Glossar / NIS-2
NIS-2
NIS-2 ist die EU-Richtlinie zur Cybersicherheit, in Deutschland durch das NIS2UmsuCG in das BSI-Gesetz überführt. Sie verpflichtet bestimmte Unternehmen zu Sicherheitsmaßnahmen und ihre Geschäftsleitung zu Umsetzung und Überwachung.
Was bedeutet NIS-2?
Die Richtlinie (EU) 2022/2555 soll das Cybersicherheitsniveau in der EU erhöhen. Deutschland hat sie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das seit dem 6. Dezember 2025 gilt. Es ergänzt das BSI-Gesetz (BSIG). Betroffen sind besonders wichtige und wichtige Einrichtungen. Ob Du dazugehörst, hängt von Sektor und Größe ab. Grob gelten wichtige Einrichtungen ab 50 Beschäftigten und EUR 10.000.000,00 Umsatz oder Bilanzsumme, bei besonders wichtigen Einrichtungen liegen die Schwellen höher. Rund 30.000 Unternehmen sollen erfasst sein.
Die Einrichtungen müssen Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und sich beim BSI registrieren. Die Registrierungsfrist endete am 6. März 2026. Erhebliche Sicherheitsvorfälle sind zu melden, eine frühe Erstmeldung ist binnen 24 Stunden vorgesehen. Nimm die Selbsteinschätzung zur Betroffenheit ernst und schiebe sie nicht auf.
Pflichten der Geschäftsleitung und Haftung
§ 38 BSIG richtet sich an die Geschäftsleitung. Sie muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen, um IT-Sicherheitsrisiken beurteilen zu können. Die NIS-2-Richtlinie spricht zusätzlich von einer Billigung der Maßnahmen durch die Leitung. Die operative Umsetzung kannst Du delegieren, die Verantwortung bleibt bei der Leitung.
Im Kern geht es um die Geschäftsführerhaftung IT-Sicherheit. Verletzt die Geschäftsleitung ihre Pflichten, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts, bei der GmbH also nach § 43 GmbHG. Der Anspruch steht zunächst der Gesellschaft zu. Eine D&O-Versicherung kann das Risiko mindern, beseitigt es aber nicht.
Bußgelder
Für Unternehmen gelten Bußgelder nach § 65 BSIG. Sie betragen bei besonders wichtigen Einrichtungen bis zu EUR 10.000.000,00, bei wichtigen Einrichtungen bis zu EUR 7.000.000,00. Übersteigt der weltweite Gesamtumsatz EUR 500.000.000,00, gelten alternativ bis zu 2 % bzw. 1,4 % des Gesamtumsatzes. Bußgeldbewehrt sind nach § 65 Abs. 2 BSIG etwa nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergriffene Maßnahmen nach § 30 BSIG. Organisatorisch knüpft das Thema an das Interne Kontrollsystem und das Tax Compliance Management System an.
Fiktives Beispiel: Ein Maschinenbauer mit 180 Beschäftigten und EUR 40.000.000,00 Umsatz stuft sich nach Prüfung als wichtige Einrichtung ein und registriert sich beim BSI. Der Geschäftsführer lässt sich die Maßnahmen schriftlich vorlegen, gibt sie nach Rückfragen frei, verlangt quartalsweise Umsetzungsberichte und bucht eine Schulung für sich. Alles hält er in einem Protokoll fest, damit er seine Überwachung nachweisen kann.
Typische Fehler und Risiken
- Die Betroffenheit wird nicht geprüft. Wer sich nicht rechtzeitig beim BSI registriert, verletzt eine gesetzliche Pflicht.
- Die IT-Abteilung erhält die Verantwortung allein. Die Überwachung bleibt aber bei der Geschäftsleitung, die sie nicht vollständig delegieren kann.
- Hinweise auf Sicherheitslücken werden aus Kostengründen verschoben. Kommt es zu einem Schaden, kann die Gesellschaft Ersatz von der Geschäftsleitung verlangen.
- Die Überwachung wird nicht dokumentiert. Im Streitfall fehlt der Nachweis, dass die Geschäftsleitung ihre Pflichten erfüllt hat.
- Schulungen für die Geschäftsleitung entfallen. § 38 BSIG verlangt eine regelmäßige Teilnahme.
Häufige Fragen
Bin ich von NIS-2 betroffen?
Haftet der Geschäftsführer persönlich?
Welche Bußgelder drohen bei NIS-2?
Wann eine Beratung sinnvoll ist
Eine Beratung ist sinnvoll, wenn Du unsicher bist, ob Dein Unternehmen unter das BSIG fällt, oder wenn Du als Geschäftsleitung Überwachung und Schulung nachweisbar aufsetzen willst.
Auch gesucht als: NIS2UmsuCG, § 38 BSIG, Geschäftsführerhaftung IT-Sicherheit · Rechtsstand: Oktober 2026, letzte Aktualisierung: 08.10.2026. Allgemeine Information, ersetzt keine Beratung im Einzelfall.
Rechtsgrundlagen und Quellen
