NIS2: Cybersicherheit hat jetzt eine Adresse

Der Gesetzgeber hat in Deutschland eine Gruppe reguliert, deren Mitglieder er nicht kennt. Rund 29.500 Einrichtungen sollen unter das NIS2-Umsetzungsgesetz fallen, so lautet die Schätzung. Ein Verzeichnis dieser Einrichtungen existiert nicht. Jede Organisation muss selbst herausfinden, ob sie dazugehört, und sich anschließend selbst melden.

Was nach Verwaltungsdetail klingt, ist bereits die erste inhaltliche Anforderung des Gesetzes. Wer die eigene Betroffenheit prüfen will, braucht mehrere Antworten gleichzeitig: Welcher Einrichtungsart aus den Anlagen zum BSI-Gesetz ist die Haupttätigkeit zuzuordnen? Wie viele Beschäftigte zählt die einzelne Legaleinheit, nicht die Firmengruppe? Wie hoch waren Jahresumsatz und Jahresbilanzsumme im letzten Rechnungsabschluss? Welche verbundenen Unternehmen sind einzurechnen, welche Nebentätigkeiten dürfen unberücksichtigt bleiben? § 28 BSIG enthält dafür eine Zuordnungslogik, an der auch spezialisierte Beratungspraxen regelmäßig Fehleinschätzungen beobachten (1).

Wie schwer das fällt, zeigt der Cyber Security Report 2026: Rund 48 Prozent der befragten Unternehmen gehen davon aus, nicht betroffen zu sein, obwohl sie es potenziell sind. Unter den umsatzstarken Kleinunternehmen mit 10 bis 49 Beschäftigten, die eigentlich genau hinsehen müssten, sind es 92 Prozent (2). Die erste Sicherheitsaufgabe besteht offenbar darin, die eigene Organisation überhaupt zu kartieren.

Darin liegt der eigentliche Charakter dieses Gesetzes. NIS2 reguliert weniger Firewalls und Virenscanner als die Frage, wer in einem Betrieb über digitale Abhängigkeiten entscheidet, wer ihre Risiken bewertet und wer im Ernstfall Rechenschaft ablegen muss.

Die europäische Vorgabe war früh klar. Die Richtlinie (EU) 2022/2555 verlangte die nationale Umsetzung bis zum 17. Oktober 2024; nur vier der 27 Mitgliedstaaten hielten diesen Termin ein. Die EU-Kommission eröffnete am 28. November 2024 Vertragsverletzungsverfahren gegen 23 Staaten, Deutschland eingeschlossen, und richtete am 7. Mai 2025 eine mit Gründen versehene Stellungnahme an die Bundesregierung (3). Hierzulande war ein Gesetzentwurf mit dem Ende der Ampel-Koalition zunächst hinfällig geworden. Verkündet wurde das NIS2-Umsetzungsgesetz am 5. Dezember 2025, in Kraft trat es am Tag darauf: 415 Tage nach Ablauf der eigentlichen Frist, ohne jede Übergangszeit (4).

Wer nun dazugehört, entscheiden Sektor und Größe zusammen. Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Als besonders wichtige Einrichtung gilt, wer mindestens 250 Beschäftigte hat oder mehr als 50 Millionen Euro Umsatz bei zugleich mehr als 43 Millionen Euro Bilanzsumme aufweist, jeweils zugeordnet zu einer Einrichtungsart in einem der erfassten Sektoren (1). Der Umsatz allein genügt also nicht, was in vielen Zusammenfassungen untergeht und die Selbsteinschätzung zusätzlich erschwert.

Unterhalb dieser Schwellen bleibt niemand unberührt. Zu den zehn Pflichtmaßnahmen gehört die Sicherheit der Lieferkette, ausdrücklich einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern (5). Betroffene Einrichtungen prüfen also ihre Partner und geben Anforderungen vertraglich weiter. Ein Verband, der mit einer regulierten Klinik zusammenarbeitet, oder eine Agentur, die für einen Energieversorger entwickelt, bekommt NIS2 auf diesem Weg zu spüren, ohne selbst im Geltungsbereich zu stehen.

Wie unvollständig die Selbsterkennung funktioniert, lässt sich seit dem Sommer beziffern. Die gesetzliche Registrierungsfrist lief drei Monate nach Inkrafttreten ab, also am 6. März 2026 (6). Gegenüber Wirtschaftsverbänden kommunizierte das BSI anschließend die Erwartung, dass bis Ende Juli 2026 vollständig registriert sei; eine neue gesetzliche Frist war das nicht, eher eine Duldung im Vollzug. Zu deren Ablauf zählte das Portal 18.845 Registrierungen, gegenüber den erwarteten 29.500. Das Bundesinnenministerium lässt inzwischen prüfen, ob die Erwartungszahl selbst zu hoch angesetzt war. Beide Zahlen sind mit Vorsicht zu lesen: Das BSI weist darauf hin, dass Einrichtungen mit mehreren Sektorangaben mehrfach in die Statistik eingehen können.

Das Gesetz beruht auf einer ernüchternden Annahme. Verhindern lässt sich nicht jeder Vorfall, also verlangt § 30 BSIG einen gefahrenübergreifenden Ansatz: nicht nur Schutz vor Angreifern, auch Vorsorge gegen Fehlkonfigurationen, Ausfälle, menschliche Irrtümer. Ausdrücklich genannt sind die Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement (5). Sicherheit endet nach dieser Logik nicht an der Firewall. Sie zeigt sich daran, ob ein Betrieb weiterarbeiten, ein Backup tatsächlich zurückgespielt und eine Entscheidung noch getroffen werden kann, wenn die gewohnten Systeme stillstehen.

Ebenso bemerkenswert ist die sechste der zehn Pflichtmaßnahmen: Konzepte und Verfahren zur Bewertung der Wirksamkeit der eigenen Risikomanagementmaßnahmen (5). Das Gesetz verlangt keine bestimmte Produktliste und kein einzelnes Zertifikat, es verlangt geeignete, verhältnismäßige und wirksame Maßnahmen nach dem Stand der Technik. Damit ist auch der Verdacht ausgeräumt, hier ginge es um bloßes Abhaken. Compliance ist noch keine Sicherheit. Aber Sicherheit, deren Wirksamkeit niemand prüft und deren Entscheidungen niemand nachvollziehen kann, bleibt organisatorisch eine Behauptung. Ein Backup, dessen Wiederherstellung nie getestet wurde, ist keine Resilienz. Es ist Hoffnung mit Speicherplatz.

Für kleinere Organisationen ist diese Offenheit eine Erleichterung und eine Zumutung zugleich. Erleichterung, weil die Verhältnismäßigkeit ausdrücklich mitgedacht ist und niemand die Sicherheitsarchitektur eines Konzerns nachbilden muss. Zumutung, weil sich die eigene Angemessenheit nicht per Häkchenliste beweisen lässt, sondern begründet werden muss.

Warum landet diese Verantwortung bei der Geschäftsleitung und nicht in der IT? Die Antwort steckt in den Entscheidungen selbst. Über Budgets, Personal, Dienstleister, die Modernisierung veralteter Systeme, über Redundanzen und akzeptierte Restrisiken befindet keine Fachabteilung allein. Wer diese Bedingungen setzt, bestimmt, ob Sicherheit möglich ist.

§ 38 BSIG zieht daraus eine knappe Konsequenz. Geschäftsleitungen betroffener Einrichtungen sind verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen; hinzu kommt die Pflicht, regelmäßig an Schulungen teilzunehmen, um Risiken erkennen und bewerten zu können (7). Verletzt ein Mitglied der Geschäftsleitung diese Pflichten schuldhaft und entsteht der Einrichtung daraus ein Schaden, haftet es ihr gegenüber nach den Regeln des jeweiligen Gesellschaftsrechts (7). Operative Aufgaben lassen sich abgeben, die Verantwortung dafür nicht.

Neu ist dabei weniger die Möglichkeit einer Organhaftung, die sich in Grundzügen schon aus allgemeinen Sorgfaltspflichten ergab (8). Neu ist die ausdrückliche Benennung: Cybersicherheit ist Umsetzungs-, Überwachungs- und Schulungspflicht der Leitungsebene. Wer über digitale Abhängigkeiten entscheidet, kann sich nicht länger darauf berufen, ihre Risiken seien zu technisch gewesen, um sie zu verstehen.

Registrierung und Meldepflicht wirken zunächst wie reine Kontrollinstrumente. Der Blick ins Gesetz zeigt mehr. Bei einem erheblichen Sicherheitsvorfall, gleich ob er auf einem Zero-Day-Exploit beruht oder auf einem falsch gesetzten Konfigurationsparameter, verlangt § 32 BSIG drei Stufen: binnen 24 Stunden eine frühe Erstmeldung mit der Angabe, ob böswillige Handlungen oder grenzüberschreitende Auswirkungen vermutet werden; binnen 72 Stunden eine Bewertung mit Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren; binnen eines Monats eine Abschlussmeldung mit Ursache, Verlauf und Abhilfemaßnahmen. Dauert der Vorfall länger an, tritt zunächst eine Fortschrittsmeldung an diese Stelle (9).

Die Gegenleistung steht ein paar Paragraphen weiter. Das BSI bestätigt den Eingang einer Meldung nach Möglichkeit innerhalb von 24 Stunden und stellt auf Ersuchen Orientierungshilfen oder operative Beratung zu Abhilfemaßnahmen bereit; zusätzliche technische Unterstützung ist möglich (10). Aus einzelnen Vorfällen entsteht so ein gemeinsames Lagebild, in dem der eigene Zwischenfall zum Frühwarnsignal für andere wird.

Was NIS2 also verändert, ist weniger die Technik als die Adressierung. Sicherheitsvorfälle gab es vorher auch, Meldungen ebenso, obschon meist freiwillig und zu spät. Eine Adresse ist dabei keine Einbahnstraße. Sie sagt dem BSI, wen es im Ernstfall erreichen muss, und sie sagt der Organisation, an wen sie sich wenden kann, wenn der eigene Vorfall Teil einer größeren Bedrohung ist. Wer Cybersicherheit weiterhin für eine Frage der IT-Abteilung hält, hat die Adressänderung noch nicht bemerkt.

Im Prüffall zählt, was belegbar ist. Die folgenden Nachweise ergeben sich aus den Pflichten nach §§ 30 und 38 BSIG und sollten schriftlich vorliegen, nicht nur mündlich verabredet sein (11):