NIS-2 Richtlinie & Geschäftsführerhaftung

Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) und ihre Umsetzung im deutschen BSI-Gesetz (BSIG n.F.) erweitern die gesetzlichen Anforderungen an die IT-Sicherheit auf 18 Wirtschaftssektoren – darunter Maschinen- und Anlagenbau, Fahrzeugbau, Elektrotechnik, Chemie, Lebensmittelproduktion, Logistik, Entsorgung sowie IT- und Managed-Service-Dienstleister (in der Regel ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Bilanzsumme).

Ein zentraler Punkt der Regelung ist die direkte Verantwortung der Geschäftsleitung (§ 38 BSIG n.F.): Geschäftsführer und Vorstände müssen die Einführung und laufende Überwachung der technischen Risikomanagementmaßnahmen (§ 30 BSIG) persönlich steuern und regelmäßig an Schulungen zur IT-Sicherheit teilnehmen.**

Technisch-organisatorische Auswirkungen für Mittelstand und Zulieferer

Selbst Unternehmen, die knapp unter die Mitarbeitergrenze fallen, spüren die Auswirkungen über die gesetzlich geforderte Sicherheit der Lieferkette (Supply Chain Security): Regulierte Großkunden und Industriekonzerne verlangen von ihren Zulieferern, Dienstleistern und Softwarepartnern zunehmend konkrete Nachweise über verschlüsselte Kommunikation, Multi-Faktor-Authentifizierung und Notfallvorsorge.

Zu den zehn technisch-organisatorischen Kernbereichen nach § 30 BSIG gehören unter anderem ein dokumentiertes Backup- und Krisenmanagement, Konzepte für Zugriffskontrolle und Kryptografie, Schwachstellenmanagement sowie ein mehrstufiger Meldeprozess bei erheblichen Sicherheitsvorfällen an das BSI (Frühwarnung innerhalb von 24 Stunden, detailliertere Meldung innerhalb von 72 Stunden)**.

Häufige Fehleinschätzungen bei Unternehmensgröße und Notfallkommunikation

Ein typischer Fehler bei der ersten Selbstprüfung ist die isolierte Betrachtung einer einzelnen GmbH:Gehört ein Standort mit 35 Mitarbeitenden zu einer Unternehmensgruppe oder Holding, werden die Kennzahlen verbundener Unternehmen bei der Schwellenwertberechnung häufig zusammengerechnet.

Im technischen Betrieb liegt die größte Schwachstelle oft im Krisenfall selbst: Wenn bei einem Ransomware-Angriff das zentrale E-Mail-System und die Telefonanlage ausfallen, fehlen ohne vorbereiteten Notfallkanal (Out-of-Band-Kommunikation) die Kontaktdaten und Zugänge, um die 24-Stunden-Frühwarnung überhaupt fristgerecht absetzen zu können.

3 technische und organisatorische Maßnahmen für den Einstieg

• Bestandsaufnahme der 10 Kernbereiche durchführen: Prüfen Sie systematisch den Ist-Zustand Ihrer IT-Sicherheit (insbesondere Backup-Schutz, Patch-Management, Zugriffsrechte und Notfallplan) und halten Sie die Ergebnisse und Prioritäten schriftlich für die Geschäftsführung fest.
• Basis-Schutz durch FIDO2-MFA und unveränderbare Backups härten: Sichern Sie alle administrativen Zugänge und Fernzugriffe mit phishing-resistenter Zwei-Faktor-Authentifizierung ab und stellen Sie Ihr Backup auf unveränderbaren WORM-Speicher im Pull-Betrieb um.
• Melde-Ablaufplan und unabhängigen Krisenkanal einrichten: Legen Sie klar fest, wer im Störungsfall die Meldung an das BSI übernimmt, und halten Sie einen vom primären Firmennetz unabhängigen Kommunikationskanal (z. B. Matrix/Element) bereit.

**Verweise auf Gesetzestexte, Paragrafen (u. a. DSGVO, NIS-2, EU AI Act, DORA, GoBD, BetrVG) und Compliance-Normen dienen ausschließlich der unverbindlichen technischen Fachinformation für IT-Entscheider. Sie stellen keine Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) dar; für eine rechtsverbindliche Beurteilung Ihrer spezifischen Unternehmensorganisation konsultieren Sie bitte Ihren Rechtsbeistand oder Datenschutzbeauftragten.