NIS2 ist in Kraft – Cybersicherheit für Ihr Unternehmen

NIS2-Umsetzungsgesetz: Was betroffene Unternehmen jetzt wissen müssen

Keine Übergangsfristen, verschärfte Meldepflichten, persönliche Haftung der Geschäftsleitung – das NIS2-Umsetzungsgesetz ist in Kraft. Für rund 30.000 Unternehmen in Deutschland gilt: Handlungsbedarf besteht sofort.

Was ist NIS2 – und warum ist es jetzt relevant?

Mit dem NIS2-Umsetzungsgesetz hat Deutschland die europäische NIS2-Richtlinie in nationales Recht überführt. Das Ergebnis: Cybersicherheit ist keine freiwillige Maßnahme mehr, sondern eine gesetzliche Compliance-Pflicht. Betroffen sind Unternehmen aus 15 definierten Sektoren – von Energie über Gesundheit bis hin zu digitaler Infrastruktur.

Wer fällt unter die Regelung?

Das Gesetz unterscheidet zwei Kategorien:

• Besonders wichtige Einrichtungen sind in der Regel Unternehmen ab 250 Mitarbeitenden oder ab 50 Mio. € Jahresumsatz und 43 Mio. € Jahresbilanzsumme – sowie alle KRITIS-Betreiber.
• Wichtige Einrichtungen sind bereits Unternehmen ab 50 Mitarbeitenden oder ab 10 Mio. € Jahresumsatz und 10 Mio. € Jahresbilanzsumme.

In bestimmten Bereichen der digitalen Infrastruktur kann die Betroffenheit auch unabhängig von der Unternehmensgröße gelten. Auch wer „nur” digitale Dienstleistungen erbringt oder Teil kritischer Lieferketten ist, kann in den Anwendungsbereich fallen.

Was sind die konkreten Pflichten?

• Sofort gelten: die Pflicht zur Registrierung beim BSI, strikte Meldepflichten bei Sicherheitsvorfällen (Erstmeldung binnen 24 Stunden, Details binnen 72 Stunden, Abschlussmeldung nach einem Monat) sowie die Haftung der Geschäftsführung für die Einhaltung der Anforderungen.
• Innerhalb von drei Monaten ab Inkrafttreten muss die BSI-Registrierung abgeschlossen sein – über das Portal „Mein Unternehmenskonto”.
• Bis Ende 2028 müssen Sicherheitsmaßnahmen wie Risikomanagement, Incident Response, Business Continuity Management und Multi-Faktor-Authentifizierung nachweislich etabliert sein.

Was droht bei Verstößen?

Wer die Pflichten nicht erfüllt, riskiert hohe Bußgelder – und die persönliche Haftung der Geschäftsleitung. Hinzu kommen Reputationsschäden, die im Ernstfall schwer wiegen.

Battke Grünberg begleitet Sie durch den Regulierungsdschungel – von der Betroffenheitsprüfung über die BSI-Registrierung bis zur Etablierung belastbarer Risikomanagement-Strukturen. Zuständig sind Dr. Daniel Schöneich und Josephine Klawon LL.M.

Alle Informationen sowie die Möglichkeit zur Beratungsanfrage finden Sie hier: battke-gruenberg.de/nis2