Anforderungen der NIS-2 & IT-Sicherheit: Compliance für betroffene Unternehmen nach EU-Richtlinie & Umsetzungsgesetz

AUF EINEN BLICK: CYBERSECURITY & NIS2

Mit dem Inkrafttreten des Gesetzes zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) verschärft der Gesetzgeber die Anforderungen an die Cybersicherheit in Deutschland massiv. Die praktische Umsetzung der NIS-2-Richtlinie verpflichtet die betroffenen Unternehmen in Deutschland zu einem lückenlosen Risikomanagement, verkürzten Meldefristen und einer konsequenten Absicherung aller Systeme. Ob Betreiber kritischer Infrastrukturen (KRITIS), wichtige oder besonders wichtige Einrichtung: Zur Erfüllung der Anforderungen müssen Betriebe nachweisbare Schutzkonzepte vorlegen. Bei Compliance-Verstößen drohen empfindliche Sanktionen sowie eine unübertragbare persönliche Haftung der Geschäftsleitung. Die Wirtschaftskanzlei BEISSE & RATH in Nürnberg begleitet Unternehmen bei der Betroffenheitsanalyse, der Vertragsgestaltung und der Enthaftung der Leitungsebene.

Die regulatorischen Vorgaben für die Sicherheit in der Informationstechnik stellen die Wirtschaft vor tiefgreifende Aufgaben. Über 30.000 Einrichtungen in Deutschland stehen vor der Herausforderung, strenge Schutzmaßnahmen und Meldepflichten gegenüber dem BSI rechtskonform im Betriebsalltag zu verankern. Wenn es um NIS2 geht, dürfen Vorstände und Geschäftsführer keine Zeit verlieren: Wer frühzeitig handelt, verschafft sich operative Handlungssicherheit und schützt das Unternehmen vor empfindlichen Bußgeldern.

Als spezialisierte Kanzlei für IT-Recht & Digitalisierung verbinden wir juristische Präzision mit technischem Verständnis. Wir analysieren lückenlos, inwieweit Ihr Betrieb von der Regulierung erfasst ist, passen bestehende Lieferanten- und Dienstleisterverträge an und sorgen dafür, dass alle gesetzlichen Schutzvorkehrungen gerichts- und aufsichtsfest dokumentiert werden.

NIS2 betroffen? Betroffene Unternehmen in den regulierten Sektoren

Die zutreffende Einstufung des Betriebs bildet das Fundament jeder tragfähigen Sicherheitsstrategie. Ob Ihr konkretes Unternehmen betroffen ist, klären wir im Rahmen einer fundierten anwaltlichen Betroffenheitsprüfung.

Schwellenwerte und Sektoren: Wer gilt als NIS2-betroffen?

Die gesetzlichen Vorgaben knüpfen primär an Unternehmensgröße und Branchenzugehörigkeit an. Wer als Betrieb von NIS2 betroffen ist, beschäftigt in der Regel mindestens 50 Mitarbeitende oder erzielt einen Jahresumsatz bzw. eine Bilanzsumme von über 10 Millionen Euro. Zu den erfassten Sektoren zählen neben klassischen Kernbereichen wie Energie, Gesundheit und Transport auch das verarbeitende Gewerbe, Chemie, Ernährung, Logistik sowie IT- und Domain- & Plattformen-Anbieter. Auch Zulieferer, die über Schnittstellen mittelbar unter die Vorgaben der NIS-2 fallen, sind zu umfassenden Vorkehrungen verpflichtet.

Wichtige vs. besonders wichtige Einrichtungen

Das Gesetz differenziert zwischen zwei Hauptkategorien. Besonders wichtige Einrichtungen (Großunternehmen kritischer Branchen) unterliegen einer proaktiven Ex-ante-Aufsicht und wiederkehrenden Kontrollen durch die Behörden. Wichtige Einrichtungen (vor allem mittlere Unternehmen) werden anlassbezogen ex-post überprüft. Beide Gruppen treffen jedoch dieselben materiellen Sorgfaltspflichten. Wer NIS2 ignoriert, setzt die Zukunftsfähigkeit und Reputation des eigenen Hauses aufs Spiel.

Abgrenzung zu ISO 27001, DSGVO und DORA

Während das Rechtsgebiet Datenschutz & Compliance nach der DSGVO primär den Schutz personenbezogener Daten bezweckt, adressiert NIS-2 die Funktionsfähigkeit der gesamten digitalen Infrastruktur. Ein Zertifikat nach ISO 27001 bietet eine hervorragende Basis, ersetzt jedoch weder die Einhaltung aller regulatorischen Anforderungen noch die gesetzlich vorgeschriebenen behördlichen Meldeketten.

Anforderungen der NIS-2: Welche Maßnahmen müssen sichergestellt werden?

Unternehmen sind gesetzlich verpflichtet, dem Stand der Technik entsprechende Vorkehrungen zu treffen, um Cyber-Risiken zu beherrschen und Betriebsausfälle zu verhindern.

Technische und organisatorische Schutzvorkehrungen

Betroffene Unternehmen müssen verhältnismäßige, wirksame technische und organisatorische Maßnahmen ergreifen. Dazu zählen:

  • Risikobewertung, Schwachstellenanalysen und Sicherheitsrichtlinien

  • Multi-Faktor-Authentifizierung (MFA) und rollenbasierte Zugriffskontrollen

  • Durchgängige Verschlüsselung von Daten sowie abgesicherte Sprach-, Video- und Textkommunikation

  • Notfall- und Krisenmanagement (Business Continuity) zur schnellen Wiederherstellung der Systeme

  • Regelmäßige Sicherheitsüberprüfungen, Mitarbeiterschulungen und externe Audits

Dabei muss jederzeit sichergestellt sein, dass auch digitale Dienste redundant und ausfallsicher betrieben werden.

Vendor Risk: IT-Sicherheit in der Lieferkette absichern

Ein erhebliches Einfallstor bilden externe IT-Dienstleister. Das Gesetz verlangt ausdrücklich die Absicherung der vor- und nachgelagerten Wertschöpfungskette. Regulierte Betriebe müssen Sicherheitsstandards bei ihren Partnern auditieren und vertraglich durchsetzen. Dies erfordert maßgeschneiderte IT-Verträge, Cloud & SaaS mit garantierten Kontrollrechten und verbindlichen Informationspflichten bei Sicherheitsvorfällen.

Meldepflichten beim BSI: Frist und Registrierung bei Sicherheitsvorfällen

Regulierte Einrichtungen sind gesetzlich verpflichtet, erhebliche Störungen unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden.

Strikte Fristen bei Cyber-Angriffen

Im Ernstfall gilt eine gestaffelte Meldekaskade:

  • Frühwarnung binnen 24 Stunden: Erste Benachrichtigung nach Kenntniserlangung inklusive einer ersten Einschätzung, ob der Vorfall auf rechtswidrige Handlungen zurückzuführen ist.

  • Vorfallsmeldung innerhalb von 72 Stunden: Detaillierte Aktualisierung mit Bewertung des Schweregrads und des Schadensausmaßes.

  • Abschlussbericht nach spätestens einem Monat: Umfassende Analyse der Angriffsursachen, ergriffener Abhilfemaßnahmen und grenzüberschreitender Folgen.

Verpflichtende Behörden-Registrierung

Alle regulierten Betriebe unterliegen einer formellen Registrierungspflicht. Diese muss ordnungsgemäß über das für NIS-2 neu entwickelten BSI-Portal vorgenommen werden. Dabei sind neben den Stammdaten auch funktionierende Notfall-Kontaktstellen zu hinterlegen. Bei gravierenden Sicherheitsvorfällen kann das BSI Prüfungen vor Ort anordnen, verbindliche Nachbesserungen verlangen und Einsicht in IT-Protokolle fordern.

Haftung der Geschäftsleitung: Welche Sanktionen und Bussgeld drohen?

Cybersicherheit ist unter der NIS-2-Doktrin eine unübertragbare Leitungsaufgabe. Organe haften für Versäumnisse unmittelbar.

Pflichten der Geschäftsleitung und persönliche Haftung

Die Geschäftsführung muss die vorgeschriebenen Schutzmaßnahmen eigenhändig billigen und die laufende Umsetzung überwachen. Die juristische Verantwortung für die Umsetzung kann weder auf externe Berater noch auf interne IT-Teams delegiert werden. Für die lückenlose Umsetzung und Überwachung haftet das Management der Gesellschaft gegenüber persönlich mit dem Privatvermögen. Ein formularmäßiger Haftungsverzicht ist unwirksam. Unser Team für Compliance & Risikomanagement unterstützt Sie dabei, persönliche Haftungsrisiken strukturiert zu minimieren.

Bußgelder und aufsichtsrechtliche Maßnahmen

Bei Verstößen gegen Melde- oder Sorgfaltspflichten drohen drakonische Sanktionen:

  • Für besonders wichtige Einrichtungen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Gesamtjahresumsatzes.

  • Für wichtige Einrichtungen Geldbußen von bis zu 7 Millionen Euro bzw. 1,4 % des weltweiten Jahresumsatzes.

  • Die Kontrollen und Sanktionen werden ab 2025 in Deutschland flächendeckend durchgesetzt; das BSI kann Geschäftsleitern bei beharrlicher Pflichtverletzung die Leitungstätigkeit vorübergehend untersagen lassen.

Ihre Fachanwälte für IT-Recht & Cybersecurity-Compliance in Nürnberg

BEISSE & RATH verbindet jahrelange Erfahrung im Wirtschafts- und Technologierecht mit lösungsorientierter Beratung für Unternehmen und Unternehmensleiter.

Vorschaubild von Rechtsanwalt Dominic Baumüller für die Teamübersicht der Kanzlei Beisse & Rath.

Dominic Baumüller, LL.M. Eur.

Rechtsanwalt,
Fachanwalt für Arbeitsrecht,
Fachanwalt für Informations-
technologierecht

Zum Profil von Fachanwalt Dominic Baumüller

FAQ: Fragen zu BSI, Frist und Anforderungen der NIS-2

Die praktische Umsetzung der Regulierung wirft im Alltag viele Detailfragen auf, die wir hier kompakt und rechtssicher beantworten.

Ja. Jede regulierte Einrichtung unterliegt einer strikten Registrierungspflicht. Die Stammdaten und Notfallkontakte müssen fristgerecht über das Portal des BSI hinterlegt werden, um eine unterbrechungsfreie Krisenkommunikation mit den Sicherheitsbehörden sicherzustellen.

Bei einem gravierenden Cyber-Vorfall muss die Erstmeldung (Frühwarnung) zwingend innerhalb von 24 Stunden beim BSI eingehen. Binnen 72 Stunden ist eine fundierte Vorfallsmeldung nachzureichen, gefolgt von einem detaillierten Abschlussbericht nach spätestens einem Monat.

Ja. Das Gesetz verpflichtet die Geschäftsleitung ausdrücklich dazu, sich regelmäßig in IT-Sicherheit fortzubilden, um Risiken eigenständig bewerten zu können. Zudem müssen Unternehmen ihre Belegschaft kontinuierlich schulen, um Gefahren wie Phishing und Social Engineering wirksam abzuwehren.

Themen