NIS2 umsetzen.

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) setzt die Richtlinie (EU) 2022/2555 in deutsches Recht um. Es ist am 06.12.2025 in Kraft getreten, ohne Übergangsfrist für die Risikomanagementmaßnahmen. Die Pflichten stehen im neu gefassten BSI-Gesetz. Wer als besonders wichtige oder wichtige Einrichtung gilt, regelt § 28 BSIG anhand von Sektor, Unternehmensgröße und einigen Sonderfällen. Das BSI schätzt die Zahl der betroffenen Unternehmen in Deutschland auf rund 29.500.

Die Kernpflicht steht in § 30 Abs. 1 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der für die Dienste genutzten Systeme vermeiden und die Auswirkungen von Sicherheitsvorfällen gering halten. § 30 Abs. 2 BSIG nennt zehn Maßnahmen, die mindestens dazugehören. Für Anbieter digitaler Dienste wie Cloud-, Rechenzentrums- und Managed Services gehen die technischen Vorgaben der Durchführungsverordnung (EU) 2024/2690 vor. Betreiber kritischer Anlagen haben nach § 31 und § 39 BSIG zusätzliche Pflichten.

Die Geschäftsleitung ist nach § 38 Abs. 1 BSIG verpflichtet, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflicht, haftet sie nach § 38 Abs. 2 BSIG der Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts. § 38 Abs. 3 BSIG verlangt außerdem, dass ihre Mitglieder regelmäßig an Schulungen teilnehmen. Daneben gelten die Registrierungspflicht nach § 33 BSIG und die Meldepflichten nach § 32 BSIG.

Verstöße gegen § 30 und § 32 BSIG, einschließlich einer fehlenden Dokumentation nach § 30 Abs. 1 Satz 3 BSIG, sind nach § 65 BSIG bußgeldbewehrt: bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen, bei mehr als 500 Millionen Euro Gesamtumsatz bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Umsatzes.

Eine Maßnahme, die umgesetzt, aber nicht dokumentiert ist, lässt sich gegenüber dem BSI nicht belegen. § 30 Abs. 1 Satz 3 BSIG macht die Dokumentation deshalb zur eigenen Pflicht. Das BSI erwartet nach seinem Infopaket zur Dokumentationspflicht, dass Entscheidungen für und gegen Maßnahmen begründet festgehalten werden, dass sie sich aus der Risikoanalyse ableiten lassen und dass erkennbar ist, wie die Geschäftsleitung die Umsetzung überwacht hat.

Bei besonders wichtigen Einrichtungen kann das BSI nach § 61 BSIG Audits, Prüfungen oder Zertifizierungen anordnen und Nachweise anfordern, nach § 61 Abs. 3 BSIG frühestens drei Jahre nach Inkrafttreten. Bei wichtigen Einrichtungen prüft es nach § 62 BSIG, wenn Tatsachen auf einen Verstoß hindeuten. Wie das BSI Nachweise im Einzelnen prüfen wird, ist noch nicht festgelegt. Sicher ist: Was im Prüffall vorgelegt werden soll, muss vorher entstanden sein.

Nachweisfähig wird die Umsetzung, wenn drei Dinge verbunden sind: die Anforderung aus dem Gesetz, die Maßnahme, mit der Sie sie erfüllen, und der Nachweis, der die Umsetzung belegt, jeweils mit Verantwortlichen und Datum. Genau diesen Dreiklang bildet Secani ab. Die Anforderungen aus § 30 BSIG liegen als Katalog vor, Ihre Controls erfüllen sie, und Nachweise, Risiken und Freigaben hängen an dem Control, das sie belegen.

Eine Zertifizierung nach ISO/IEC 27001 ist dafür eine gute Grundlage, nach Auffassung des BSI aber kein Nachweis der NIS2-Konformität. Geltungsbereich, Risikobehandlung, Meldepflichten und die Pflichten der Geschäftsleitung können abweichen und sollten gesondert geprüft werden.

Wenn Sie noch nicht geklärt haben, ob Ihre Einrichtung unter § 28 BSIG fällt, beginnen Sie mit der kostenlosen Betroffenheitsprüfung. Halten Sie das Ergebnis mit Begründung fest; das BSI empfiehlt das auch dann, wenn Sie nicht betroffen sind.

Wenn Sie betroffen und registriert sind, beginnen Sie mit Maßnahme 1. Die Risikoanalyse legt fest, wie weit die übrigen neun Maßnahmen gehen müssen. Der Umsetzungs-Check zeigt Ihnen in wenigen Minuten, wie weit Sie bei jeder der zehn Maßnahmen sind und wo noch Lücken bestehen.