NIS2-Umsetzungsgesetz: Cyberhaftung für die Geschäftsleitung im Mittelstand

Seit 6. Dezember 2025 gilt das NIS2UmsuCG ohne Übergangsfrist

Das Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie, kurz NIS2-Umsetzungsgesetz oder NIS2UmsuCG, ist am 6. Dezember 2025 in Kraft getreten. Anders als bei früheren IT-Sicherheitsgesetzen gibt es keinen Übergangszeitraum: Betroffene Unternehmen mussten die Pflichten ab dem Tag der Verkündung erfüllen. Wer erst mit einer Schonfrist gerechnet hat, war rechtlich bereits säumig.

Das Gesetz reguliert nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) rund 29.500 Unternehmen in 18 Sektoren. Diese teilen sich in zwei Gruppen: elf Sektoren hoher Kritikalität, aufgeführt in Anlage 1, und weitere Sektoren sonstiger Kritikalität. Der Sektor Energie zählt zu den elf hochkritischen Bereichen – Stromversorgung, Gas, Fernwärme, Wasserstoff und der Betrieb von Erzeugungs- und Speicheranlagen fallen hier hinein.

Die Dimension zeigt sich an der Registrierungslage. Nach BSI-Zahlen hatten sich bis Ende Mai 2026 erst rund 18.500 der etwa 29.500 betroffenen Unternehmen registriert. Ein erheblicher Teil des Mittelstands hat entweder die eigene Betroffenheit noch nicht geprüft oder sie unterschätzt. Genau das ist das Risiko: Das Gesetz knüpft die Pflicht nicht an eine behördliche Benachrichtigung, sondern an objektive Kriterien. Ob ein Unternehmen betroffen ist, muss es selbst feststellen. Die Einordnung als wichtige oder besonders wichtige Einrichtung erfolgt nicht durch einen Bescheid, sondern durch das Überschreiten definierter Schwellenwerte. Diese Selbsteinschätzung ist der erste Schritt – und zugleich der am häufigsten übersehene.

50 Mitarbeiter oder 10 Mio. Euro: Wann Sie eine wichtige Einrichtung sind

Ob Ihr Betrieb unter das NIS2-Umsetzungsgesetz fällt, entscheidet sich an zwei Größen: der Zugehörigkeit zu einem der 18 Sektoren und der Unternehmensgröße. Als wichtige Einrichtung gilt ein Unternehmen aus einem regulierten Sektor ab 50 Mitarbeitern oder ab 10 Millionen Euro Jahresumsatz. Als besonders wichtige Einrichtung wird eingestuft, wer ab 250 Mitarbeiter beschäftigt oder über 50 Millionen Euro Umsatz bei gleichzeitig mehr als 43 Millionen Euro Bilanzsumme erreicht. Für den Energiesektor kommen zusätzlich anlagenbezogene KRITIS-Kriterien in Betracht.

Für energienahe Betriebe ist diese Schwelle brisanter, als sie zunächst wirkt. Viele mittelständische Unternehmen im Umfeld der Energiewirtschaft – Betreiber von Speicher- und Erzeugungsanlagen, technische Dienstleister, Contracting-Anbieter – haben in den vergangenen Jahren in die IT-Sicherheit ihrer Anlagen investiert. Diese anlagenbezogene Absicherung ist wichtig, deckt aber die NIS2-Unternehmenspflicht nicht ab. Das Gesetz erfasst nicht einzelne Anlagen, sondern das gesamte Unternehmen als Einrichtung.

Genau hier entsteht die Lücke. Wer sein Speichersystem oder seine Leittechnik technisch geschützt hat, glaubt oft, die Cybersicherheit sei erledigt. Das NIS2-Umsetzungsgesetz verlangt jedoch ein unternehmensweites Risikomanagement, eine Registrierung beim BSI und dokumentierte Nachweise – unabhängig davon, wie gut die einzelne Anlage abgesichert ist. Die Prüfung der eigenen Betroffenheit ist deshalb keine IT-Frage, sondern eine Frage der Geschäftsleitung. Sie sollten die Zahl der Mitarbeiter, den Umsatz und die Sektorzugehörigkeit sauber gegen die Schwellenwerte halten und das Ergebnis dokumentieren. Auch eine verspätete Registrierung ist weiterhin möglich und signalisiert dem BSI Handlungsbereitschaft.

§ 38 BSIG: Warum die Geschäftsleitung persönlich haftet

Der eigentliche Bruch mit der bisherigen Praxis steckt in § 38 des BSI-Gesetzes. Die Vorschrift verpflichtet die Geschäftsleitung – Geschäftsführer, Vorstände und vergleichbare Organe – dazu, die Risikomanagementmaßnahmen für die Cybersicherheit persönlich zu billigen und ihre Umsetzung zu überwachen. Zusätzlich muss die Leitungsebene an Schulungen zur Cybersicherheit teilnehmen. Die operative Umsetzung darf delegiert werden, die strategische Verantwortung nicht.

Kommt die Geschäftsleitung dieser Pflicht nicht nach, haftet sie persönlich. Entscheidend ist: Diese Haftung lässt sich nicht durch Satzung, Gesellschaftsvertrag oder interne Vereinbarung ausschließen. Damit rückt das Thema Cybersicherheit von der IT-Abteilung auf die Ebene, die für Verstöße mit dem eigenen Vermögen einsteht. Wer die Verantwortung bislang als reines Fachthema behandelt hat, unterschätzt die persönliche Dimension des Gesetzes.

Die Sanktionen sind nach Größenklasse gestaffelt. Besonders wichtige Einrichtungen riskieren Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Bei schweren Verstößen kann die Aufsicht der Leitungsebene besonders wichtiger Einrichtungen vorübergehend die Ausübung ihrer Funktion untersagen. Für den Mittelstand bedeutet das eine neue Qualität der Verantwortung: Die Frage ist nicht mehr, ob die IT sicher genug ist, sondern ob die Geschäftsleitung nachweisen kann, dass sie ihre gesetzlichen Aufsichtspflichten wahrgenommen hat. Ohne belastbare Dokumentation ist dieser Nachweis im Ernstfall kaum zu führen.

Zehn Mindestmaßnahmen nach § 30 und die 24-Stunden-Meldepflicht nach § 32 BSIG

Was betroffene Unternehmen konkret leisten müssen, regelt § 30 des BSI-Gesetzes. Die Vorschrift verlangt geeignete, verhältnismäßige technische und organisatorische Maßnahmen und benennt dafür einen Katalog von zehn Mindestbereichen. Dazu zählen unter anderem die Risikoanalyse, die Sicherheit des Personals, Zugriffskontrollen, der Einsatz von Kryptografie, das Backup-Management, die Bewältigung von Sicherheitsvorfällen und die Sicherheit der Lieferkette. Diese Bereiche bilden das Fundament, das jede wichtige und besonders wichtige Einrichtung nachweisen können muss.

Ebenso konkret ist die Meldepflicht bei erheblichen Sicherheitsvorfällen nach § 32 BSIG. Sie ist dreistufig aufgebaut: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Folgemeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Wichtig für die Praxis ist der Fristbeginn: Die 24-Stunden-Frist läuft nicht ab dem Eintritt des Vorfalls, sondern ab dem Zeitpunkt, zu dem die Einrichtung von ihm Kenntnis erlangt. Das setzt eine Detektionsfähigkeit voraus, die einen Vorfall überhaupt erst zeitnah erkennt.

Für einen energienahen Mittelständler heißt das: Es genügt nicht, technische Schutzmaßnahmen einmalig einzurichten. Verlangt sind funktionierende Prozesse, die einen Angriff erkennen, bewerten und fristgerecht ans BSI melden. Wer erst im Schadensfall bemerkt, dass ihm die Meldewege fehlen, verletzt die Frist praktisch automatisch. Die zehn Mindestmaßnahmen und die gestaffelte Meldepflicht sind damit weniger eine Checkliste als ein dauerhaft zu betreibendes Managementsystem. Es empfiehlt sich, die Maßnahmen an anerkannten Standards auszurichten und den Umsetzungsstand regelmäßig zu überprüfen und zu dokumentieren.

Registrierung bis 31. Juli 2026 und die Lieferkette als zweiter Hebel

Die gesetzliche Registrierungsfrist begann mit dem Inkrafttreten am 6. Dezember 2025 und war nach drei Monaten am 6. März 2026 abgelaufen. Angesichts der niedrigen Registrierungsquote hat das BSI eine Nachfrist bis zum 31. Juli 2026 gesetzt. Wichtig einzuordnen: Diese Nachfrist ist keine neue gesetzliche Frist, sondern eine Vollzugsduldung. Das BSI verzichtet bis dahin auf Sanktionen für die verspätete Registrierung, hebt die Pflicht selbst aber nicht auf.

Die Registrierung erfolgt über das Portal Mein Unternehmenskonto (MUK) des BSI. Praktisch benötigen Sie ein Unternehmenskonto mit ELSTER-Zertifikat, die Steuernummer der jeweiligen juristischen Person und die Kontaktdaten einer Ansprechperson. Der Aktivierungscode geht anschließend per Post an die bei ELSTER hinterlegte Unternehmensadresse, nicht an die benannte Kontaktperson – ein Detail, das den Ablauf verzögern kann, wenn niemand darauf vorbereitet ist.

Der zweite Hebel ist die Lieferkette. Nach § 30 Abs. 2 Nr. 4 BSIG müssen betroffene Unternehmen die Sicherheit ihrer gesamten Lieferkette gewährleisten. In der Praxis reichen sie diese Anforderung vertraglich an Zulieferer und Dienstleister weiter – über Sicherheitsklauseln, Auditrechte und Meldepflichten mit einer Frist von maximal 24 Stunden. Dadurch werden auch Betriebe indirekt NIS2-relevant, die selbst unterhalb der Schwellenwerte liegen. Ein energienaher Dienstleister kann also über einen einzigen Rahmenvertrag in die Pflicht geraten, ohne direkt reguliert zu sein. Für den Mittelstand lohnt sich daher der doppelte Blick: die eigene Betroffenheit prüfen und zugleich klären, welche Anforderungen Auftraggeber bereits heute vertraglich durchreichen.