NIS2-Krisenübung: Was §30 und §38 BSIG jetzt von Ihnen verlangen
Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft. Es verlangt Risikomanagement, Krisenmanagement und eine geschulte, persönlich haftende Geschäftsleitung, und früher oder später fragt die Aufsicht, womit Sie das belegen. Eine dokumentierte Krisenübung ist der belastbarste Nachweis, den Sie vorlegen können.
Wer unter NIS2 fällt (und wer bereits im Verzug ist)
NIS2 betrifft längst nicht mehr nur KRITIS-Betreiber: Nach BSI-Schätzung fallen rund 29.500 Unternehmen in Deutschland unter das neue BSIG, viele davon Mittelständler, die bisher keiner Cyber-Regulierung unterlagen.
Das Gesetz unterscheidet zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen. Welche Kategorie greift, ergibt sich aus Sektor und Größenklasse; im Zweifel lohnt der Blick auf die NIS-2-Informationsseiten des BSI. Entscheidend für die Praxis: Risikomanagement nach §30, Meldepflichten nach §32 und Geschäftsleitungspflichten nach §38 BSIG treffen beide Kategorien.
Besonders wichtige Einrichtungen
Die strengste Stufe des neuen BSIG. Hier ist die Aufsicht am intensivsten, und die Erwartung an belastbare, dokumentierte Nachweise am höchsten.
Wichtige Einrichtungen
Die zweite Stufe, mit im Kern demselben Pflichtenkatalog: Risikomanagement, Meldekette, Geschäftsleitungspflichten. „Wichtig“ heißt nicht „weniger verpflichtet“.
Registrierung: Die Frist ist abgelaufen
Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren. Diese Frist ist verstrichen: Wer sich noch nicht registriert hat, ist im Verzug und sollte die Registrierung unverzüglich nachholen. Seit dem 1. Juni 2026 ist zudem das Melde- und Kontaktstellen-Portal (MUK) des BSI im Vollbetrieb. Die Stelle, bei der Ihre 24-Stunden-Frühwarnung eingehen muss, existiert also längst. „Wir warten noch ab“ ist keine Rechtsposition mehr.
Die Geschäftsleitung steht persönlich in der Pflicht
§38 BSIG adressiert nicht die IT-Abteilung, sondern Geschäftsführung und Vorstand, und zwar persönlich. Drei Pflichten, die sich nicht wegdelegieren lassen, und eine Haftung, die daran hängt.
Billigen
Die Geschäftsleitung muss die Risikomanagement-Maßnahmen nach §30 BSIG selbst billigen. Eine Unterschrift unter ein Konzept, das niemand am Tisch erklären kann, wird dieser Pflicht kaum gerecht.
Überwachen
Sie muss die Umsetzung der Maßnahmen überwachen, fortlaufend, nicht einmalig. Das setzt voraus, dass sie beurteilen kann, ob das Krisenmanagement im Ernstfall trägt.
Schulen
Sie muss regelmäßig an Schulungen teilnehmen, um Risiken und die Angemessenheit der Maßnahmen einschätzen zu können.
Der Hebel dahinter: §38 BSIG sieht eine Haftung der Geschäftsleitung vor, wenn diese Pflichten verletzt werden. Cyber-Risiko ist damit endgültig kein reines IT-Thema mehr, sondern ein Organpflichten-Thema, mit allem, was das für Vorstandssitzungen, D&O-Gespräche und die persönliche Sorgfalt bedeutet.
Und hier gehört Ehrlichkeit hin: Gesetzlich vorgeschrieben sind die Maßnahmen und die Schulung, nicht die Krisenübung als solche. Aber wer den Nachweis führen muss, dass die Geschäftsleitung geschult ist und die Umsetzung wirklich überwacht, steht mit einem Webinar-Teilnahmezertifikat dünn da: Es belegt Anwesenheit, sonst nichts. Eine dokumentierte Krisenübung belegt Urteilsfähigkeit. Sie zeigt, welche Entscheidungen die Geschäftsleitung unter Zeitdruck getroffen hat, wann, auf welcher Informationslage und mit welchem Ergebnis. Als Schulungs- und Überwachungsnachweis ist das die stärkste Evidenz, die Sie erzeugen können.
Krisenmanagement ist Pflichtmaßnahme, nicht Kür
§30 BSIG verpflichtet betroffene Einrichtungen zu Risikomanagement-Maßnahmen und zählt Business Continuity und Krisenmanagement ausdrücklich dazu.
Die Maßnahmenliste folgt der europäischen Vorlage: Art. 21 Abs. 2 der NIS2-Richtlinie nennt unter Buchstabe c Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Auf deutscher Seite verankert §30 Abs. 2 BSIG genau diese Pflicht: Betriebskontinuität, Backup-Management, Wiederherstellung und Krisenmanagement. (Für Anbieter digitaler Infrastruktur konkretisiert zusätzlich die EU-Durchführungsverordnung (EU) 2024/2690 die Anforderungen im Detail.) Wer §30 BSIG ernst nimmt, braucht deshalb mehr als Firewalls und Patch-Zyklen:
- einen Krisenstab mit definierten Rollen, Vertretungen und Alarmierungswegen,
- Wiederanlauf-Prioritäten, die das Geschäft festlegt, nicht allein die IT,
- Kommunikationsfähigkeit nach innen und außen, auch wenn die primären Kanäle ausfallen,
- und den Beleg, dass all das nicht nur auf Papier existiert.
Ein BCM-Handbuch im Regal erfüllt den Buchstaben. Ob es die Lage übersteht, entscheidet sich beim ersten echten Vorfall, oder, erheblich günstiger, in der ersten ernsthaften Übung.
Die Meldekette: drei Fristen, die Sie nicht am Tag X nachschlagen wollen
§32 BSIG verlangt bei erheblichen Sicherheitsvorfällen eine dreistufige Meldung an das BSI. Die Uhr startet mit der Kenntnis vom Vorfall, nicht dann, wenn das Chaos vorbei ist.
Auf dem Papier wirken drei Fristen beherrschbar. Real fällt die 24-Stunden-Frage mitten in die schlimmste Nacht des Unternehmens: Wer entscheidet, ob der Vorfall „erheblich“ ist? Wer formuliert die Frühwarnung, während dasselbe Team Systeme isoliert? Wer hat die Zugänge zum Meldeportal, und wer vertritt ihn im Urlaub? Diese Fragen entscheiden über fristgerecht oder verspätet, und sie lassen sich nicht im Ernstfall zum ersten Mal stellen.
Genau dafür enthalten Verdus-Übungen dedizierte Meldeketten-Injects: Ihr Team wird zum realistisch unpassendsten Zeitpunkt mit der Meldefrage konfrontiert, die Entscheidung wird zeitgestempelt festgehalten. Im Debrief sehen Sie schwarz auf weiß, ob Ihre Frühwarnung binnen 24 Stunden beim BSI gewesen wäre.
„Notfälle üben“: Der Standard sagt es selbst
Der BSI-Standard 200-4 ist die deutsche Referenz für Business Continuity Management, und der IT-Grundschutz widmet dem Üben ein eigenes Kapitel: „Notfälle üben“, Kapitel 8 des Online-Kurses Notfallmanagement.
Das ist kein Zufall, sondern die Behördenlogik in einem Satz: Ein Notfallkonzept, das nie geprobt wurde, ist eine Hypothese. Erst die Übung zeigt, ob Alarmierungswege funktionieren, ob Vertretungen greifen und ob Entscheidungen dort fallen, wo der Plan sie vorsieht. Den Standard im Schrank zu haben und ihn unter Druck ausführen zu können, sind zwei verschiedene Reifegrade, und die Aufsicht interessiert sich für den zweiten.
Verdus Cyber operationalisiert genau diese Anforderung: Statt eines jährlichen Papier-Walkthroughs bekommen Sie eine live eskalierende Übung im Browser, deren Ablauf, Entscheidungen und Findings sich direkt in Ihre 200-4-Dokumentation übernehmen lassen. Sie üben nicht neben dem Standard her: Sie erzeugen die Übungsnachweise, die ein gelebtes BCM auszeichnen.
So sieht eine NIS2-taugliche Übung aus
Fünf Dinge trennen eine belastbare Krisenübung vom Folien-Nachmittag, und genau diese fünf sind in Verdus Cyber eingebaut.
Und DORA? Nur, wenn Sie Finanzsektor sind.
DORA, die Verordnung (EU) 2022/2554, gilt ausschließlich für Finanzunternehmen und kritische IKT-Drittdienstleister und ist seit dem 17. Januar 2025 anwendbar. Dort gelten eigene, teils schärfere Meldefristen: Erstmeldung 4 Stunden nach Klassifizierung als schwerwiegend (spätestens 24 Stunden nach Kenntnis), Zwischenbericht nach 72 Stunden, Abschlussbericht nach einem Monat. Dazu kommen ausdrückliche Pflichten zum Testen der digitalen operationalen Resilienz, einschließlich szenariobasierter Tests (Art. 25/26 DORA).
Für alle anderen Branchen ist NIS2 bzw. das BSIG der Maßstab. Wenn Sie zum Finanzsektor gehören, haben wir das passende Szenario mit DORA-Meldekette bereits vorbereitet.
Häufige Fragen zur NIS2-Krisenübung
Wie oft müssen wir eine Krisenübung durchführen?
Das BSIG schreibt kein festes Übungsintervall vor. §38 BSIG verlangt regelmäßige Schulungen der Geschäftsleitung, ohne ein Intervall zu nennen. In der Praxis hat sich mindestens eine ernsthafte Übung pro Jahr etabliert, ergänzt um einen weiteren Durchlauf nach größeren Veränderungen: neue Systeme, Umstrukturierung, neuer Krisenstab. Entscheidend ist, dass jede Übung dokumentiert wird.
Wer sollte an der Übung teilnehmen?
Der Kern ist Ihr Krisenstab: Geschäftsleitung, IT und Sicherheit, Recht, Kommunikation und die betroffenen Fachbereiche. Wegen §38 BSIG gehört die Geschäftsleitung ausdrücklich an den Tisch, als Entscheiderin, nicht als Zuschauerin. Verdus trennt dafür Controller- und Teilnehmer-Sicht, sodass ein Moderator den Druck gezielt steuert.
Reicht eine PowerPoint-Schulung als Nachweis?
Ein Foliensatz mit Teilnahmeliste mag den Schulungsbegriff formal erfüllen, ist aber schwache Evidenz: Er belegt Anwesenheit, nicht Handlungsfähigkeit. Eine dokumentierte Übung mit Zeitstempeln und Entscheidungsprotokoll zeigt, dass die Geschäftsleitung Risiken tatsächlich beurteilen kann: genau das, was §38 BSIG von ihr verlangt.
Was müssen wir dokumentieren?
Szenario und Annahmen, Teilnehmende und Rollen, den Ablauf mit Zeitstempeln, getroffene Entscheidungen samt Begründung, erkannte Lücken und die daraus abgeleiteten Maßnahmen. Verdus erzeugt dieses Paket automatisch im Debrief: als Timeline mit Entscheidungs-Zeitstempeln, Findings und Maßnahmenliste.
Gilt DORA auch für uns?
Nur wenn Sie Finanzunternehmen oder kritischer IKT-Drittdienstleister sind: DORA (EU) 2022/2554 gilt ausschließlich für den Finanzsektor und ist seit dem 17. Januar 2025 anwendbar. Alle anderen Unternehmen fallen unter NIS2 beziehungsweise das BSIG. Im Zweifel klären wir die Einordnung im ersten Gespräch.
Was kostet eine NIS2-Krisenübung?
Ehrliche Antwort: Das hängt von Format und Tiefe ab, selbst moderiert, spezialisten-geführt oder über das Partnerprogramm. Die drei Delivery-Modelle stehen auf unserer Preisseite; eine realistische Spanne nennen wir im ersten Gespräch, nicht erst nach drei Workshops.
Zur PreisseiteMachen Sie Ihre NIS2-Pflichten übungsfest.
In einer halben Stunde zeigen wir Ihnen, wie eine NIS2-taugliche Übung für Ihre Organisation aussieht: Szenario, Meldekette, Debrief-Evidenz.