Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft – ohne Übergangsfrist, ohne Kulanzperiode. Für rund 30.000 Unternehmen in Deutschland bedeutet das: Cybersicherheit ist ab sofort eine Führungspflicht mit persönlicher Haftung der Geschäftsleitung. Wer NIS2 als IT-Thema behandelt, unterschätzt fundamental, was auf dem Spiel steht – denn §38 BSIG-neu macht Geschäftsführer direkt verantwortlich.
Die EU-Richtlinie NIS2, in deutsches Recht umgesetzt durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), markiert einen historischen Bruch in der deutschen Regulierungslandschaft. Erstmals haftet die Geschäftsführung persönlich für das Versagen von Cybersicherheitsmaßnahmen.
§38 BSIG-neu macht dies explizit: Leitungsorgane sind verpflichtet, die Umsetzung zu überwachen und können bei Versagen persönlich haftbar gemacht werden. Nach §61 BSIG kann eine unzuverlässige Geschäftsleitung als letzte Maßnahme vorübergehend abgesetzt werden. Dieses Instrument ist bewusst gewählt worden, um Cybersicherheit strukturell aus der IT-Abteilung auf die Führungsebene zu heben.
| Merkmal | Besonders wichtige Einrichtungen | Wichtige Einrichtungen |
|---|---|---|
| Unternehmens-größe | Groß (>250 MA oder >50 Mio. € Umsatz) | Mittelgroß (>50 MA oder >10 Mio. € Umsatz) |
| Sektoren | Energie, Gesundheit, Wasser, Banken, digitale Infrastruktur |
Produktion, Chemie, Lebensmittel, Post, Forschung u. a. |
| Bußgeld max. | 10 Mio. € oder 2 % weltweiter Jahresumsatz | 7 Mio. € oder 1,4 % weltweiter Jahresumsatz |
| Aufsicht | Proaktiv durch BSI | Reaktiv nach Vorfall |
Der Geltungsbereich von NIS2 ist gegenüber der Vorgängerrichtlinie drastisch ausgeweitet worden: von rund 4.500 auf etwa 29.500 bis 30.000 Unternehmen in 18 Sektoren.
Wichtig: Die BSI-Registrierungsfrist lief am 6. März 2026 ab. Unternehmen, die sie versäumt haben, befinden sich bereits in einem bußgeldriskanten Zustand.
§30 BSIG-neu definiert zehn Kernbereiche des Risikomanagements, die Unternehmen implementieren und dokumentieren müssen:
Das Adjektiv „nachweisbar“ ist programmatisch: Wer die Maßnahmen umsetzt, ohne Dokumentation zu führen, erfüllt NIS2 nicht.
Besonders relevant für die Praxis ist Maßnahmenbereich 8: Kryptographie und Verschlüsselung. Er betrifft direkt das Management digitaler Zertifikate und kryptographischer Schlüssel – ein Bereich, in dem viele Unternehmen keine dokumentierten, überprüfbaren Prozesse haben. Hier konvergiert NIS2 direkt mit den Anforderungen des Certificate Lifecycle Managements.
NIS2-Compliance beginnt nicht mit einer technischen Maßnahme. Sie beginnt mit einer Governance-Entscheidung:
In der Praxis empfiehlt sich ein gestuftes Vorgehen. Der erste Schritt ist ein strukturiertes GAP-Assessment gegen die Anforderungen von ISO 27001, NIST CSF und NIS2. Es liefert:
Unternehmen, die diesen Weg noch nicht gegangen sind, sollten jetzt handeln. Nicht weil das BSI morgen vor der Tür steht – sondern weil die Dokumentation des eigenen Sicherheitsstatus im Ernstfall (bei einem Vorfall, einer Prüfung, einem Rechtsstreit) den Unterschied zwischen nachgewiesener Sorgfalt und persönlicher Haftung ausmacht.
NIS2 ist unbequem. Es erfordert Zeit, Ressourcen und die Bereitschaft, Cybersicherheit als strategisches Managementthema zu behandeln.
Aber es bietet auch eine Chance: Organisationen, die den durch NIS2 erzwungenen Reifegrad nutzen, um Cybersicherheit dauerhaft auf Vorstands- und Geschäftsführerebene zu verankern, werden besser geschützt, haften seltener und gewinnen das Vertrauen von Kunden, Partnern und Versicherern.
Der erste Schritt ist immer derselbe: ein ehrliches Lagebild. Ohne das bleibt NIS2 eine abstrakte Pflicht. Mit ihm wird sie zur Grundlage nachhaltiger Resilienz.
Manage Now begleitet Sie von der Analyse Ihrer bestehenden Sicherheitslandschaft bis zur nachweisbaren NIS2-Umsetzung.
Melden Sie sich zu unserem Newsletter an, um regelmäßige Updates, Einladungen zu unseren Events und exklusive IT-Einblicke zu erhalten.
Weitere Einblicke in IT-Transformationen, Best Practices oder aktuelle Themen erhalten Sie auf unserer Referenzseite.
Cloud, KI und neue Regulatorik verschieben digitale Souveränität vom Rechenzentrum in die Vorstandsetage. Lesen Sie, welche Entscheidungen jetzt über Zukunftsfähigkeit und Resilienz entscheiden.