen dazu – und ausdrücklich auch deren Zulieferer. Der Gedanke dahinter ist einfach: Eine Lieferkette ist nur so sicher wie ihr schwächstes Glied.
Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Für die Einordnung spielt vor allem die Unternehmensgröße eine Rolle. Als Faustregel gilt, dass Organisationen ab rund 50 Beschäftigten oder etwa zehn Millionen Euro Jahresumsatz in den Anwendungsbereich rutschen können. Gerade im Mittelstand sorgt das für Überraschungen, weil viele Betriebe Cybersicherheitsregulierung bislang nur mit Großkonzernen in Verbindung gebracht haben. Betroffene Unternehmen müssen ein angemessenes Risikomanagement betreiben, konkrete Sicherheitsmaßnahmen umsetzen und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.
Hinter NIS2 steht ein überschaubarer, aber verbindlicher Kern an Anforderungen. Unternehmen müssen technische und organisatorische Maßnahmen in mehreren Bereichen umsetzen, darunter Risikoanalyse, Zugriffskontrolle, Datensicherung, Verschlüsselung und die Absicherung der eigenen Lieferkette. Hinzu kommen gestufte Meldepflichten. Ein erheblicher Sicherheitsvorfall ist zunächst innerhalb von 24 Stunden als Frühwarnung zu melden, nach 72 Stunden folgt eine genauere Einschätzung und innerhalb eines Monats ein Abschlussbericht. Wer diese Abläufe erst im Ernstfall improvisiert, verliert wertvolle Zeit. Deshalb lohnt es sich, Zuständigkeiten und Meldewege vorab festzulegen und einmal durchzuspielen.
Für Führungskräfte ist vor allem ein Punkt neu. Die Regelung nimmt die Leitungsebene ausdrücklich in die Verantwortung, statt sie allein bei der IT zu belassen. Werden Pflichten vernachlässigt, sind NIS2 Strafen möglich, die sich am weltweiten Jahresumsatz orientieren können und bis in den zweistelligen Millionenbereich reichen.
Ebenso sind persönliche Konsequenzen für Verantwortliche denkbar. Damit wird Informationssicherheit zur echten Leitungsaufgabe, die sich nicht vollständig delegieren lässt. Die genaue Ausgestaltung hängt vom Einzelfall ab, doch die Richtung ist eindeutig. Wer Verantwortung trägt, sollte sich mit dem Stand der Umsetzung im eigenen Haus aktiv befassen und das Thema regelmäßig mit der Geschäftsleitung besprechen.
Eine strukturierte Umsetzung reduziert das Risiko und schafft zugleich Übersicht. Unterstützung bietet hier etwa DataGuard, ein europäischer Anbieter von Security- und Compliance-Software. Die Plattform verbindet KI-gestützte Automatisierung mit der Begleitung durch zertifizierte Beraterinnen und Berater und übersetzt die Anforderungen in nachvollziehbare Aufgaben – von der Betroffenheitsprüfung über die Risikoanalyse bis zur Dokumentation. Neben NIS2 werden auch Standards wie ISO 27001, TISAX® und die DSGVO abgedeckt; gehostet wird in Europa. So behalten Verantwortliche den Fortschritt im Blick und können im Zweifel belegen, dass sie ihren Pflichten nachkommen.
Die Regelung stärkt die Verantwortung der Leitungsebene deutlich. Versäumnisse können sich daher auch unmittelbar auf Verantwortliche auswirken. Wie weit die persönliche Haftung im Einzelfall reicht, hängt von den konkreten Umständen ab.
Als grobe Orientierung fallen Organisationen ab rund 50 Beschäftigten oder etwa zehn Millionen Euro Jahresumsatz in den Anwendungsbereich, sofern sie in einem der betroffenen Sektoren tätig sind. Ob eine Einrichtung tatsächlich erfasst ist, sollte im Einzelfall geprüft werden.
NIS2 sieht ein gestuftes Verfahren vor – eine erste Frühwarnung innerhalb von 24 Stunden, eine genauere Meldung nach 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Ein vorab festgelegter Ablauf hilft, diese Fristen einzuhalten.
Die DSGVO schützt personenbezogene Daten, NIS2 die allgemeine Cyber-Resilienz eines Unternehmens. Beide Regelwerke können gleichzeitig gelten und ergänzen sich in der Praxis.
