Wissen für die Geschäftsführung
Wer betroffen ist, welche Pflichten das neue BSIG auslöst und wofür die Geschäftsleitung persönlich haftet. Zusammengestellt aus den Fragen, die mir in Schulungen und Erstgesprächen am häufigsten begegnen.
01 Einordnung
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Eine Richtlinie wirkt nicht direkt, sie muss erst national umgesetzt werden. In Deutschland ist das über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz passiert, das vor allem das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik neu gefasst hat, kurz BSI-Gesetz oder BSIG. Wenn Sie also nach Ihren konkreten Pflichten suchen, schauen Sie ins BSIG. Der Richtlinientext hilft Ihnen dabei wenig.
Das Ziel
NIS2 löst die erste Richtlinie zur Netz- und Informationssicherheit von 2016 ab und zieht die Anforderungen deutlich an. Der Kreis der erfassten Unternehmen wächst erheblich, ebenso die Anforderungen an Nachweise und Meldungen.
Der Hebel
18 Sektoren in zwei Anlagen des BSIG. Nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) fallen rund 29.500 Unternehmen in Deutschland darunter, viele davon erstmals überhaupt unter eine Cybersicherheitsregulierung. Registriert hatten sich zum Ende der Nachmeldephase am 31. Juli 2026 18.845 Einrichtungen, davon 6.490 besonders wichtige und 12.355 wichtige. Ob das eine Lücke ist, ist strittig: Das Bundesinnenministerium hält die Schätzung von 29.500 für zu hoch, weil sie auf Zahlen von 2019 bis 2022 beruht. Das BSI selbst veröffentlicht seine Registrierungszahlen quartalsweise, zuletzt zum 30. Juni 2026.
Die Abgrenzung
Das KRITIS-Dachgesetz gilt seit dem 17. März 2026 und regelt die physische Resilienz kritischer Anlagen, der Digital Operational Resilience Act (DORA) geht für Finanzunternehmen dem BSIG vor und der Cyber Resilience Act nimmt Hersteller vernetzter Produkte in die Pflicht, mit Meldepflichten ab dem 11. September 2026. Dass ein Unternehmen unter mehrere dieser Regelwerke fällt, ist eher die Regel als die Ausnahme.
Rechtsstand 31. August 2026: Das BSIG gilt seit dem 6. Dezember 2025, die Registrierungsfrist nach § 33 BSIG lief am 6. März 2026 ab und die Nachmeldephase des BSI am 31. Juli 2026. Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft, die zugehörige KRITIS-Verordnung liegt bislang nur als Entwurf vor. Regulatorik in diesem Feld bewegt sich in Monatsschritten. Diese Seite wird laufend nachgezogen, sie ersetzt aber keine Rechtsberatung.
02 Betroffenheit
Eines vorweg, weil es regelmäßig für Überraschung sorgt: Die Prüfung der Betroffenheit müssen Sie selbst anstoßen. Es kommt kein Bescheid und kein Anschreiben vom BSI. Wer die Prüfung liegen lässt, ist deshalb nicht außen vor. Die Registrierungsfrist endete am 6. März 2026, die Nachmeldephase des BSI am 31. Juli 2026. Wer betroffen ist und sich bis heute nicht registriert hat, verletzt seine Pflicht aus § 33 BSIG bereits. Das lässt sich nachholen und sollte es auch.
NIS2-Betroffenheits-Check starten
Erbringen Sie eine Dienstleistung aus Anlage 1 oder Anlage 2 des BSIG? Dazu zählen unter anderem Energie, Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Dienste der Informations- und Kommunikationstechnik (IKT), öffentliche Verwaltung, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und Forschung.
Faustregel: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme wird es relevant. Ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz greift die strengere Kategorie. Verbundene Unternehmen können zusammengerechnet werden.
Betreiber kritischer Anlagen sind unabhängig von der Unternehmensgröße erfasst, maßgeblich sind die Schwellenwerte der Verordnung zu kritischen Infrastrukturen. Für sie gelten die strengsten Anforderungen.
Dokumentieren Sie das Ergebnis. Auch ein negatives Prüfergebnis gehört schriftlich festgehalten und von der Geschäftsleitung freigegeben. Fragt später die Aufsicht oder ein Kunde nach, können Sie eine nachvollziehbare Prüfung vorlegen. Fehlt sie, steht schnell der Vorwurf im Raum, Sie hätten sich nie damit befasst.
03 Pflichten
Das BSIG löst fünf Gruppen von Pflichten aus. Beim Wie haben Sie Spielraum, beim Ob nicht.
Die Einrichtung meldet sich beim BSI an, hält ihre Angaben aktuell und meldet Änderungen zeitnah nach. Erfasst werden unter anderem Rechtsform, Anschrift, Kontaktdaten, Sektor und Art der Einrichtung.
Angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik, orientiert an zehn Mindestbereichen aus § 30 BSIG. Dazu gehören Risikoanalyse, Vorfallsbewältigung, Betriebskontinuität, Lieferkettensicherheit, Zugriffskontrolle und Kryptografie.
Ein dreistufiges Verfahren bei erheblichen Vorfällen: Erstmeldung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. 24 Stunden klingen nach viel. Wenn aber erst intern geklärt werden muss, wer entscheidet, sind sie schnell vorbei.
Betreiber kritischer Anlagen erbringen nach § 39 BSIG regelmäßige Nachweise gegenüber dem BSI, erstmals frühestens drei Jahre nach Beginn der Betreibereigenschaft und danach alle drei Jahre. Geeignet sind Sicherheitsaudits, Prüfungen und Zertifizierungen. Besonders wichtige und wichtige Einrichtungen ohne kritische Anlage trifft diese Nachweispflicht nicht, sie unterliegen der Aufsicht nach den §§ 61 und 62 BSIG.
Die Geschäftsleitung setzt die Maßnahmen um, überwacht ihre Umsetzung und lässt sich regelmäßig schulen. Diese drei Pflichten aus § 38 BSIG sind persönlich und nicht delegierbar.
04 Leitung und Haftung
Hier wird es für die Leitung persönlich. Die operative Umsetzung dürfen Sie an die IT oder einen Dienstleister geben. Die Verantwortung bleibt bei Ihnen.
Praktischer Schutz: ein benannter Verantwortlicher mit Mandat und Budget, ein fester Berichtsrhythmus an die Leitung, protokollierte Beschlüsse zu Risiken und Maßnahmen sowie dokumentierte Schulungsteilnahmen. Der Aufwand dafür hält sich in Grenzen. Im Ernstfall ist es das, worauf es ankommt.
05 Fahrplan
Wer spät dran ist, sollte sich die Vollinventur sparen und stattdessen eine Reihenfolge festlegen. Mit diesen drei Etappen kommen Sie in einem Quartal auf eine brauchbare Ausgangslage.
Transparenz schaffen: Betroffenheit klären und dokumentieren, Registrierung abschließen, kritische Prozesse, Kronjuwelen und wesentliche Dienstleister erfassen. Parallel Sofortmaßnahmen starten, etwa Mehrfaktor-Authentisierung und ein echter Wiederherstellungstest der Backups.
Struktur aufbauen: Rollen benennen, Risikomethode festlegen, erste Risikoanalyse durchführen, Meldeprozess mit Bewertungskriterien und Zuständigkeiten definieren, Leitlinie durch die Geschäftsleitung verabschieden.
Wirksamkeit herstellen: Maßnahmenplan mit Verantwortlichen und Terminen, Berichtsrhythmus an die Leitung etablieren, Schulung der Geschäftsleitung durchführen und dokumentieren, Notfallübung ansetzen.
06 Häufige Fragen
Die folgenden Fragen kommen in fast jedem Erstgespräch. Wenn Ihre Frage nicht dabei ist, stellen Sie sie mir gern direkt.
NIS2 ist eine EU-Richtlinie für ein einheitlich hohes Cybersicherheitsniveau. Richtlinien gelten nicht unmittelbar, sondern müssen national umgesetzt werden. In Deutschland geschieht das durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das vor allem das BSI-Gesetz neu gefasst hat. Maßgeblich für Unternehmen ist deshalb das BSIG, nicht die Richtlinie selbst.
Die Betroffenheit ergibt sich aus zwei Kriterien: Erbringen Sie eine Dienstleistung aus einem der Sektoren der Anlagen 1 und 2 des BSIG und erreichen Sie die Größenschwellen. Als Faustregel gilt: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme wird es relevant, ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz gilt die strengere Kategorie der besonders wichtigen Einrichtungen. Betreiber kritischer Anlagen sind größenunabhängig erfasst. Wichtig für Konzerntöchter: Beschäftigte und Umsatz verbundener Unternehmen werden nach EU-Empfehlung 2003/361/EG zusammengerechnet, sodass auch ein kleiner Betrieb über die Gruppe in die Pflicht geraten kann. Für eine schnelle erste Einordnung nutzen Sie den NIS2-Betroffenheits-Check.
Nein. Die Prüfung müssen Sie selbst anstoßen, einen Bescheid stellt Ihnen niemand zu. Wer sich nicht prüft, ist deshalb nicht automatisch außen vor. Die Registrierung nach § 33 BSIG war binnen drei Monaten fällig, für die meisten Einrichtungen also bis zum 6. März 2026. Das BSI hat eine Nachmeldephase bis zum 31. Juli 2026 eingeräumt, auch die ist abgelaufen. Halten Sie das Ergebnis Ihrer Prüfung schriftlich fest und lassen Sie es von der Geschäftsleitung freigeben. Das gilt auch dann, wenn am Ende herauskommt, dass Sie nicht betroffen sind.
Nachholen, so schnell wie möglich. Die Registrierungspflicht aus § 33 BSIG entfällt nicht dadurch, dass die Frist abgelaufen ist. Ein Verstoß kann nach § 65 BSIG mit einem Bußgeld von bis zu 500.000 Euro geahndet werden, unabhängig von den höheren Rahmen für Verstöße gegen die Risikomanagementpflichten aus § 30 BSIG. Nach § 33 Abs. 3 BSIG kann das BSI eine Einrichtung außerdem selbst registrieren, das Versäumnis schützt also nicht davor, als regulierte Einrichtung geführt zu werden. Zum Ende der Nachmeldephase am 31. Juli 2026 waren 18.845 Einrichtungen registriert, geschätzt worden waren rund 29.500. Das Bundesinnenministerium hält diese Schätzung inzwischen selbst für zu hoch und sieht keine Registrierungslücke. An Ihrer eigenen Pflicht ändert das nichts. Wer jetzt nachmeldet, sollte gleichzeitig die Betroffenheitsprüfung dokumentieren und den Stand der Maßnahmen nach § 30 BSIG festhalten, weil die Aufsicht in beides schauen wird. Genau dafür gibt es das Registrierungsdossier als Einstiegsbaustein zum Festpreis.
Das KRITIS-Dachgesetz (KRITISDachG) setzt die EU-Richtlinie zur Resilienz kritischer Einrichtungen um und ist am 17. März 2026 in Kraft getreten. Während das BSIG die Informationssicherheit adressiert, geht es hier um die physische Resilienz kritischer Anlagen, also Schutz vor Sabotage, Naturereignissen und Ausfällen. Anders als bei NIS2 läuft die Uhr hier allerdings noch nicht. § 8 Abs. 1 KRITISDachG verlangt die Registrierung bei BBK und BSI spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt. Wann das der Fall ist, bestimmt erst die KRITIS-Verordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG. Sie liegt bislang nur als Referentenentwurf vom 26. Mai 2026 vor. Ein ursprünglich im Gesetz genannter fester Stichtag wurde im Juli 2026 gestrichen, weil die Verordnung nicht rechtzeitig vorlag. Sobald sie in Kraft tritt, greifen die Folgefristen nach § 8 Abs. 7 KRITISDachG: die erste Risikoanalyse binnen neun Monaten nach der Registrierung, dazu Resilienzplan, Meldeprozess und Leitungspflichten binnen zehn Monaten. Der Entwurf erweitert den Kreis der erfassten Anlagen spürbar, unter anderem um Energiespeicher, Hafenanlagen und den neuen Sektor Weltraum. Auf amtliche Hilfestellung sollten Sie dabei nicht warten: Die Vorlagen des BBK für Resilienzpläne waren ursprünglich für Januar 2026 vorgesehen, seit der Änderung vom 21. Juli 2026 sind sie auf spätestens acht Monate nach Inkrafttreten der Verordnung verschoben. Praktisch heißt das frühestens 2027. Wer seine Betroffenheit jetzt gegen den Entwurf prüft und eine Kontaktstelle benennt, gerät bei den drei Monaten nicht unter Druck. Sinnvoll ist, Risikomethode, Rollen und Dokumentenlenkung mit dem ISMS zu teilen, statt ein zweites System danebenzustellen.
Das Melderegime ist dreistufig: eine Erstmeldung als Frühwarnung binnen 24 Stunden, eine ausführlichere Vorfallsmeldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Meldepflichtig sind erhebliche Vorfälle, also solche mit schwerwiegender Betriebsstörung oder erheblichen Auswirkungen auf Dritte. Ohne vorbereitete Kriterien und Zuständigkeiten reißt in der Praxis bereits die erste Frist.
Wenn er eine schwerwiegende Betriebsstörung verursacht hat oder verursachen kann, also die Dienstleistung erheblich beeinträchtigt oder ausfällt, oder wenn er erhebliche Auswirkungen auf andere natürliche oder juristische Personen hat. Diese Bewertung muss im Ernstfall in Minuten fallen. Legen Sie die Kriterien deshalb vorher schriftlich fest, mitten in der Krise diskutiert das niemand mehr in Ruhe.
§ 38 BSIG legt der Geschäftsleitung drei persönliche Pflichten auf: die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen, ihre Umsetzung zu überwachen und sich selbst regelmäßig schulen zu lassen. Diese Pflichten sind nicht delegierbar. Verletzt die Leitung sie schuldhaft, haftet sie der Gesellschaft gegenüber für den entstandenen Schaden. In der Praxis entsteht Haftung fast immer über fehlende Befassung und fehlende Dokumentation.
Für besonders wichtige Einrichtungen liegt der Rahmen bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Für wichtige Einrichtungen sind es bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Hinzu kommen aufsichtsrechtliche Maßnahmen des BSI und die zivilrechtliche Innenhaftung der Geschäftsleitung.
Nicht automatisch, aber sie trägt weit. Das BSIG verlangt angemessene Maßnahmen nach dem Stand der Technik und legt sich auf keine bestimmte Norm fest. ISO 27001 und der IT-Grundschutz des BSI übersetzen diesen Stand der Technik in überprüfbare Praxis und decken einen großen Teil der zehn Maßnahmenbereiche aus § 30 BSIG ab. Gesetzesspezifische Pflichten wie Registrierung und Meldewege bleiben zusätzlich zu regeln. Mehr dazu auf den Seiten zu ISO 27001 und zum EU AI Act.
Lieferkettensicherheit ist einer der zehn Maßnahmenbereiche. Sie müssen Sicherheitsanforderungen an wesentliche Dienstleister stellen, vertraglich verankern und deren Einhaltung nachhalten. Der blinde Fleck ist fast überall derselbe: der eine IT-Dienstleister oder Cloud-Anbieter, ohne den nichts läuft und für den es keine Alternative gibt.
Fünf Muster: Papier-Compliance mit Richtlinien, die niemand kennt; vollständige Delegation an die IT, obwohl NIS2 ausdrücklich die Leitung adressiert; die Betroffenheitsprüfung aufschieben; das Melderegime erst im Ernstfall durchdenken; und fehlende Dokumentation, weil niemand festhält, was tatsächlich entschieden und getan wurde.
Sie überlegen, die Rolle extern zu besetzen?
Externer CISO: Vollmandat oder BeiratWenn die Registrierung fehlt, ist das Registrierungsdossier der schnellste Weg: Betroffenheit geprüft und begründet, Meldung eingereicht, Beschlussvorlage für die Geschäftsführung dabei. Ihr Aufwand dafür ist ein Gespräch von 60 Minuten, das Ergebnis liegt eine Woche später vor. 1.500 € zum Festpreis. Die Gap-Analyse klärt darüber hinaus die Lücken bei den Maßnahmen und liefert eine priorisierte Roadmap. Die Geschäftsleitungsschulung nach § 38 Abs. 3 BSIG erfüllt die persönliche Schulungspflicht und liefert den Nachweis gleich mit: Teilnahmenachweis je Person, Kompetenzmatrix zu den drei Bereichen des Gesetzes und eine Beschlussvorlage für die Leitung.
