NIS-2: Pflichten und Haftung der Geschäftsleitung

Worum es geht: NIS-2 ist seit dem 6. Dezember 2025 in deutsches Recht umgesetzt. Geschäftsleitungen betroffener Unternehmen müssen die Einordnung nach dem BSIG prüfen, Sicherheitsmaßnahmen umsetzen und überwachen, Schulungen absolvieren und fristgerechte Meldungen sicherstellen. Der Beitrag zeigt, welche Entscheidungen und Nachweise jetzt wichtig sind und wie sich Haftungs- und Bußgeldrisiken begrenzen lassen.

Für die Geschäftsleitung lautet die zentrale Frage nicht mehr: „Kommt NIS-2 irgendwann auf uns zu?“ Sie lautet: „Welche Pflichten treffen unser Unternehmen bereits heute und wie können wir nachweisen, dass wir sie erfüllt haben?“

A. NIS-2 ist seit Ende 2025 geltendes Recht

I. Das neue BSI-Gesetz

Das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen, kurz BSI-Gesetz (BSIG), wurde am 2. Dezember 2025 ausgefertigt und trat am 6. Dezember 2025 in Kraft. Es hat das frühere BSI-Gesetz abgelöst und enthält einen eigenständigen Regelungsbereich für besonders wichtige und wichtige Einrichtungen.

Das Gesetz verpflichtet betroffene Unternehmen zu Risikomanagement, Vorfallsmeldungen, Registrierung und Kooperation mit den zuständigen Behörden. Die Geschäftsleitung erhält dabei eine eigenständige gesetzliche Verantwortung. Sie muss die erforderlichen Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen.

II. Die Betroffenheit richtet sich nicht allein nach der Unternehmensgröße

Ein Unternehmen fällt nicht allein deshalb unter NIS-2, weil es eine bestimmte Mitarbeiterzahl oder einen bestimmten Umsatz erreicht. Entscheidend ist zunächst, ob es einer gesetzlich erfassten Einrichtungsart in einem der in den Anlagen 1 und 2 zum BSIG genannten Sektoren zuzuordnen ist. Daneben bestehen größenunabhängige und sektorale Sonderregeln.

Als besonders wichtige Einrichtungen gelten unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter. Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gelten besondere Größenregeln. Sonstige entgeltlich Waren oder Dienstleistungen anbietende Unternehmen werden grundsätzlich als besonders wichtige Einrichtungen erfasst, wenn sie einer Einrichtungsart der Anlage 1 zuzuordnen sind und mindestens 250 Beschäftigte oder einen Jahresumsatz von mehr als EUR 50 Millionen bei gleichzeitiger Jahresbilanzsumme von mehr als EUR 43 Millionen aufweisen.

Als wichtige Einrichtung können sonstige Unternehmen bereits ab mindestens 50 Beschäftigten oder bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mehr als EUR 10 Millionen eingeordnet werden. Voraussetzung bleibt auch hier eine relevante Einrichtungsart in Anlage 1 oder Anlage 2 zum BSIG. Besonders wichtige Einrichtungen sind von dieser Kategorie ausgenommen; für Vertrauensdienste und Telekommunikation gelten zusätzliche Sonderregeln.

Die Geschäftsleitung darf die Prüfung deshalb nicht auf den isolierten Blick in den Jahresabschluss beschränken. Sie muss die tatsächlichen Geschäftsmodelle, Dienstleistungen, Konzernstrukturen und IT-Abhängigkeiten erfassen. Geschäftstätigkeiten können bei der Zuordnung nur dann unberücksichtigt bleiben, wenn sie im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind.

B. Die erste Pflicht der Geschäftsleitung: Betroffenheit belastbar prüfen

I. Eine Negativprüfung genügt nicht

Viele Unternehmen prüfen lediglich, ob sie nach ihrer eigenen Einschätzung nicht unter NIS-2 fallen. Für eine belastbare Compliance-Organisation sollte die Geschäftsleitung vielmehr eine strukturierte Betroffenheitsprüfung durchführen und das Ergebnis in einer gesonderten Entscheidungsvorlage dokumentieren. Entscheidend ist die sachliche Prüfung, nicht die Bezeichnung als positive oder negative Prüfung.

Diese Prüfung sollte mindestens die folgenden Fragen beantworten:

Welche konkreten Dienstleistungen und Produkte bietet das Unternehmen an?
Fällt eine Tätigkeit unter eine Einrichtungsart der Anlagen 1 oder 2 zum BSIG?
Werden Schwellenwerte allein oder unter Einbeziehung von Partner- und verbundenen Unternehmen erreicht?
Ist das Unternehmen Teil einer Unternehmensgruppe mit gemeinsamer oder unabhängiger IT-Infrastruktur?
Erbringt das Unternehmen Dienste in anderen Mitgliedstaaten der Europäischen Union?
Bestehen sektorale Sonderregelungen, insbesondere für Finanzunternehmen, Telekommunikationsunternehmen oder Energieunternehmen?
Ist das Unternehmen Betreiber einer kritischen Anlage und unterliegt es damit zusätzlichen Anforderungen?

Das BSIG verweist bei der Ermittlung von Mitarbeiterzahl, Umsatz und Bilanzsumme grundsätzlich auf die Empfehlung 2003/361/EG der Kommission. Die Ausnahme des § 28 Abs. 4 BSIG greift, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb seiner informationstechnischen Systeme, Komponenten und Prozesse unabhängig von Partner- oder verbundenen Unternehmen ist. Dann sind deren Daten nicht hinzuzurechnen.

Wichtig: Eine Einordnung nach § 28 BSIG bedeutet nicht automatisch, dass sämtliche hier dargestellten BSIG-Pflichten unverändert gelten. Insbesondere § 28 Abs. 5 BSIG sieht Ausnahmen zugunsten sektoraler Vorschriften für bestimmte Telekommunikations- und Energieunternehmen vor. Weitere Tätigkeiten können die Ausnahme wiederum begrenzen. Sektorale Sonderregelungen sind deshalb gesondert zu prüfen.

II. Auch eine Verneinung der Betroffenheit muss begründet werden

Kommt die Geschäftsleitung zu dem Ergebnis, dass das Unternehmen nicht unter NIS-2 fällt, sollte sie diese Entscheidung nachvollziehbar dokumentieren. Die Unterlagen sollten die geprüften Einrichtungsarten, Schwellenwerte und Ausnahmeregelungen erkennen lassen. Eine gesonderte jährlich zu aktualisierende Betroffenheitsakte ist eine Praxisempfehlung, keine ausdrücklich so bezeichnete gesetzliche Einzelpflicht.

Das gilt insbesondere für Unternehmen, die Dienstleistungen für bereits regulierte Unternehmen erbringen. Eine mittelbare Betroffenheit begründet zwar nicht automatisch die unmittelbare Einordnung als wichtige oder besonders wichtige Einrichtung. NIS-2 verlangt aber gerade eine Auseinandersetzung mit der Sicherheit der Lieferkette und den Beziehungen zu unmittelbaren Anbietern und Diensteanbietern.

Praxisempfehlung: Die Geschäftsleitung sollte eine jährlich sowie bei wesentlichen Änderungen zu aktualisierende Betroffenheitsakte einrichten. Sie sollte die geprüften Geschäftsfelder, die maßgeblichen Kennzahlen, die Konzernstruktur, die IT-Abhängigkeiten und das Ergebnis der rechtlichen Bewertung enthalten.

C. Die Registrierung beim BSI darf nicht als Formalität behandelt werden

I. Registrierungspflicht und Aktualisierungspflicht

Besonders wichtige Einrichtungen und wichtige Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Zu übermitteln sind unter anderem der Name und die Rechtsform des Unternehmens, gegebenenfalls die Handelsregisternummer, die Anschrift, Kontaktdaten, öffentliche IP-Adressbereiche, der relevante Sektor, die erfassten Mitgliedstaaten und die zuständigen Aufsichtsbehörden.

Nach § 33 BSIG muss die Registrierung grundsätzlich spätestens drei Monate erfolgen, nachdem das Unternehmen erstmals oder erneut als besonders wichtige Einrichtung oder wichtige Einrichtung gilt. Änderungen der registrierten Angaben müssen unverzüglich, spätestens innerhalb von zwei Wochen nach Kenntniserlangung, mitgeteilt werden. Für die Registrierung kritischer Anlagen verweist § 33 Abs. 2 BSIG auf § 8 KRITIS-Dachgesetz; zusätzliche Registrierungsanforderungen für bestimmte Einrichtungsarten sind gesondert zu prüfen.

Für Unternehmen, die bereits bei Inkrafttreten des Umsetzungsgesetzes betroffen waren, endete die dreimonatige Registrierungsfrist grundsätzlich am 6. März 2026. Unternehmen, die diese Frist versäumt haben, sollten die Registrierung unverzüglich nachholen und die Verzögerung intern dokumentieren.

II. Die Registrierung sollte intern beherrscht werden

Die Registrierung sollte nicht vollständig an einen externen IT-Dienstleister ausgelagert werden. Im Krisenfall muss das Unternehmen selbst in der Lage sein, den vorgesehenen Meldeweg zu bedienen und einen Sicherheitsvorfall fristgerecht zu melden. Das BSI stellt hierfür sein BSI-Portal bereit; für Betreiber kritischer Anlagen bestehen nach den BSI-Hinweisen übergangsweise weitere Meldewege.

Die Geschäftsleitung sollte mindestens zwei intern verantwortliche und geschulte Personen benennen und eine Vertretungsregelung vorsehen. Diese personelle Ausgestaltung ist eine organisatorische Empfehlung.

D. Die Geschäftsleitung trägt die Letztverantwortung für das Risikomanagement

I. Welche Maßnahmen das Unternehmen umsetzen muss

Nach § 30 Abs. 1 und Abs. 2 BSIG müssen wichtige und besonders wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen treffen. Ziel ist es, Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der für die Diensteerbringung eingesetzten informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden und die Folgen von Sicherheitsvorfällen zu begrenzen.

Das Risikomanagement muss insbesondere folgende Bereiche abdecken:

Risikoanalyse und Sicherheit der Informationssysteme
Bewältigung von Sicherheitsvorfällen
Backup-Management, Wiederherstellung und Krisenmanagement
Sicherheit der Lieferkette
Sicherheit bei Beschaffung, Entwicklung und Wartung einschließlich des Umgangs mit und der Offenlegung von Schwachstellen
Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
Grundlegende Schulungen und Sensibilisierung zur Informationssicherheit
Konzepte und Prozesse für Kryptografie
Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen, -Produkten und -Prozessen
Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation

Die Maßnahmen sollen den Stand der Technik einhalten, einschlägige europäische und internationale Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Für bestimmte digitale Dienste haben die einschlägigen EU-Durchführungsrechtsakte nach § 30 Abs. 3 und 4 BSIG Vorrang.

Die Maßnahmen müssen verhältnismäßig sein. Zu berücksichtigen sind insbesondere Risikoexposition, Unternehmensgröße, Umsetzungskosten, Eintrittswahrscheinlichkeit und mögliche Schwere eines Sicherheitsvorfalls sowie dessen gesellschaftliche und wirtschaftliche Auswirkungen. Das Gesetz verlangt deshalb kein identisches Sicherheitsniveau für jedes Unternehmen. Es verlangt aber eine begründete, risikoorientierte und dokumentierte Entscheidung.

II. Delegation entlastet die Geschäftsleitung nicht vollständig

Die Geschäftsleitung muss nicht jede Firewall konfigurieren und nicht jede Sicherheitslücke selbst bewerten. Sie darf Aufgaben an einen Chief Information Security Officer, einen Informationssicherheitsbeauftragten, die IT-Abteilung oder externe Dienstleister delegieren.

Die Verantwortung für Auswahl, Ausstattung, Überwachung und Kontrolle dieser Stellen verbleibt jedoch bei der Geschäftsleitung. Ein formaler Bericht, der weder hinterfragt noch durch konkrete Entscheidungen ergänzt wird, genügt nicht ohne Weiteres. Die Geschäftsleitung muss sich aktiv mit den Cyberrisiken und den vorgeschlagenen Gegenmaßnahmen auseinandersetzen.

Besonders wichtig sind deshalb regelmäßige Berichte an die Geschäftsleitung. Diese sollten nicht nur technische Einzelheiten enthalten. Sie sollten auch darstellen, welche Risiken für die geschäftskritischen Dienste bestehen, welche Maßnahmen bereits umgesetzt wurden, welche Defizite bestehen und welche Ressourcen zur Beseitigung benötigt werden.

III. Dokumentation ist ein eigener Schutzmechanismus

Die Einhaltung der Risikomanagementpflichten muss das Unternehmen nach § 30 Abs. 1 Satz 3 BSIG dokumentieren. Die Dokumentation dient nicht nur der späteren Prüfung durch das BSI. Sie kann auch entscheidend sein, wenn nach einem Sicherheitsvorfall die persönliche Verantwortlichkeit der Geschäftsleitung bewertet wird.

Die Geschäftsleitung sollte deshalb insbesondere folgende Unterlagen regelmäßig aktualisieren:

die Betroffenheitsanalyse nach § 28 BSIG
das Risikoregister
das Verzeichnis kritischer Systeme und Prozesse
die Übersicht über Sicherheitsmaßnahmen und erkannte Defizite
den Maßnahmen- und Zeitplan zur Beseitigung von Defiziten
Protokolle von Geschäftsleitungsentscheidungen
Berichte des Informationssicherheitsbeauftragten
Nachweise über Schulungen und Übungen
Verträge und Sicherheitsanforderungen für zentrale IT-Dienstleister
Protokolle von Sicherheitsvorfällen und Nachbereitungen

Diese Zusammenstellung ist eine praktische Empfehlung zur Nachweisführung. Entscheidend ist nicht, dass am Ende jede Schwachstelle ausgeschlossen werden kann. Entscheidend ist, dass die Geschäftsleitung Risiken erkennt, priorisiert, Gegenmaßnahmen beschließt und die Umsetzung überwacht. Die regelmäßige Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG ist dabei eine eigenständige Pflicht.

E. Sicherheitsvorfälle erfordern einen vorab festgelegten Entscheidungsprozess

I. Die gesetzlichen Meldefristen

Bei einem erheblichen Sicherheitsvorfall müssen wichtige und besonders wichtige Einrichtungen nach § 32 BSIG unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, eine frühe Erstmeldung abgeben. Unverzüglich, spätestens innerhalb von 72 Stunden, muss eine weitergehende Vorfallsmeldung folgen. Sie muss unter anderem eine erste Bewertung des Schweregrads und der Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren enthalten. Auf Ersuchen des BSI ist eine Zwischenmeldung erforderlich.

Spätestens einen Monat nach der Vorfallsmeldung ist grundsätzlich eine Abschlussmeldung erforderlich. Sie muss den Sicherheitsvorfall, seine wahrscheinliche Ursache, die Auswirkungen und die getroffenen oder laufenden Abhilfemaßnahmen beschreiben. Dauert der Vorfall fort, tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung. Nach abschließender Bearbeitung ist die Abschlussmeldung vorzulegen.

Nicht jede technische Störung ist ein erheblicher Sicherheitsvorfall. Maßgeblich sind insbesondere die Kriterien des § 2 Nr. 11 BSIG und gegebenenfalls konkretisierende Vorschriften. Erfasst werden auch Vorfälle, die schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden Dritter verursachen können.

II. Die Geschäftsleitung muss die Meldefähigkeit organisatorisch sicherstellen

Die 24-Stunden-Frist beginnt nicht erst, wenn sämtliche technischen Einzelheiten geklärt sind. Maßgeblich ist die Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Das Unternehmen muss daher zwischen einer ersten rechtlichen Bewertung und der späteren technischen Aufklärung unterscheiden.

Die Geschäftsleitung sollte vorab festlegen:

Wer entscheidet, ob ein erheblicher Sicherheitsvorfall vorliegt?
Wer darf eine Meldung an die gemeinsame Meldestelle abgeben?
Wer vertritt das Unternehmen außerhalb der üblichen Geschäftszeiten?
Welche Informationen werden für die Erstmeldung benötigt?
Wann werden Datenschutzbehörde, Strafverfolgungsbehörden, Versicherer und Kunden einbezogen?
Wie werden Beweise gesichert, ohne die Wiederherstellung des Betriebs zu behindern?
Wer koordiniert die technische Forensik und die rechtliche Bewertung?

Eine fehlende oder verspätete Meldung kann eigenständig aufsichtsrechtliche Konsequenzen auslösen. Sie sollte deshalb nicht allein dem IT-Betrieb überlassen werden.

F. Besonders wichtige Einrichtungen müssen mit intensiver Aufsicht rechnen

Das BSI kann gegenüber einzelnen besonders wichtigen Einrichtungen nach § 61 BSIG Audits, Prüfungen oder Zertifizierungen unabhängiger Stellen anordnen. Bei Überprüfungen müssen diese Einrichtungen das Betreten ihrer Geschäfts- und Betriebsräume während der üblichen Betriebszeiten gestatten, Unterlagen vorlegen, Auskünfte erteilen und Unterstützung leisten. Für allgemeine Nachweisanordnungen nach § 61 Abs. 3 gelten besondere zeitliche Voraussetzungen; sie sind von der Einzelfallanordnung nach Absatz 1 zu unterscheiden.

Bei festgestellten Mängeln kann das BSI Maßnahmen zur Mängelbeseitigung, einen Mängelbeseitigungsplan und einen Nachweis über die Umsetzung verlangen. Kommt eine besonders wichtige Einrichtung BSI-Anordnungen trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde unter den Voraussetzungen des § 61 Abs. 9 BSIG als letztes Mittel einer unzuverlässigen Geschäftsleitung die Tätigkeit vorübergehend untersagen. Eine solche Untersagung folgt nicht automatisch aus jedem Sicherheitsmangel.

Für wichtige Einrichtungen sieht § 62 BSIG eine anlassbezogene Überprüfung vor, wenn Tatsachen die Annahme rechtfertigen, dass die dort genannten Pflichten nicht oder nicht richtig umgesetzt werden.

Für bestimmte digitale Dienste – unter anderem Cloud-Computing, Rechenzentren, Managed Services, Online-Marktplätze und soziale Plattformen – kann das BSI nach § 60 BSIG unionsweit zentral zuständig sein. Dies setzt bei einer EU-Niederlassung grundsätzlich voraus, dass die Hauptniederlassung im gesetzlichen Sinne in Deutschland liegt. Für Anbieter ohne EU-Niederlassung gelten besondere Vertreterregelungen.

G. Welche Haftungs- und Sanktionsrisiken bestehen?

I. Persönliche Haftung der Geschäftsleitung

§ 38 Abs. 2 BSIG ordnet an, dass Geschäftsleitungen bei einer Verletzung ihrer Pflichten nach Absatz 1 der Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform anwendbaren gesellschaftsrechtlichen Regeln haften. Soweit solche Haftungsregeln fehlen, sieht die Vorschrift eine subsidiäre Haftung nach dem BSIG vor. Das Gesetz begründet keine pauschale Erfolgshaftung für jeden Cyberangriff.

Ein Sicherheitsvorfall führt daher nicht automatisch zur persönlichen Haftung. Das Haftungsrisiko steigt jedoch erheblich, wenn die Geschäftsleitung bekannte Risiken nicht bearbeitet, erforderliche Ressourcen verweigert, Warnungen ignoriert oder Sicherheitsmaßnahmen lediglich auf dem Papier bestehen lässt. Pflichtverletzung, Verschulden, Schaden und Kausalität sind jeweils zu prüfen.

II. Bußgelder

Das BSIG sieht für bestimmte Verstöße gegen zentrale Pflichten Bußgelder von bis zu EUR 10 Millionen für besonders wichtige Einrichtungen und bis zu EUR 7 Millionen für wichtige Einrichtungen vor. Bei Unternehmen mit einem weltweiten Gesamtumsatz von mehr als EUR 500 Millionen können die Höchstgrenzen für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße bis zu 2 Prozent beziehungsweise 1,4 Prozent des Gesamtumsatzes betragen.

Diese Höchstgrenzen gelten nicht für jeden Verstoß. § 65 BSIG unterscheidet mehrere Bußgeldrahmen. Die konkrete Höhe hängt vom jeweiligen Tatbestand und den Umständen des Einzelfalls ab. Für die Geschäftsleitung ist deshalb entscheidend, dass sie ihre Compliance-Entscheidungen, Priorisierungen und Abhilfemaßnahmen nachvollziehbar festhält.

III. Strafrechtliche Risiken nicht überzeichnen, aber ernst nehmen

Das BSIG enthält keine allgemeine Strafbarkeit der Geschäftsleitung für jede NIS-2-Verletzung. Das primäre Risiko liegt in aufsichtsrechtlichen Maßnahmen, Bußgeldern und gesellschaftsrechtlicher Haftung.

Strafrechtliche Risiken können hinzutreten, wenn im Zusammenhang mit einem Cybervorfall eigenständige Straftatbestände verwirklicht werden. Ob beispielsweise manipulierte Berichte, Täuschungshandlungen oder das Löschen von Protokolldaten strafbar sind, hängt von den Voraussetzungen des jeweils einschlägigen Strafgesetzes ab. Nicht jede unrichtige Meldung oder Datenlöschung ist automatisch eine Straftat. Eine strafrechtliche Verantwortlichkeit allein wegen Organisationsmängeln ist ebenfalls nicht ohne Weiteres gegeben.

H. Was die Geschäftsleitung jetzt konkret veranlassen sollte

I. Praxisempfehlung: Beschluss innerhalb der nächsten 30 Tage

Die Geschäftsleitung sollte einen formellen Beschluss zur NIS-2-Compliance fassen. Der Beschluss sollte Anwendungsbereich, verantwortliche Personen, erforderliche Ressourcen und Zeitplan festlegen. Die Empfehlung einer Beschlussfassung innerhalb von 30 Tagen ist keine gesetzliche Schonfrist. Bereits bestehende Pflichten müssen unverzüglich bearbeitet werden.

II. Risikobericht an die Geschäftsleitung

Der Informationssicherheitsbeauftragte oder ein externer Sachverständiger sollte der Geschäftsleitung einen Risikobericht vorlegen. Dieser sollte geschäftskritische Systeme, wesentliche Dienstleister, erkannte Schwachstellen, bestehende Notfallpläne und offene Maßnahmen enthalten.

III. Maßnahmenplan mit Prioritäten

Die Geschäftsleitung sollte nicht versuchen, sämtliche Maßnahmen gleichzeitig umzusetzen. Sie sollte zunächst die Systeme und Prozesse priorisieren, deren Ausfall die Erbringung geschäftskritischer Dienste gefährdet. Jede offene Maßnahme sollte einen Verantwortlichen, ein Budget, eine Frist und einen dokumentierten Umsetzungsstand erhalten. Die Priorisierung ersetzt nicht die Erfüllung bereits geltender Pflichten.

IV. Krisenübung

Das Unternehmen sollte einen Cybervorfall praktisch simulieren. Dabei sollte insbesondere geprüft werden, ob Geschäftsleitung, IT, Datenschutz, Kommunikation, Versicherer und externe Berater innerhalb der gesetzlichen Meldefristen handlungsfähig sind.

V. Rechtliche Prüfung der Dienstleisterverträge

Die Geschäftsleitung sollte Verträge mit Cloud-Anbietern, Rechenzentren, Managed Service Providern und sonstigen kritischen IT-Dienstleistern prüfen. Zu regeln sind insbesondere Sicherheitsstandards, Meldefristen, Audit-Rechte, Mitwirkungspflichten, Beweissicherung, Subdienstleister, Notfallbetrieb und Haftung.

I. Fazit: NIS-2 ist eine Leitungsaufgabe

NIS-2 macht Cybersicherheit zu einer originären Aufgabe der Geschäftsleitung. Die Geschäftsleitung muss nicht jedes technische Detail selbst beherrschen. Sie muss aber sicherstellen, dass das Unternehmen seine Risiken kennt, angemessene Maßnahmen umsetzt, Sicherheitsvorfälle innerhalb der gesetzlichen Fristen melden kann und die Wirksamkeit der Organisation fortlaufend überwacht.

Die wichtigste Schutzmaßnahme für die Geschäftsleitung ist deshalb ein belastbarer Entscheidungs- und Nachweisprozess. Wer die Betroffenheit prüft, Risiken priorisiert, Maßnahmen mit Ressourcen hinterlegt und die Umsetzung regelmäßig kontrolliert, reduziert das Risiko eines Cyberangriffs und verbessert zugleich die eigene Position gegenüber Aufsichtsbehörden und Gesellschaftern sowie im späteren Haftungsfall.

Unternehmen sollten jetzt klären, ob sie unter § 28 BSIG fallen, ob sie ihre Registrierungspflicht erfüllt haben und ob die Geschäftsleitung ihre Pflichten nach § 38 BSIG nachweisbar wahrnimmt. Bei Zweifelsfragen zur Einordnung, offenen Sicherheitslücken oder nach einem Sicherheitsvorfall empfiehlt sich eine frühzeitige rechtliche Prüfung. NIS-2-Compliance ist Unternehmensorganisation, Haftungsprävention und Krisenvorsorge.

Dieser Beitrag gibt einen Überblick über den Rechtsstand am 29. Oktober 2026 und ersetzt keine Prüfung des konkreten Geschäftsmodells, der Konzernstruktur oder der IT-Organisation eines Unternehmens.

Amtliche Quellen und weiterführende Beiträge

Weiterführend: Digitale Ermittlungen im Wirtschaftsstrafrecht und Durchsuchung im Unternehmen: Sofortmaßnahmen für Geschäftsführung und IT.

Sie möchten die NIS-2-Betroffenheit, Ihre Leitungsorganisation oder die rechtliche Reaktion auf einen Sicherheitsvorfall prüfen lassen? Vertrauliche Kontaktaufnahme mit Dr. Mathias Grzesiek.

Über
Letzte Artikel

Mir folgen

Dr. Mathias Grzesiek

Rechtsanwalt bei Rosinus | Partner Rechtsanwälte PartG mbB

Dr. Mathias Grzesiek ist Partner der auf Wirtschafts- und Steuerstrafrecht spezialisierten Kanzlei Rosinus | Partner Rechtsanwälte PartG mbB in Frankfurt/M. Er berät nationale und internationale Unternehmen sowie Privatpersonen in allen Fragen des Wirtschafts- und Steuerstrafrecht sowie IT- und Compliance-Themen.