6. März: Haften Sie persönlich? Sind Sie NIS2-pflichtig?

Marcel Rieger

Managing Director, Cyber Risk

NIS2-Pflicht: Ist Ihr Unternehmen betroffen?

Die EU-Richtlinie NIS2 (Network and Information Security Directive 2) gilt in Deutschland seit dem 6. Dezember 2025. An diesem Tag trat das NIS2-Umsetzungsgesetz in Kraft, das die Pflichten im BSI-Gesetz (BSIG) regelt. Ziel ist mehr IT-Sicherheit in wichtigen Sektoren.

Was Sie als Inhaber oder Geschäftsführer im Mittelstand wissen müssen: NIS2 betrifft deutlich mehr Unternehmen als ihre Vorgängerversion. Bis zum 6. März 2026 mussten sich betroffene Unternehmen beim BSI registrieren.

Sind Sie NIS2-pflichtig? Ein 5-Minuten Ja/Nein-Check

Viele Mittelständler unterschätzen die Reichweite von NIS2. Es geht nicht nur um Betreiber kritischer Infrastruktur im klassischen Sinne.

Auch Zulieferer, Digitalanbieter oder Unternehmen in speziellen Sektoren können betroffen sein. Eine genaue Prüfung ist unerlässlich, denn Ignorieren kann weitreichende Folgen haben.

• Hat Ihr Unternehmen mindestens 50 Beschäftigte ODER einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro?
• Operieren Sie in einem der regulierten Sektoren (z.B. Energie, Verkehr, Banken, Finanzmärkte, Gesundheitswesen, digitale Infrastruktur, Abwasser, Lebensmittel, Maschinenbau, Automobilindustrie, Chemische Industrie, Abfallwirtschaft)?
• Betreiben Sie eine kritische Anlage (bisher KRITIS) oder sind Sie Vertrauensdiensteanbieter, TLD-Registry oder DNS-Diensteanbieter? Dann gilt NIS2 unabhängig von der Unternehmensgröße.

Wenn Sie die ersten beiden Fragen oder die dritte Frage mit Ja beantwortet haben, ist Ihr Unternehmen sehr wahrscheinlich NIS2-pflichtig. Die Frist für die Registrierung beim BSI ist am 6. März 2026 abgelaufen. Wer betroffen ist und sich noch nicht registriert hat, sollte das jetzt im BSI-Portal nachholen.

Was passiert bei Nichthandeln?

Als Geschäftsführer tragen Sie die volle Verantwortung für die Einhaltung von NIS2 in Ihrem Unternehmen. Bei Verstößen gegen Risikomanagement- oder Meldepflichten drohen Bußgelder bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro. Liegt der weltweite Umsatz des Unternehmens über 500 Millionen Euro, sind bis zu 2 % bzw. 1,4 % dieses Umsatzes möglich (§ 65 BSIG).

Die Folgen gehen weit darüber hinaus.

• Persönliche Haftung: Wer als Geschäftsleitung die Risikomanagementmaßnahmen nicht umsetzt und ihre Umsetzung nicht überwacht, haftet dem eigenen Unternehmen für den daraus entstandenen Schaden (§ 38 BSIG). Das ist eine Haftung gegenüber der Gesellschaft, die aber Ihr Privatvermögen treffen kann.
• Schaden an Kundenbeziehungen: Unsicherheit bei Ihren Kunden, sowie potenzieller Vertrauensverlust.
• Produktionsstillstand & Lieferengpässe: Ein Cybervorfall kann Ihre gesamte Produktion lahmlegen und Ihre Lieferketten empfindlich stören.
• Massiver Reputationsverlust: Die Öffentlichkeit und Ihre Geschäftspartner werden über Sicherheitsschwächen informiert.

Diese Risiken sind keine bloßen Gedankenspiele, sondern reale, geschäftsbedrohende Szenarien.

Ihre 3 entscheidenden Schritte zur NIS2-Compliance

Die Pflichten gelten seit dem 6. Dezember 2025. Wer noch nicht angefangen hat, sollte jetzt handeln.

Wir führen Sie durch die notwendigen Schritte:

• Schritt 1: Registrierungspflicht klären & umsetzen. Die Frist für bereits betroffene Unternehmen endete am 6. März 2026. Wer später unter NIS2 fällt, hat dafür drei Monate Zeit (§ 33 BSIG). Wir prüfen Ihre Betroffenheit und unterstützen Sie bei der Registrierung im BSI-Portal.
• Schritt 2: Geschäftsleitung aktiv schulen. Die Richtlinie verlangt explizit, dass die Geschäftsleitung IT-Sicherheitsrisiken versteht und Kompetenzen zur Risikobewertung erwirbt. Wir bieten praxisnahe Workshops, die Sie auf Ihre Haftungsverpflichtungen vorbereiten.
• Schritt 3: Notfallplan erstellen und testen. Ein Cybervorfall ist keine Frage des ob, sondern des wann. Wir helfen Ihnen, einen rechtssicheren und praxistauglichen Notfallplan zu entwickeln, der Ihr Unternehmen im Ernstfall handlungsfähig hält und die nötigen Meldepflichten erfüllt.

NIS2 ist eine Chance

Auch wenn NIS2 zunächst eine Pflicht ist: Verstehen Sie es als Investition in die Zukunftsfähigkeit Ihres Unternehmens.

Eine gestärkte IT-Sicherheit ist ein Wettbewerbsvorteil und schützt Ihr Geschäftsmodell nachhaltig.