Die neue IT-Sicherheitspflicht für Unternehmen
Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz. Rund 29.500 Unternehmen in Deutschland müssen jetzt gesetzliche Cybersicherheits-Mindeststandards erfüllen - viele wissen es noch nicht.
Was ist die IT-Sicherheitspflicht?
Wenn Sie nach „IT-Sicherheitspflicht“ suchen, meinen Sie höchstwahrscheinlich die NIS2-Richtlinie der EU und ihre deutsche Umsetzung im BSI-Gesetz (BSIG). Es gibt keine separate „IT-Sicherheitspflicht“: NIS2 ist die neue gesetzliche Grundlage, die Unternehmen in den Sektoren der Anlagen 1 und 2 BSIG zur Cybersicherheit verpflichtet.
Das Gesetz heißt offiziell NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und hat das BSI-Gesetz grundlegend überarbeitet. Die Kernpflichten stehen in §30 BSIG (Risikomanagementmaßnahmen) und §32 BSIG (Meldepflichten bei Sicherheitsvorfällen). Zusätzlich muss die Geschäftsleitung die Maßnahmen nach §38 BSIG umsetzen und überwachen; verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung für den Schaden.
Der Anwendungsbereich ist deutlich weiter als beim alten KRITIS-Regime. Nicht nur Energieversorger und Krankenhäuser sind betroffen, sondern auch Lebensmittelproduzenten, Maschinenbauer, Logistikunternehmen, Abfallentsorger und viele weitere Branchen. Entscheidend sind Sektor und Unternehmensgröße.
Sektor prüfen
Ihr Unternehmen bietet gegen Entgelt Waren oder Dienstleistungen in einem der Sektoren aus den Anlagen 1 und 2 BSIG an: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (einschließlich verwalteter IT und Sicherheitsdienste), Weltraum, Post und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung.
Mitarbeiterzahl prüfen
Ab 50 Mitarbeitern greift die Größenschwelle. Zählen Sie alle Beschäftigten inklusive verbundener Unternehmen: NIS2 verwendet die EU-KMU-Definition, die Konzernzugehörigkeit berücksichtigt. Ausnahme: Partnerunternehmen und verbundene Unternehmen werden nicht hinzugerechnet, wenn Ihre IT unabhängig von deren Systemen betrieben wird (§ 28 Abs. 4 BSIG).
Umsatz und Bilanz prüfen
Alternativ zur Mitarbeiterzahl: Über 10 Mio. EUR Jahresumsatz UND über 10 Mio. EUR Bilanzsumme. Beide Schwellen müssen gleichzeitig überschritten werden. Auch hier zählen verbundene Unternehmen mit.
Erbrachte Dienste prüfen
Bestimmte Einrichtungen sind unabhängig von ihrer Größe betroffen: Betreiber kritischer Anlagen (KRITIS), Vertrauensdiensteanbieter, Namenregister für Top Level Domains und DNS-Diensteanbieter (§ 28 BSIG).
Beim BSI registrieren
Alle betroffenen Einrichtungen müssen sich selbst identifizieren und registrieren, in zwei Schritten: zuerst ein Konto bei Mein Unternehmenskonto anlegen (mein-unternehmenskonto.de, mit einem Organisationszertifikat aus ELSTER), dann im Portal des BSI registrieren (portal.bsi.bund.de). Die Registrierungsfrist war der 6. März 2026. Wer das versäumt hat, sollte die Registrierung umgehend nachholen. Allein die Nichtregistrierung kann mit bis zu 500.000 EUR Bußgeld belegt werden.
Risiken bewerten
Erstellen Sie ein Inventar Ihrer IT-Systeme und bewerten Sie die Cybersicherheitsrisiken. Welche Systeme unterstützen Ihre wesentlichen Dienste? Was passiert bei einem Ausfall? Das Risikoregister ist das Fundament aller weiteren Maßnahmen.
Sicherheitsmaßnahmen umsetzen
§30 BSIG schreibt zehn Kategorien von Maßnahmen vor: Risikoanalyse, Vorfallbewältigung, Betriebskontinuität, Lieferkettensicherheit, Zugangskontrolle, Kryptografie, Personalschulungen und mehr. Der Umfang muss „geeignet, verhältnismäßig und wirksam“ sein - ein 80-Personen-Unternehmen braucht kein SOC, aber dokumentierte Prozesse.
Meldeprozess einrichten
Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung), 72 Stunden (Bewertung) und einem Monat (Abschlussbericht) gemeldet werden. Definieren Sie vorab, wer die Meldeentscheidung trifft und wer die Meldung absetzt.
Kontinuierlich pflegen
IT-Sicherheit ist kein Einmalprojekt. Risikobewertungen müssen bei Änderungen aktuell gehalten, Maßnahmen überprüft und die Geschäftsführung regelmäßig geschult werden (die Gesetzesbegründung versteht darunter mindestens alle drei Jahre). Dokumentieren Sie alles: im Prüfungsfall zählt, was nachweisbar ist.
Die Bußgelder sind gestaffelt: Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen. Registrierungsverstöße allein kosten bis zu 500.000 EUR.
Schwerer wiegt die persönliche Haftung der Geschäftsführung nach §38 BSIG. Die Geschäftsleitung muss die Cybersicherheitsmaßnahmen umsetzen, deren Umsetzung überwachen und sich selbst schulen lassen. Diese Pflicht ist nicht delegierbar. Ein schuldhafter Verstoß macht die Geschäftsleitung gegenüber der eigenen Einrichtung schadensersatzpflichtig (§ 38 Abs. 2 BSIG).
Häufig gestellte Fragen
Ist „IT-Sicherheitspflicht“ dasselbe wie NIS2?
Ja. Es gibt kein separates Gesetz mit dem Namen „IT-Sicherheitspflicht“. Der Begriff beschreibt die gesetzliche Pflicht zur IT-Sicherheit, die seit Dezember 2025 durch das BSIG (die deutsche NIS2-Umsetzung) geregelt ist. Wenn jemand von der neuen IT-Sicherheitspflicht spricht, meint er die NIS2-Anforderungen im BSIG.
Wir haben nur 60 Mitarbeiter - betrifft uns das wirklich?
Wenn Ihr Unternehmen in einem der Sektoren aus den Anlagen 1 und 2 BSIG tätig ist und mindestens 50 Mitarbeiter hat oder über 10 Mio. EUR Umsatz und 10 Mio. EUR Bilanzsumme erreicht, sind Sie betroffen. Die Schwelle ist bewusst niedrig angesetzt. Prüfen Sie auch, ob Konzernzugehörigkeit Ihre Mitarbeiterzahl oder Finanzkennzahlen beeinflusst.
Was kostet die Umsetzung für ein mittelständisches Unternehmen?
Das hängt davon ab, was Sie schon haben. Das Gesetz verlangt Maßnahmen, die zu Ihrer Größe und Ihrem Risiko passen, und die Umsetzungskosten gehören zu den Punkten, die dabei abgewogen werden (§ 30 Abs. 1 BSIG).
Gibt es eine Übergangsfrist?
Nein. Das BSIG ist seit dem 6. Dezember 2025 in Kraft und die Pflichten gelten sofort. Die Registrierungsfrist beim BSI war der 6. März 2026. Wer jetzt erst anfängt, sollte zumindest die Registrierung sofort nachholen und einen nachvollziehbaren Umsetzungsplan dokumentieren.
Kann ich die Umsetzung komplett an einen IT-Dienstleister auslagern?
Die technische Umsetzung können Sie auslagern, die Verantwortung nicht. Auch wenn die IT komplett ausgelagert ist, bleibt Ihr Unternehmen selbst verantwortlich, so das BSI in seinen FAQ zu NIS 2. Die Geschäftsführung muss die Maßnahmen verstehen, umsetzen und deren Umsetzung überwachen. Ein externer Berater kann unterstützen, aber die Geschäftsleitung muss selbst entscheidungsfähig sein.
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Festlegen, wie Sie Risiken einstufen
Das BSI hat dafür eine fertige Methode zur Risikobewertung.
Vorfallbehandlung
Wissen, wie Sie einen Vorfall melden
Drei Meldungen an das BSI, mit festen Fristen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
