NIS2 in der Praxis: Persönliche Haftung, Nachweispflicht und was Geschäftsführer jetzt konkret tun müssen

Was ist NIS2 und warum gilt es in Deutschland seit Dezember 2025?

Die EU-Richtlinie NIS2, in deutsches Recht umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), markiert einen historischen Bruch in der deutschen Regulierungslandschaft. Erstmals haftet die Geschäftsführung persönlich für das Versagen von Cybersicherheitsmaßnahmen.

§38 BSIG-neu macht dies explizit: Leitungsorgane sind verpflichtet, die Umsetzung zu überwachen und können bei Versagen persönlich haftbar gemacht werden. Nach §61 BSIG kann eine unzuverlässige Geschäftsleitung als letzte Maßnahme vorübergehend abgesetzt werden. Dieses Instrument ist bewusst gewählt worden, um Cybersicherheit strukturell aus der IT-Abteilung auf die Führungsebene zu heben.

Welche Unternehmen sind von NIS2 betroffen?

Merkmal – Besonders wichtige Einrichtungen – Wichtige Einrichtungen

• Unternehmensgröße
  Groß (>250 MA oder >50 Mio. € Umsatz)
  Mittelgroß (>50 MA oder >10 Mio. € Umsatz)
• Sektoren
  Energie, Gesundheit, Wasser, Banken, digitale Infrastruktur
  Produktion, Chemie, Lebensmittel, Post, Forschung u. a.
• Bußgeld max.
  10 Mio. € oder 2 % weltweiter Jahresumsatz
  7 Mio. € oder 1,4 % weltweiter Jahresumsatz
• Aufsicht
  Proaktiv durch BSI
  Reaktiv nach Vorfall

Der Geltungsbereich von NIS2 ist gegenüber der Vorgängerrichtlinie drastisch ausgeweitet worden: von rund 4.500 auf etwa 29.500 bis 30.000 Unternehmen in 18 Sektoren.

Wichtig: Die BSI-Registrierungsfrist lief am 6. März 2026 ab. Unternehmen, die sie versäumt haben, befinden sich bereits in einem bußgeldriskanten Zustand.

NIS2 auf einen Blick – die wichtigsten Eckdaten

• In Kraft seit: 6. Dezember 2025 (NIS2UmsuCG, BGBl. 2025 I Nr. 301)
• Betroffene Unternehmen (DE): ca. 29.500–30.000
• Sektoren: 18, u. a. Energie, Gesundheit, Verkehr, Wasser, IT, Produktion
• Schwellenwert: ab 50 Mitarbeiter oder 10 Mio. € Jahresumsatz in relevanten Sektoren
• Bußgeld (besonders wichtig): bis 10 Mio. € oder 2 % Jahresumsatz
• Persönliche Haftung: §38 BSIG-neu
• Registrierungsfrist BSI: abgelaufen am 6. März 2026

Was müssen Unternehmen nach NIS2 nachweisbar umsetzen – die 10 Maßnahmenbereiche

§30 BSIG-neu definiert zehn Kernbereiche des Risikomanagements, die Unternehmen implementieren und dokumentieren müssen:

1. Risikoanalyse und Sicherheitskonzept
2. Incident Management (Erkennung, Meldung, Reaktion)
3. Business Continuity und Krisenmanagement
4. Lieferkettensicherheit
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
6. Bewertung der Wirksamkeit von Cybersicherheitsmaßnahmen
7. Schulungen und Cybersecurity-Hygiene
8. Kryptographie und Verschlüsselung ← besonders relevant
9. Zugangs- und Berechtigungsmanagement
10. 1Multi-Faktor-Authentifizierung

Das Adjektiv „nachweisbar“ ist programmatisch: Wer die Maßnahmen umsetzt, ohne Dokumentation zu führen, erfüllt NIS2 nicht.

Besonders relevant für die Praxis ist Maßnahmenbereich 8: Kryptographie und Verschlüsselung. Er betrifft direkt das Management digitaler Zertifikate und kryptographischer Schlüssel – ein Bereich, in dem viele Unternehmen keine dokumentierten, überprüfbaren Prozesse haben. Hier konvergiert NIS2 direkt mit den Anforderungen des Certificate Lifecycle Managements.

Was bedeutet NIS2-Governance konkret für die Geschäftsführung?

NIS2-Compliance beginnt nicht mit einer technischen Maßnahme. Sie beginnt mit einer Governance-Entscheidung:

• Wer ist verantwortlich für Cybersicherheit auf Führungsebene?
• Welche Prozesse sind dokumentiert und überprüfbar?
• Wie wird die Geschäftsleitung regelmäßig über den Sicherheitsstatus informiert?
• Wie ist die Eskalationskette bei einem Sicherheitsvorfall geregelt?

In der Praxis empfiehlt sich ein gestuftes Vorgehen. Der erste Schritt ist ein strukturiertes GAP-Assessment gegen die Anforderungen von ISO 27001, NIST CSF und NIS2. Es liefert:

• eine dokumentierte Analyse des Ist-Zustands
• eine Reifegradmessung
• einen priorisierten Maßnahmenplan – das Fundament für nachweisbares Handeln

Unternehmen, die diesen Weg noch nicht gegangen sind, sollten jetzt handeln. Nicht weil das BSI morgen vor der Tür steht – sondern weil die Dokumentation des eigenen Sicherheitsstatus im Ernstfall (bei einem Vorfall, einer Prüfung, einem Rechtsstreit) den Unterschied zwischen nachgewiesener Sorgfalt und persönlicher Haftung ausmacht.

Fazit – NIS2 als Chance für nachhaltige Cybersicherheit

NIS2 ist unbequem. Es erfordert Zeit, Ressourcen und die Bereitschaft, Cybersicherheit als strategisches Managementthema zu behandeln.

Aber es bietet auch eine Chance: Organisationen, die den durch NIS2 erzwungenen Reifegrad nutzen, um Cybersicherheit dauerhaft auf Vorstands- und Geschäftsführerebene zu verankern, werden besser geschützt, haften seltener und gewinnen das Vertrauen von Kunden, Partnern und Versicherern.

Der erste Schritt ist immer derselbe: ein ehrliches Lagebild. Ohne das bleibt NIS2 eine abstrakte Pflicht. Mit ihm wird sie zur Grundlage nachhaltiger Resilienz.

Manage Now begleitet Sie von der Analyse Ihrer bestehenden Sicherheitslandschaft bis zur nachweisbaren NIS2-Umsetzung.

Sprechen Sie mit unserem Security-Experten

Entdecken Sie unsere Managed Security Services