Mit NIS2 hat die EU die Cybersicherheits-Regulierung von kritischer Infrastruktur auf breite Teile der Wirtschaft ausgeweitet – und dabei einen Punkt geändert, der in Geschäftsführungen für Aufmerksamkeit sorgt: Cybersicherheit ist ausdrücklich Aufgabe der Leitungsebene, mit persönlicher Verantwortung.
Wer fällt unter NIS2?
Betroffen sind Unternehmen aus 18 Sektoren – neben den Klassikern (Energie, Gesundheit, Transport, Banken) auch verarbeitendes Gewerbe, Lebensmittelproduktion, Abfallwirtschaft, digitale Dienste und Managed Service Provider. Als Faustregel gilt die Größenschwelle: ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in einem der Sektoren ist ein Unternehmen in der Regel erfasst; wichtige Einrichtungen und besonders wichtige Einrichtungen unterscheiden sich in Aufsicht und Bußgeldrahmen. Wichtig: Es gibt keine behördliche Registrierungsaufforderung, auf die man warten könnte – Unternehmen müssen selbst prüfen und sich registrieren. Die deutsche Umsetzung hat sich lange verzögert; das entbindet nicht von der Vorbereitung, denn die Pflichten sind seit Jahren absehbar.
Häufig übersehen: Auch wer selbst nicht erfasst ist, bekommt NIS2 über die Lieferkette – erfasste Kunden müssen die Sicherheit ihrer Zulieferer bewerten und reichen Anforderungen vertraglich weiter.
Die Kernpflichten
- Risikomanagement: angemessene technische und organisatorische Maßnahmen – von Zugriffskontrolle über Verschlüsselung und Backup-Konzepten bis zum Umgang mit Schwachstellen.
- Meldepflichten: Erstmeldung erheblicher Sicherheitsvorfälle binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
- Lieferkettensicherheit: Bewertung der Sicherheit von Dienstleistern und Zulieferern.
- Governance: Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen – und regelmäßig an Schulungen teilnehmen.
Was „Geschäftsführerhaftung“ hier konkret heißt
Die Leitungsebene kann die Umsetzung delegieren – an IT-Leitung, CISO oder externe Dienstleister –, aber nicht die Verantwortung. Verlangt ist, dass die Geschäftsführung die Risikomanagement-Maßnahmen billigt und überwacht; verletzt sie diese Pflicht, kommt eine persönliche Innenhaftung gegenüber der Gesellschaft für entstandene Schäden in Betracht. Dazu kommen empfindliche Bußgelder für das Unternehmen (bis zu 10 Mio. Euro bzw. 2 % des weltweiten Umsatzes für besonders wichtige Einrichtungen).
Praktisch bedeutet das: Ein Geschäftsführer muss nicht Firewalls konfigurieren können. Er muss belegen können, dass er sich berichten lässt, Entscheidungen trifft und Ressourcen bereitstellt. Das Zauberwort ist Dokumentation: Risikoanalysen, Budgetentscheidungen, Schulungsnachweise, Protokolle. Im Streitfall zählt nicht, was getan wurde, sondern was belegbar ist.
Die ersten fünf Schritte
- Betroffenheit prüfen (Sektor + Größe, auch als Zulieferer erfasster Kunden).
- Gap-Analyse gegen die NIS2-Maßnahmenliste – ehrlich, nicht schönfärbend.
- Meldeprozess aufbauen: Wer erkennt, wer entscheidet, wer meldet binnen 24 Stunden – auch am Wochenende?
- Leitungsebene einbinden: Berichtslinie, Budget, Schulung – alles dokumentiert.
- Lieferverträge sichten: Welche Sicherheitszusagen geben wir, welche fordern wir?
NIS2 verändert weniger die Technik als die Verantwortlichkeit: Cybersicherheit wird vom IT-Thema zum Leitungsthema mit persönlichem Haftungsrisiko. Wer das früh ernst nimmt, erledigt den Großteil mit Bordmitteln – wer wartet, holt es unter Aufsicht nach.
Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.