Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft, ohne Übergangsfristen. Nach der Gesetzesbegründung sind rund 29.500 Unternehmen betroffen. Die meisten wissen es nicht, denn die Einstufung erfolgt in Selbstveranlagung: Es kommt kein Schreiben vom BSI.
#### Wer ist betroffen?
Die Faustregel: Wer mindestens 50 Mitarbeitende beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz erzielt und in einem der 18 Sektoren nach den Anlagen 1 und 2 des BSIG tätig ist, fällt unter das Gesetz.
Betroffene Sektoren für Hamburger KMU:
- Transport und Logistik: Speditionen, Hafenagenturen, Kurierdienste
- Lebensmittelproduktion: Hersteller und Großhändler
- Maschinenbau: insbesondere Zulieferer für kritische Industrien
- IT-Dienstleister: Systemhäuser, Cloud-Anbieter, SaaS-Unternehmen
- Gesundheitswesen: Medizintechnik, Kliniken, Labore
Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Die Kategorie entscheidet über die Aufsichtsintensität und den Bußgeldrahmen.
#### Was fordert NIS2 konkret?
§ 30 BSIG verlangt zehn Maßnahmenbereiche:
1. Risikoanalyse und Sicherheitskonzept: dokumentiert, durch die Geschäftsleitung gebilligt 2. Bewältigung von Sicherheitsvorfällen: Zuständigkeiten und Abläufe für den Ernstfall 3. Aufrechterhaltung des Betriebs: Backup-Konzepte, Notfallpläne, definierte Wiederherstellungszeiten 4. Sicherheit der Lieferkette: Lieferanten bewerten, Anforderungen vertraglich absichern 5. Sicherheit bei Beschaffung, Entwicklung und Wartung: einschließlich Schwachstellenbehandlung 6. Bewertung der Wirksamkeit: die Maßnahmen regelmäßig überprüfen, nicht nur einführen 7. Cyberhygiene und Schulungen: für alle Mitarbeitenden, nicht nur für die IT 8. Kryptografie und Verschlüsselung: mit klaren Vorgaben, wann was zu verschlüsseln ist 9. Personalsicherheit, Zugriffskontrolle und Asset-Management: wer darf worauf, und was besitzen wir überhaupt 10. Mehr-Faktor-Authentifizierung und gesicherte Kommunikation: einschließlich Notfallkommunikation
Hinzu kommen die Meldepflichten nach § 32 BSIG: bei einem erheblichen Sicherheitsvorfall eine Frühwarnung binnen 24 Stunden an das BSI, eine Zwischenmeldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats.
#### Was droht bei Verstößen?
§ 65 BSIG staffelt die Bußgelder. Für die Nichtumsetzung der Risikomanagementmaßnahmen oder für Meldepflichtverletzungen nennt § 65 BSIG für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen sieht § 65 BSIG 7 Millionen Euro oder 1,4 Prozent vor. Ein Verstoß gegen die Registrierungspflicht nach § 33 BSIG ist eine eigene Ordnungswidrigkeit und kann mit bis zu 500.000 Euro geahndet werden.
Neu und wichtig: die persönliche Verantwortung der Geschäftsleitung nach § 38 BSIG. Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen. Diese Pflicht ist nicht delegierbar, und ein im Voraus vereinbarter Verzicht auf Schadensersatzansprüche ist unwirksam.
#### Der erste Schritt
Wissen, wo Sie stehen. KyberGuard.de analysiert Ihre Domain in 60 Sekunden, kostenlos und ohne Registrierung. Sie sehen Ihre Angriffsfläche aus der Perspektive, aus der Ihr nächster Auditor sie bewerten wird.
Starten Sie jetzt auf kyberguard.de.