NIS2-Umsetzungsgesetz: Was Unternehmen jetzt tun müssen

Die Kernpflichten: Registrierung, Risikomanagement, Meldepflichten

NIS2 bringt neue Pflichten – aber betroffene Unternehmen müssen sie nicht alle auf einmal stemmen. Sie lassen sich auf vier Blöcke herunterbrechen, die zusammenhängen, sich aber getrennt angehen lassen.

1. Registrierung beim BSI

Die formale Anmeldung samt erreichbarer Kontaktstelle – der einfachste Schritt, an dem es trotzdem am häufigsten hakt, weil das ELSTER-Zertifikat vorab beantragt sein will.

2. Risikomanagement nach § 30 BSIG

Das inhaltliche Herzstück. § 30 Absatz 1 verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen”; Absatz 2 nennt dafür einen Katalog von mindestens zehn Feldern – Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs samt Backup und Wiederherstellung, Sicherheit der Lieferkette, Zugriffskontrolle und Multi-Faktor-Authentifizierung, Verschlüsselung, Patch-Management sowie Schulungen. Maßstab ist die Verhältnismäßigkeit: Eine kleine wichtige Einrichtung muss weniger stemmen als ein großer KRITIS-Betreiber. Die IT-Sicherheits-Checkliste für den Mittelstand zeigt die typischen Lücken, das IT-Sicherheitskonzept liefert die Struktur zum Dokumentieren.

3. Meldepflichten mit Uhr

§ 32 BSIG schreibt eine gestufte Meldung erheblicher Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK vor: eine frühe Erstmeldung binnen 24 Stunden, innerhalb von 72 Stunden eine Meldung, die eine erste Bewertung des Vorfalls nach Schweregrad, Auswirkungen und Kompromittierungsindikatoren enthält, sowie eine Abschlussmeldung spätestens einen Monat später. Dauert der Vorfall dann noch an, tritt zunächst eine Fortschrittsmeldung an ihre Stelle.

Diese Uhr läuft ab Kenntnis – nicht ab Feierabend, nicht ab Montagmorgen. Das setzt zweierlei voraus: dass ein Vorfall bemerkt wird, und dass vorher feststeht, wer meldet. Beides gehört in den IT-Notfallplan. Erkennung ist der schwierigere Teil – ohne EDR und Monitoring merkt man den Einbruch oft erst, wenn die Verschlüsselung läuft.

4. Absicherung der Lieferkette

Sie sind auch für die Sicherheit Ihrer Dienstleister und Software-Lieferanten mitverantwortlich. In der Praxis heißt das: Anforderungen in Verträge schreiben, die wichtigsten Zulieferer prüfen und die Ergebnisse festhalten.

Über allem steht die Nachweispflicht. § 30 Absatz 1 verlangt ausdrücklich die Dokumentation der Einhaltung, und § 65 Absatz 2 Nummer 3 stellt eine fehlende oder unvollständige Dokumentation eigens unter Bußgeld. Ein gutes Risikomanagement, das niemand dokumentiert hat, zählt im Zweifel wie keines.

Hier trennt sich, wer NIS2 in Wochen erledigt und wer in Monaten – nicht an der Technik, sondern daran, ob Geräte, Konten, Rechte und Maßnahmen an einer Stelle geführt werden (Sicherheit & Compliance).

Reicht eine ISO-27001-Zertifizierung?

Das ist die häufigste Rückfrage aus Unternehmen, die bereits ein Managementsystem für Informationssicherheit betreiben. Die Antwort des BSI ist eindeutig: Ein Zertifikat nach ISO 27001 bedeutet nicht automatisch, dass die Anforderungen des § 30 erfüllt sind – als Nachweis der NIS2-Konformität taugt es deshalb nicht.

Umsonst ist die Vorarbeit trotzdem nicht. Das BSI verweist in seinem Infopaket zu ISO/IEC 27001 im Kontext NIS-2 auf erhebliche Überschneidungen mit dem Maßnahmenkatalog: Ein bestehendes ISMS ist ein strukturierter Startpunkt und senkt den Umsetzungsaufwand spürbar.

Umgekehrt schreibt das BSI auch keinen bestimmten Standard vor. Einrichtungen sind frei in der Wahl des Wegs – solange die Pflichten am Ende tatsächlich erfüllt sind. Eine Zertifizierung ist also weder Voraussetzung noch Freifahrtschein. Für Betreiber kritischer Anlagen hat sie einen Zusatznutzen: Dort zählen Zertifizierungen nach § 39 ausdrücklich zu den zulässigen Nachweisformen.

Sanktionen: Bußgelder und persönliche Haftung

Der Punkt, der Geschäftsführungen wachrüttelt: NIS2 nimmt die Leitungsebene persönlich in die Pflicht. § 38 BSIG verlangt, die Risikomanagement-Maßnahmen umzusetzen und ihre Umsetzung zu überwachen; Absatz 2 ordnet an, dass Geschäftsleitungen bei einer Verletzung dieser Pflicht ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts haften – bei einer GmbH also mit dem Privatvermögen.

Besonders unbequem ist Absatz 3: Die Geschäftsleitung muss regelmäßig selbst an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können. Diese Pflicht lässt sich an niemanden abgeben – weder an die IT noch an einen Dienstleister. Das BSI stellt dafür eine eigene Geschäftsleitungsschulung bereit und formuliert den Anspruch deutlich:

Die NIS-2-Richtlinie macht Cybersicherheit zur Chefinnen- und Chefsache: Geschäftsführungen betroffener Einrichtungen sind dazu verpflichtet, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich zu Fragen der Bewertung und des Managements von Cyberrisiken schulen zu lassen.

— Claudia Plattner, Präsidentin des BSI

Beim Bußgeld lohnt der genaue Blick, weil die kursierenden Zahlen fast immer die Höchststrafe meinen. § 65 Absatz 5 staffelt: Verstöße gegen Risikomanagement und Meldepflicht kosten bis zu 10 Millionen Euro (besonders wichtige) beziehungsweise 7 Millionen Euro (wichtige Einrichtungen), eine versäumte oder falsche Registrierung nach § 33 dagegen bis zu 500.000 Euro. Der Gesetzgeber bewertet die inhaltlichen Pflichten also deutlich härter als die Formalie.

Und die viel zitierten 2 Prozent? Artikel 34 der Richtlinie sieht Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Der deutsche Gesetzgeber hat das enger gefasst: § 65 Absatz 6 BSIG knüpft diese Umsatzvariante an einen Gesamtumsatz von mehr als 500 Millionen Euro. Für den typischen Mittelständler bleibt der feste Rahmen die relevante Zahl.

Das Bußgeld ist dabei nicht einmal das schärfste Instrument. § 61 BSIG gibt dem BSI gegenüber besonders wichtigen Einrichtungen ein ganzes Bündel an Aufsichtsbefugnissen: Betreten der Geschäftsräume während der üblichen Betriebszeiten, angeordnete Audits, Anweisungen zur Mängelbeseitigung, bis hin zur Auflage, die eigenen Kunden über akute Bedrohungen zu informieren. Und wenn eine Einrichtung Anordnungen trotz Fristsetzung nicht nachkommt, kann die zuständige Aufsichtsbehörde als letztes Mittel die fachrechtliche Genehmigung vorübergehend aussetzen – oder einer unzuverlässigen Geschäftsleitung die Ausübung ihrer Tätigkeit vorübergehend untersagen. Beides endet, sobald die Anordnungen erfüllt sind.

Fünf Schritte, mit denen Sie jetzt starten

Der übliche Fehler ist, mit der Technik anzufangen. Auch die BSI-Roadmap beginnt anders: erst klären, wo Sie stehen.

1. Betroffenheit klären. Prüfen Sie über Sektor, Größe und Umsatz, ob und als welche Kategorie Sie erfasst sind. Ohne diese Einordnung ist alles Weitere Raten.
2. Registrieren. ELSTER-Organisationszertifikat beantragen, dann im BSI-Portal registrieren. Für das Zertifikat einige Tage einplanen.
3. Ist-Zustand aufnehmen. Gleichen Sie Ihre IT-Sicherheit gegen den Maßnahmenkatalog aus § 30 Absatz 2 ab. Die Gap-Analyse zeigt schwarz auf weiß, was fehlt.
4. Meldeweg und Notfallplan festlegen. Wer erkennt einen Vorfall, wer meldet binnen 24 und 72 Stunden, wer vertritt? Mit Namen und Telefonnummern.
5. Lücken schließen und dokumentieren. Priorisiert abarbeiten – und jede Maßnahme so festhalten, dass sie sich gegenüber dem BSI belegen lässt.

Für Schritt 3 hilft ein Blick von außen: Der IT-Sicherheits-Check sortiert, welche Grundschutzmaßnahmen bei Ihnen wirklich stehen. Für die Verzahnung von NIS2 mit der DSGVO ist unser Partnerprojekt fraghugo.de eine gute Anlaufstelle.

Wer das im Mittelstand tatsächlich umsetzt

Auf dem Papier klingt der Katalog nach einem Projekt für eine Compliance-Abteilung. In Unternehmen mit 50 bis 250 Mitarbeitenden gibt es die nicht: Dort liegt NIS2 bei der Geschäftsführung und einer IT, die nebenbei den Tagesbetrieb hält – es scheitert selten inhaltlich, fast immer an der Kapazität.

Der häufigste Einwand ist deshalb nicht „zu teuer”, sondern „das machen wir intern”. Das funktioniert – solange die eine Person da ist, die es macht. Fällt sie aus, steht kein Meldeweg mehr, und die Uhr läuft trotzdem.

Der Weg heraus ist unspektakulär: Bestand erfassen, Maßnahmen an einer Stelle führen, Nachweise automatisch mitschreiben lassen. kjello ist die IT-Abteilung als Service für den Mittelstand, betrieben vom Hamburger Systemhaus hagel IT (seit 2004). Für 29 Euro pro Nutzer und Monat sind Portal, Onboarding, Inventar und Support enthalten; Module wie EDR (10 Euro pro Nutzer und Monat) oder Backup kommen dazu, wo der § 30-Katalog sie verlangt. So wird NIS2 vom Sonderprojekt zum Nebenprodukt des laufenden Betriebs – Details bei der laufenden IT-Betreuung.

Wir starten jede Zusammenarbeit mit einer Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen und was zuerst dran ist.

Jens HagelGründer & Geschäftsführer

Ehrlich bleibt die Grenze: Für Konzerne mit eigener IT-Abteilung und ISMS-Team ist dieser Weg nicht gedacht. Der Zuschnitt sind 20 bis 250 Mitarbeitende – groß genug, dass die Pflichten greifen, klein genug, dass niemand ein Compliance-Team dafür aufbaut.

Fazit: aus der Pflicht eine Grundlage machen

NIS2 wirkt wie ein weiterer Compliance-Berg. Nüchtern betrachtet ist es vor allem eine strukturierte Checkliste für IT-Sicherheit, die ohnehin sinnvoll wäre – nur jetzt mit gesetzlichem Nachdruck, dokumentierten Nachweisen und persönlicher Haftung der Leitung. Wer die Betroffenheit klärt, sich registriert und sein Risikomanagement sauber aufsetzt, hat die Bestandsaufnahme hinter sich, bevor das BSI nachfragt.