NEWS

NIS 2: Mehr Schutz vor Cyberangriffen

Cyberangriffe nehmen weltweit zu. Sie können Daten stehlen, ganze Betriebe lahmlegen oder hohe finanzielle Schäden verursachen. Die EU hat daher die NIS-2-Richtlinie eingeführt, um Unternehmen besser gegen solche Gefahren zu schützen und die digitale Infrastruktur in Europa sicherer zu machen.

In Deutschland gilt seit Dezember 2025 das neue BSI-Gesetz, das die NIS-2-Richtlinie umsetzt. Es verpflichtet Unternehmen, ihre IT-Sicherheit systematisch zu organisieren, Risiken zu prüfen, Lieferketten abzusichern und Sicherheitsvorfälle zu melden. Die Unternehmen sollen proaktiv Risiken erkennen, besser gegen Cyberangriffe geschützt sein und Sicherheitsvorfälle schneller melden.

Gesetz zur Umsetzung der NIS-2-Richtlinie am 06.12.2025 in Kraft getreten Die europäischen Vorgaben zu mehr Cybersicherheit in Europa wurden nun endlich auch in deutsches Recht umgesetzt. Im Dezember 2025 trat das neue BSI-Gesetz (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen) sowie zahlreiche kleinere Änderungen in Gesetzen zur IT-Sicherheit (z.B. auch im Hinweisgeberschutzgesetz und TDDDG) in Kraft. Die Vorgaben der NIS 2 Richtlinie sind nun also auch in Deutschland anwendbar.

Wen betreffen die neuen Vorgaben zur Cybersicherheit?

Neben Betreibern kritischer Anlagen im Sinne der KRITIS Verordnung und zertifizierten Vertrauensdiensteanbietern (Anbieter von elektronischen Identifizierungsdiensten) sind insbesondere Energieversorger, Transport- und Verkehrsunternehmen, Unternehmen des Finanzwesens, Gesundheitsunternehmen, Wasserversorger, Unternehmen der digitalen Infrastruktur und Erbringer von weltraumgestützten Diensten betroffen (§ 28 BSIG, Anlage 1 und Anlage 2 des BSIG). Das Gesetz gilt in der Regel, wenn ein Unternehmen

• mindestens 50 Mitarbeitende hat oder
• über 10 Mio. € Jahresumsatz erzielt.
   

Dienstleister und Subunternehmer sind ebenfalls betroffen

An dieser Stelle ist wichtig, dass zum Risikomanagement der betroffenen Einrichtungen auch die Sicherheit der Lieferketten gehört (§ 30 Abs. 2 Nr. 4 BSIG). Außerdem sind Sicherheitsmaßnahmen beim Erwerb, Entwicklung und Wartung informationstechnischer Systeme zu beachten (§ 30 Abs. 2 Nr.5 BSIG). Unternehmen, deren Kunden vom BSIG betroffen sind, müssen deshalb ebenfalls die Vorgaben einhalten. Eine Ausnahme gilt nur, wenn ihre Leistungen nur unwesentliche Nebentätigkeiten im Hinblick auf die Geschäftstätigkeit des Kunden betreffen.

Welche Cybersecurity-Maßnahmen umzusetzen sind

Welche Maßnahmen umzusetzen sind, ist in § 30 BSIG geregelt. Neben der bereits genannten

• Pflicht zur Sicherheit der Lieferketten und
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung informationstechnischer Systeme gehören
• Konzepte in Bezug auf Risikoanalysen und Sicherheit der Informationstechnik,
• Bewältigung von Sicherheitsvorfällen,
• Aufrechterhaltung des Betriebs mit Backup-Management,
• Konzepte und Verfahren zur Bewertung der Wirksamkeit des Risikomanagements,
• grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
• Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
• Konzepte für die Sicherheit des Personals, Zugriffskontrollen und Verwaltung von Informations- und Kommunikationstechniken (IKT)
• Lösungen zur Mulitfaktor-Authentifizierungen

zu den vorgeschriebenen Cybersecurity Maßnahmen.

Viele der genannten Maßnahmen sind bereits als sogenannte TOM (Technisch organisatorische Maßnahmen) aus dem Datenschutz bekannt.

Was muss gemeldet werden und wie schnell?

Die Meldepflichten des BSIG sind ähnlich der aus der DSGVO bekannten Meldepflichten. Erhebliche Sicherheitsvorfälle sind innerhalb von 24 Stunden nach Kenntniserlangung mit einer sogenannten frühen Erstmeldung gegenüber der Meldestelle, dem Bundesamt für Sicherheit in der Informationstechnik (BSI), zu melden. Eine Bestätigung oder Aktualisierung der Meldung hat innerhalb von 72 Stunden nach Kenntniserlangung zu folgen. Einen Monat nach der Erstmeldung ist eine Abschlussmeldung abzugeben.

Meldepflichtig sind erhebliche Sicherheitsvorfälle.

Um einen Sicherheitsvorfall handelt es sich bei einem Ereignis, durch das die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten betroffen ist. Hier geht es sowohl um personenbezogene Daten im Sinne der DSGVO als auch um Unternehmensdaten.

Erheblich und damit meldepflichtig wird dieser Sicherheitsvorfall, sobald er eine schwerwiegende Betriebsstörung der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt werden.

Sobald also personenbezogene Daten betroffen sind, sind zwei Meldungen zu machen. Eine an das BSI wegen des erheblichen Sicherheitsvorfalles und eine an die Datenschutzrechtliche Aufsichtsbehörde. Der Inhalt der Meldung unterscheidet sich aber wesentlich:

Was droht bei Verstößen?

Verstöße gegen das BSIG (gem. § 65 BSIG) können mit einem Bußgeld belegt werden. Je nach Art und Größe der Einrichtung kann dieses bis zu 10 Millionen Euro oder bis zu 2 % des Gesamtumsatzes betragen.

Erwähnenswert ist, dass die Geschäftsleitung haftbar gemacht werden kann, wenn sie nicht ausreichend dafür gesorgt hat, dass die im Gesetz geforderten Sicherheits- und Risikomanagementmaßnahmen richtig umgesetzt werden (§ 38 BSIG). Weiterhin ist ausdrücklich geregelt, dass nicht nur Mitarbeiter im Hinblick auf IT-Sicherheit zu schulen sind, sondern auch die Geschäftsleitungen regelmäßig an Schulungen teilnehmen müssen, um Risiken im Bereich der IT-Sicherheit erkennen und bewerten zu können.

NIS-2 umsetzen und die IT-Sicherheit stärken

Überprüfen Sie also Ihre datenschutzrechtlichen TOMs, um diese um die Vorgaben des BSIG ergänzen zu können und lassen Sie sich und Ihre Mitarbeiter ausreichend zur IT- Sicherheit schulen, um keinen meldepflichtigen Vorfall zu riskieren.

Sprechen Sie dazu gerne Ihren Datenschutzberater oder Ihre Datenschutzberaterin an, um Ihre TOM-Liste (Technische und Organisatorische Maßnahmen) auf den aktuellen Stand zu bringen.

Unser Tipp

Im März 2026 bieten wir ein Webinar zum Thema NIS-2 an. Dort erfahren Sie praxisnah, welche Maßnahmen jetzt wirklich umgesetzt werden müssen, welche Fristen zu beachten sind und wie Sie Ihr Risikomanagement einfach aktualisieren können.

• Melden Sie sich hier zum Webinar an.

Machen Sie sich fit für die neuen Anforderungen – so minimieren Sie Risiken und sichern Ihr Unternehmen ab.