Zum Inhalt springen
expertree academy – zur Startseite

Cybersecurity und NIS2 verständlich erklärt

Zuletzt aktualisiert:

Cyberangriffe sind kein reines IT-Thema mehr, sondern ein Geschäftsrisiko. Mit dem NIS2-Umsetzungsgesetz hat der Gesetzgeber die Anforderungen an Cybersicherheit in Deutschland deutlich ausgeweitet – und die Geschäftsleitung direkt in die Pflicht genommen.

Was bedeutet Cybersecurity?

Cybersecurity umfasst alle Maßnahmen, die Systeme, Netze und Daten vor Angriffen schützen: von sicheren Konfigurationen und Updates über Zugriffsschutz und Backups bis zur Erkennung und Bewältigung von Vorfällen. Während Informationssicherheit alle Informationen einschließt – auch auf Papier –, liegt der Fokus hier auf der digitalen Welt.

Wirksam wird Cybersecurity erst als Managementaufgabe: Risiken bewerten, Prioritäten setzen, Verantwortung zuweisen und den Ernstfall üben.

NIS2 in Deutschland: wer betroffen ist

Deutschland hat die EU-Richtlinie NIS-2 mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie vom 2. Dezember 2025 umgesetzt, oft kurz NIS2UmsuCG genannt. Es wurde am 5. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Kern ist ein neu gefasstes BSI-Gesetz (BSIG); eine allgemeine Übergangsfrist gibt es nicht.

Das BSIG unterscheidet besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Maßgeblich sind die Branche nach den Anlagen 1 und 2 des BSIG – etwa Energie, Gesundheit, Transport und Verkehr, digitale Infrastruktur, digitale Dienste oder Teile des verarbeitenden Gewerbes – und die Größe:

  • Wichtige Einrichtung: in der Regel ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme
  • Besonders wichtige Einrichtung: in der Regel ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Jahresbilanzsumme
  • Unabhängig von der Größe: unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter

Ob dein Unternehmen betroffen ist, klärst du am besten mit der Betroffenheitsprüfung des BSI. Auch wer nicht direkt betroffen ist, spürt NIS2 oft indirekt: über Sicherheitsanforderungen von Kunden an ihre Lieferkette.

Pflichten nach dem BSI-Gesetz

  • Registrierung beim BSI (§ 33 BSIG): spätestens drei Monate, nachdem ein Unternehmen erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gilt. Für Unternehmen, die schon mit Inkrafttreten betroffen waren, ist die Frist abgelaufen – wer noch nicht registriert ist, sollte das umgehend nachholen. Registriert wird über das BSI-Portal mit einem ELSTER-Organisationszertifikat (Mein Unternehmenskonto).
  • Risikomanagementmaßnahmen (§ 30 BSIG): geeignete, verhältnismäßige technische und organisatorische Maßnahmen, unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup- und Krisenmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Schulungen.
  • Meldepflichten (§ 32 BSIG) bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung.
  • Geschäftsleitung (§ 38 BSIG): muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen, haftet bei schuldhaften Pflichtverletzungen und muss regelmäßig an Schulungen teilnehmen.

Bei Verstößen drohen Bußgelder (§ 65 BSIG): für besonders wichtige Einrichtungen bis zu 10 Mio. Euro, bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 2 % des weltweiten Umsatzes; für wichtige Einrichtungen bis zu 7 Mio. Euro bzw. 1,4 %.

Weitere Regelwerke

Hersteller von Produkten mit digitalen Elementen betrifft der europäische Cyber Resilience Act: Seine Meldepflichten gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027.

Hinweis: Dieser Überblick dient der Orientierung und ersetzt keine Rechtsberatung. Ob und wie dein Unternehmen betroffen ist, hängt vom Einzelfall ab.

Rollen und Verantwortung

  • Geschäftsleitung: trägt die Verantwortung, entscheidet über Risiken und Budget und muss sich nach § 38 BSIG regelmäßig schulen lassen.
  • Informationssicherheitsbeauftragte bzw. CISO: steuern Sicherheitsstrategie und Risikomanagement und berichten an die Leitung.
  • IT-Betrieb und Security-Teams: setzen technische Maßnahmen um und erkennen Angriffe.
  • Risikomanagement: bewertet IT-Risiken und verknüpft sie mit dem Unternehmensrisikomanagement.
  • Alle Beschäftigten: Phishing und Social Engineering sind häufige Einfallstore – Sensibilisierung gehört zu den wirksamsten Maßnahmen.

Für ein strukturiertes Vorgehen bieten sich etablierte Rahmenwerke an: ISO 27001 und der BSI IT-Grundschutz.

So startest du

  1. Betroffenheit prüfen: Sektor, Größe und Sonderfälle mit der Betroffenheitsprüfung des BSI klären und dich bei Bedarf registrieren.
  2. Leitung einbinden und schulen: Verantwortung, Ziele und Budget festlegen.
  3. Bestandsaufnahme und Risikoanalyse: kritische Prozesse, Systeme und Dienstleister erfassen und Risiken bewerten.
  4. Lücken schließen: Maßnahmen nach § 30 BSIG priorisieren, etwa Multi-Faktor-Authentisierung, Backups, Patch-Management und Anforderungen an Lieferanten.
  5. Vorfälle vorbereiten: Meldeweg zum BSI, Zuständigkeiten und Notfallpläne festlegen und üben.
  6. Regelmäßig überprüfen: Wirksamkeit messen und das Vorgehen weiterentwickeln.

Passende Einstiege: Cybersecurity für Führungskräfte, Cybersecurity Grundlagen und Risikomanagement in der IT.

Häufige Fragen zu NIS2 und Cybersecurity

Seit wann gilt NIS2 in Deutschland?

Das Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten. Die Pflichten gelten seitdem ohne allgemeine Übergangsfrist.

Ist mein Unternehmen von NIS2 betroffen?

Das hängt von Branche und Größe ab. In den Sektoren der Anlagen 1 und 2 des BSIG sind in der Regel Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme betroffen, einige Einrichtungsarten unabhängig von der Größe. Das BSI bietet eine Betroffenheitsprüfung an.

Bis wann muss ich mich beim BSI registrieren?

Spätestens drei Monate, nachdem dein Unternehmen erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gilt (§ 33 BSIG). Für Unternehmen, die schon mit Inkrafttreten des Gesetzes betroffen waren, ist diese Frist verstrichen – wer noch nicht registriert ist, sollte es sofort nachholen.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Bei einem erheblichen Sicherheitsvorfall: frühe Erstmeldung an das BSI spätestens nach 24 Stunden, Meldung mit einer ersten Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG).

Muss sich die Geschäftsführung wirklich schulen lassen?

Ja. Nach § 38 Abs. 3 BSIG müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Außerdem müssen sie die Maßnahmen umsetzen und deren Umsetzung überwachen.

Reicht eine ISO-27001-Zertifizierung für NIS2?

Ein ISMS nach ISO 27001 deckt viele Anforderungen ab und ist eine starke Grundlage. Ein Zertifikat ersetzt aber nicht die gesetzlichen Pflichten wie Registrierung, Meldungen und die Schulung der Geschäftsleitung. Prüfe außerdem, ob der Anwendungsbereich deines ISMS alle relevanten Dienste abdeckt.

Was ist der Unterschied zwischen Cybersecurity und Informationssicherheit?

Informationssicherheit schützt alle Informationen, egal ob digital, auf Papier oder im Gespräch. Cybersecurity konzentriert sich auf digitale Systeme, Netze und Daten. In der Praxis überschneiden sich beide stark; Managementsysteme wie ISO 27001 verbinden sie.

Schulungen zu Cybersecurity

Cyberrisiken sicher steuern

Für Führungskräfte, Einsteiger und Verantwortliche im Risikomanagement – live online mit erfahrenen Trainerinnen und Trainern.

Termine ansehen

Quellen

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen: