Wissen für die Geschäftsführung
Wer betroffen ist, welche Pflichten das neue BSIG auslöst und wofür die Geschäftsleitung persönlich haftet. Zusammengestellt aus den Fragen, die mir in Schulungen und Erstgesprächen am häufigsten begegnen.
01 Einordnung
NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Eine Richtlinie wirkt nicht direkt, sie muss erst national umgesetzt werden. In Deutschland ist das über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz passiert, das vor allem das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik neu gefasst hat, kurz BSI-Gesetz oder BSIG. Wenn Sie also nach Ihren konkreten Pflichten suchen, schauen Sie ins BSIG. Der Richtlinientext hilft Ihnen dabei wenig.
Das Ziel
NIS2 löst die erste Richtlinie zur Netz- und Informationssicherheit von 2016 ab und zieht die Anforderungen deutlich an. Der Kreis der erfassten Unternehmen wächst erheblich, ebenso die Anforderungen an Nachweise und Meldungen.
Der Hebel
18 Sektoren in zwei Anlagen des BSIG. Nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) fallen rund 29.500 Unternehmen in Deutschland darunter, viele davon erstmals überhaupt unter eine Cybersicherheitsregulierung.
Die Abgrenzung
Das Dachgesetz für kritische Infrastrukturen (KRITIS) regelt die physische Resilienz, der Digital Operational Resilience Act (DORA) geht für Finanzunternehmen dem BSIG vor und der Cyber Resilience Act nimmt Hersteller vernetzter Produkte in die Pflicht. Dass ein Unternehmen unter mehrere dieser Regelwerke fällt, ist eher die Regel als die Ausnahme.
02 Betroffenheit
Eines vorweg, weil es regelmäßig für Überraschung sorgt: Die Prüfung der Betroffenheit müssen Sie selbst anstoßen. Es kommt kein Bescheid und kein Anschreiben vom BSI. Wer die Prüfung liegen lässt, ist deshalb nicht außen vor und verletzt unter Umständen schon jetzt seine Registrierungspflicht.
Erbringen Sie eine Dienstleistung aus Anlage 1 oder Anlage 2 des BSIG? Dazu zählen unter anderem Energie, Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Dienste der Informations- und Kommunikationstechnik (IKT), öffentliche Verwaltung, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und Forschung.
Faustregel: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme wird es relevant. Ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz greift die strengere Kategorie. Verbundene Unternehmen können zusammengerechnet werden.
Betreiber kritischer Anlagen sind unabhängig von der Unternehmensgröße erfasst, maßgeblich sind die Schwellenwerte der Verordnung zu kritischen Infrastrukturen. Für sie gelten die strengsten Anforderungen.
Dokumentieren Sie das Ergebnis. Auch ein negatives Prüfergebnis gehört schriftlich festgehalten und von der Geschäftsleitung freigegeben. Fragt später die Aufsicht oder ein Kunde nach, können Sie eine nachvollziehbare Prüfung vorlegen. Fehlt sie, steht schnell der Vorwurf im Raum, Sie hätten sich nie damit befasst.
03 Pflichten
Das BSIG löst fünf Gruppen von Pflichten aus. Beim Wie haben Sie Spielraum, beim Ob nicht.
Die Einrichtung meldet sich beim BSI an, hält ihre Angaben aktuell und meldet Änderungen zeitnah nach. Erfasst werden unter anderem Rechtsform, Anschrift, Kontaktdaten, Sektor und Art der Einrichtung.
Angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik, orientiert an zehn Mindestbereichen aus § 30 BSIG. Dazu gehören Risikoanalyse, Vorfallsbewältigung, Betriebskontinuität, Lieferkettensicherheit, Zugriffskontrolle und Kryptografie.
Ein dreistufiges Verfahren bei erheblichen Vorfällen: Erstmeldung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. 24 Stunden klingen nach viel. Wenn aber erst intern geklärt werden muss, wer entscheidet, sind sie schnell vorbei.
Besonders wichtige Einrichtungen erbringen regelmäßige Nachweise gegenüber dem BSI, erstmals bis Dezember 2028 und danach im Dreijahresrhythmus. Geeignet sind Audits, Prüfungen und Zertifizierungen. Wichtige Einrichtungen werden anlassbezogen geprüft.
Die Geschäftsleitung billigt die Maßnahmen, überwacht ihre Umsetzung und lässt sich regelmäßig schulen. Diese drei Pflichten aus § 38 BSIG sind persönlich und nicht delegierbar.
04 Leitung und Haftung
Hier wird es für die Leitung persönlich. Die operative Umsetzung dürfen Sie an die IT oder einen Dienstleister geben. Die Verantwortung bleibt bei Ihnen.
Praktischer Schutz: ein benannter Verantwortlicher mit Mandat und Budget, ein fester Berichtsrhythmus an die Leitung, protokollierte Beschlüsse zu Risiken und Maßnahmen sowie dokumentierte Schulungsteilnahmen. Der Aufwand dafür hält sich in Grenzen. Im Ernstfall ist es das, worauf es ankommt.
05 Fahrplan
Wer spät dran ist, sollte sich die Vollinventur sparen und stattdessen eine Reihenfolge festlegen. Mit diesen drei Etappen kommen Sie in einem Quartal auf eine brauchbare Ausgangslage.
Transparenz schaffen: Betroffenheit klären und dokumentieren, Registrierung abschließen, kritische Prozesse, Kronjuwelen und wesentliche Dienstleister erfassen. Parallel Sofortmaßnahmen starten, etwa Mehrfaktor-Authentisierung und ein echter Wiederherstellungstest der Backups.
Struktur aufbauen: Rollen benennen, Risikomethode festlegen, erste Risikoanalyse durchführen, Meldeprozess mit Bewertungskriterien und Zuständigkeiten definieren, Leitlinie durch die Geschäftsleitung verabschieden.
Wirksamkeit herstellen: Maßnahmenplan mit Verantwortlichen und Terminen, Berichtsrhythmus an die Leitung etablieren, Schulung der Geschäftsleitung durchführen und dokumentieren, Notfallübung ansetzen.
06 Häufige Fragen
Die folgenden Fragen kommen in fast jedem Erstgespräch. Wenn Ihre Frage nicht dabei ist, stellen Sie sie mir gern direkt.
NIS2 ist eine EU-Richtlinie für ein einheitlich hohes Cybersicherheitsniveau. Richtlinien gelten nicht unmittelbar, sondern müssen national umgesetzt werden. In Deutschland geschieht das durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das vor allem das BSI-Gesetz neu gefasst hat. Maßgeblich für Unternehmen ist deshalb das BSIG, nicht die Richtlinie selbst.
Die Betroffenheit ergibt sich aus zwei Kriterien: Erbringen Sie eine Dienstleistung aus einem der Sektoren der Anlagen 1 und 2 des BSIG und erreichen Sie die Größenschwellen. Als Faustregel gilt: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme wird es relevant, ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz gilt die strengere Kategorie der besonders wichtigen Einrichtungen. Betreiber kritischer Anlagen sind größenunabhängig erfasst.
Nein. Die Prüfung müssen Sie selbst anstoßen, einen Bescheid stellt Ihnen niemand zu. Wer sich nicht prüft, ist deshalb nicht automatisch außen vor und verletzt unter Umständen bereits seine Registrierungspflicht. Halten Sie das Ergebnis schriftlich fest und lassen Sie es von der Geschäftsleitung freigeben. Das gilt auch dann, wenn am Ende herauskommt, dass Sie nicht betroffen sind.
Das Melderegime ist dreistufig: eine Erstmeldung als Frühwarnung binnen 24 Stunden, eine ausführlichere Vorfallsmeldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Meldepflichtig sind erhebliche Vorfälle, also solche mit schwerwiegender Betriebsstörung oder erheblichen Auswirkungen auf Dritte. Ohne vorbereitete Kriterien und Zuständigkeiten reißt in der Praxis bereits die erste Frist.
Wenn er eine schwerwiegende Betriebsstörung verursacht hat oder verursachen kann, also die Dienstleistung erheblich beeinträchtigt oder ausfällt, oder wenn er erhebliche Auswirkungen auf andere natürliche oder juristische Personen hat. Diese Bewertung muss im Ernstfall in Minuten fallen. Legen Sie die Kriterien deshalb vorher schriftlich fest, mitten in der Krise diskutiert das niemand mehr in Ruhe.
§ 38 BSIG legt der Geschäftsleitung drei persönliche Pflichten auf: die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich selbst regelmäßig schulen zu lassen. Diese Pflichten sind nicht delegierbar. Verletzt die Leitung sie schuldhaft, haftet sie der Gesellschaft gegenüber für den entstandenen Schaden. In der Praxis entsteht Haftung fast immer über fehlende Befassung und fehlende Dokumentation.
Für besonders wichtige Einrichtungen liegt der Rahmen bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Für wichtige Einrichtungen sind es bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Hinzu kommen aufsichtsrechtliche Maßnahmen des BSI und die zivilrechtliche Innenhaftung der Geschäftsleitung.
Nicht automatisch, aber sie trägt weit. Das BSIG verlangt angemessene Maßnahmen nach dem Stand der Technik und legt sich auf keine bestimmte Norm fest. ISO 27001 und der IT-Grundschutz des BSI übersetzen diesen Stand der Technik in überprüfbare Praxis und decken einen großen Teil der zehn Maßnahmenbereiche aus § 30 BSIG ab. Gesetzesspezifische Pflichten wie Registrierung und Meldewege bleiben zusätzlich zu regeln. Mehr dazu auf den Seiten zu ISO 27001 und zum EU AI Act.
Lieferkettensicherheit ist einer der zehn Maßnahmenbereiche. Sie müssen Sicherheitsanforderungen an wesentliche Dienstleister stellen, vertraglich verankern und deren Einhaltung nachhalten. Der blinde Fleck ist fast überall derselbe: der eine IT-Dienstleister oder Cloud-Anbieter, ohne den nichts läuft und für den es keine Alternative gibt.
Fünf Muster: Papier-Compliance mit Richtlinien, die niemand kennt; vollständige Delegation an die IT, obwohl NIS2 ausdrücklich die Leitung adressiert; die Betroffenheitsprüfung aufschieben; das Melderegime erst im Ernstfall durchdenken; und fehlende Dokumentation, weil niemand festhält, was tatsächlich entschieden und getan wurde.
Die Gap-Analyse klärt Betroffenheit und Lücken und liefert eine priorisierte Roadmap. Die Geschäftsleitungsschulung nach § 38 BSIG erfüllt die persönliche Schulungspflicht und liefert zugleich den dokumentierten Nachweis.