Warum dieses Gesetz weiter reicht als gedacht

Das NIS2-Umsetzungsgesetz gilt in Deutschland seit Dezember 2025, und es betrifft nicht nur Kraftwerke und Banken. Es erfasst rund 29.500 Unternehmen in 18 Sektoren, von Logistik und Lebensmittelproduktion über den Maschinenbau bis zu Entsorgung und digitalen Diensten. Die Schwelle ist niedrig. Ein Betrieb mit 50 oder mehr Beschäftigten oder 10 Millionen Euro Umsatz in einem dieser Sektoren fällt automatisch darunter.

Die meisten Eigentümer im Mittelstand haben ihr Unternehmen nie als kritische Infrastruktur gesehen. Das Gesetz fragt nicht nach diesem Selbstbild. Es schaut auf Sektor und Größe, stuft Sie als wichtige oder besonders wichtige Einrichtung ein und knüpft daran verbindliche Sicherheitspflichten, die es vor einem Jahr noch nicht gab.

Die Pflicht, die persönlich auf der Leitung lastet

Die schärfste Änderung betrifft, wer die Pflicht trägt. Nach dem neuen Gesetz muss die Leitung die Risikomaßnahmen für die Cybersicherheit genehmigen und ihre Umsetzung überwachen. Das ist keine Aufgabe, die man an einen IT-Dienstleister gibt und vergisst. Handelt die Leitung grob fahrlässig oder vorsätzlich, erlaubt das Gesetz Bußgelder gegen die Personen selbst und in schweren Fällen ein befristetes Verbot, eine Leitungsfunktion auszuüben.

Für ein eigentümergeführtes Unternehmen ist das der entscheidende Punkt. Wer für die Firma unterschreibt, unterschreibt jetzt auch für ihre Cybersicherheit. Ein sauberer Auslagerungsvertrag verschiebt die Verantwortung nicht von der Leitung. Er ändert nur, wen Sie anrufen, wenn etwas schiefgeht, und dann ist die Pflicht längst geprüft.

Die Liste, von der Ihnen niemand erzählt hat

Gut verteidigt zu sein reicht allein nicht. Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik, dem BSI, registrieren und sich zu erkennen geben. Die gesetzliche Frist war der März 2026, und bis dahin hatten nur rund 11.500 der etwa 29.500 Firmen das getan. Mehr als die Hälfte fehlte auf der Liste.

Das BSI hat eine letzte Nachfrist auf den 31. Juli 2026 gesetzt und angekündigt, nach diesem Sommer die ersten Sanktionen zu prüfen. Die unterlassene Registrierung ist für sich genommen bußgeldbewehrt, bis zu 500.000 Euro, unabhängig von jedem Vorfall. Das stille Risiko ist nicht der Cyberangriff. Es ist, ein Unternehmen zu sein, das die Behörde auf einer Liste nicht findet, die sie jetzt aktiv prüft.

Was Sie in diesem Quartal anstoßen sollten

Drei Schritte tragen das meiste Gewicht. Klären Sie, ob Ihr Unternehmen in den Anwendungsbereich fällt, denn der Test nach Sektor und Größe ist mechanisch und leicht falsch zu lesen. Registrieren Sie sich vor der Juli-Frist beim BSI, wenn Sie betroffen sind. Legen Sie dann Ihrer Leitung einen dokumentierten Risikomanagement-Prozess vor, damit die Genehmigungs- und Aufsichtspflicht erfüllt und belegt ist, nicht nur unterstellt.

Nichts davon verlangt eine große Sicherheitsabteilung. Es verlangt ein klares Bild Ihrer Lage, einen Nachweis, dass die Leitung das Risiko geprüft hat, und einen Beleg, den Sie zeigen können, wenn die Behörde fragt. Schwer tun werden sich die Unternehmen, die ein nationales Cybersicherheitsgesetz als IT-Fußnote behandelt haben.

Weiterlesen: Ihre Hardware ist jetzt regulierte Software  ·  Ist Ihre Cyberabwehr bereit für Angriffe in Maschinengeschwindigkeit?