Cybersecurity und NIS2 verständlich erklärt

Cyberangriffe sind kein reines IT-Thema mehr, sondern ein Geschäftsrisiko. Mit dem NIS2-Umsetzungsgesetz hat der Gesetzgeber die Anforderungen an Cybersicherheit in Deutschland deutlich ausgeweitet – und die Geschäftsleitung direkt in die Pflicht genommen.

Cybersecurity umfasst alle Maßnahmen, die Systeme, Netze und Daten vor Angriffen schützen: von sicheren Konfigurationen und Updates über Zugriffsschutz und Backups bis zur Erkennung und Bewältigung von Vorfällen. Während Informationssicherheit alle Informationen einschließt – auch auf Papier –, liegt der Fokus hier auf der digitalen Welt.

Wirksam wird Cybersecurity erst als Managementaufgabe: Risiken bewerten, Prioritäten setzen, Verantwortung zuweisen und den Ernstfall üben.

Deutschland hat die EU-Richtlinie NIS-2 mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie vom 2. Dezember 2025 umgesetzt, oft kurz NIS2UmsuCG genannt. Es wurde am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Kern ist ein neu gefasstes BSI-Gesetz (BSIG); eine allgemeine Übergangsfrist gibt es nicht.

Das BSIG unterscheidet besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Maßgeblich sind die Branche nach den Anlagen 1 und 2 des BSIG – etwa Energie, Gesundheit, Transport und Verkehr, digitale Infrastruktur, digitale Dienste oder Teile des verarbeitenden Gewerbes – und die Größe:

• Wichtige Einrichtung: in der Regel ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme
• Besonders wichtige Einrichtung: in der Regel ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Jahresbilanzsumme
• Unabhängig von der Größe: unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter

Ob dein Unternehmen betroffen ist, klärst du am besten mit der Betroffenheitsprüfung des BSI. Auch wer nicht direkt betroffen ist, spürt NIS2 oft indirekt: über Sicherheitsanforderungen von Kunden an ihre Lieferkette.

• Registrierung beim BSI (§ 33 BSIG): spätestens drei Monate, nachdem ein Unternehmen erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gilt. Für Unternehmen, die schon mit Inkrafttreten betroffen waren, ist die Frist abgelaufen – wer noch nicht registriert ist, sollte das umgehend nachholen. Registriert wird über das BSI-Portal mit einem ELSTER-Organisationszertifikat (Mein Unternehmenskonto).
• Risikomanagementmaßnahmen (§ 30 BSIG): geeignete, verhältnismäßige technische und organisatorische Maßnahmen, unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup- und Krisenmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Schulungen.
• Meldepflichten (§ 32 BSIG) bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung.
• Geschäftsleitung (§ 38 BSIG): muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen, haftet bei schuldhaften Pflichtverletzungen und muss regelmäßig an Schulungen teilnehmen. Was das konkret heißt, steht unter NIS2-Schulung für die Geschäftsleitung.

Bei Verstößen drohen Bußgelder (§ 65 BSIG): für besonders wichtige Einrichtungen bis zu 10 Mio. Euro, bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 2 % des weltweiten Umsatzes; für wichtige Einrichtungen bis zu 7 Mio. Euro bzw. 1,4 %.

Weitere Regelwerke

Hersteller von Produkten mit digitalen Elementen betrifft der europäische Cyber Resilience Act: Seine Meldepflichten gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.

Hinweis: Dieser Überblick dient der Orientierung und ersetzt keine Rechtsberatung. Ob und wie dein Unternehmen betroffen ist, hängt vom Einzelfall ab.

• Geschäftsleitung: trägt die Verantwortung, entscheidet über Risiken und Budget und muss sich nach § 38 BSIG regelmäßig schulen lassen.
• Informationssicherheitsbeauftragte bzw. CISO: steuern Sicherheitsstrategie und Risikomanagement und berichten an die Leitung.
• IT-Betrieb und Security-Teams: setzen technische Maßnahmen um und erkennen Angriffe.
• Risikomanagement: bewertet IT-Risiken und verknüpft sie mit dem Unternehmensrisikomanagement.
• Alle Beschäftigten: Phishing und Social Engineering sind häufige Einfallstore – Sensibilisierung gehört zu den wirksamsten Maßnahmen.

Für ein strukturiertes Vorgehen bieten sich etablierte Rahmenwerke an: ISO 27001 und der BSI IT-Grundschutz.

1. Betroffenheit prüfen: Sektor, Größe und Sonderfälle mit der Betroffenheitsprüfung des BSI klären und dich bei Bedarf registrieren.
2. Leitung einbinden und schulen: Verantwortung, Ziele und Budget festlegen.
3. Bestandsaufnahme und Risikoanalyse: kritische Prozesse, Systeme und Dienstleister erfassen und Risiken bewerten.
4. Lücken schließen: Maßnahmen nach § 30 BSIG priorisieren, etwa Multi-Faktor-Authentisierung, Backups, Patch-Management und Anforderungen an Lieferanten.
5. Vorfälle vorbereiten: Meldeweg zum BSI, Zuständigkeiten und Notfallpläne festlegen und üben.
6. Regelmäßig überprüfen: Wirksamkeit messen und das Vorgehen weiterentwickeln.

Passende Einstiege: Cybersecurity für Führungskräfte, Cybersecurity Grundlagen und Risikomanagement in der IT.

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen:

• Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025, BGBl. 2025 I Nr. 301
• BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG – Gesetze im Internet
• BSIG § 28 Besonders wichtige und wichtige Einrichtungen
• BSIG § 32 Meldepflichten
• BSIG § 33 Registrierungspflicht
• BSIG § 38 Umsetzungs-, Überwachungs- und Schulungspflicht
• BSIG § 65 Bußgeldvorschriften
• BSI: NIS-2-regulierte Unternehmen (Registrierung, Betroffenheitsprüfung)
• Richtlinie (EU) 2022/2555 (NIS-2) – EUR-Lex
• EU-Kommission: Cyber Resilience Act