NIS2 ist in Kraft: die fünf Punkte, die Geschäftsleitungen jetzt regeln müssen

Am 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft getreten. Seitdem lautet die Frage nicht mehr, ob die neuen Pflichten kommen, sondern ob Ihr Haus sie heute erfüllt. Nach Schätzung des BSI betrifft das neue BSIG rund 29.500 Unternehmen in Deutschland, darunter viele Mittelständler, die bislang mit keiner Cyber-Regulierung zu tun hatten.

Zwei Termine liegen dabei schon in der Vergangenheit: Die Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen, und seit dem 1. Juni 2026 ist das Melde- und Kontaktstellen-Portal (MUK) des BSI im Vollbetrieb. Wer heute noch plant statt umsetzt, ist nicht gefühlt spät dran, sondern formal im Verzug. Die gute Nachricht: Was die Geschäftsleitung jetzt regeln muss, lässt sich auf fünf Punkte bringen.

1. Betroffenheit klären, Registrierung nachholen

Der erste Punkt ist unspektakulär und gerade deshalb überfällig: Klären Sie, ob Ihre Organisation als besonders wichtige oder wichtige Einrichtung unter das neue BSIG fällt, und holen Sie die Registrierung beim BSI unverzüglich nach, falls sie noch fehlt. Die Frist ist am 6. März 2026 verstrichen; das macht die Registrierung nicht hinfällig, sondern dringlich. Wer sich jetzt registriert, korrigiert einen Verzug. Wer weiter wartet, verlängert einen; eine Aufsicht findet ihn später aktenkundig vor.

2. §38 BSIG lesen: er meint Sie persönlich

§38 BSIG adressiert nicht die IT-Abteilung und nicht den Informationssicherheitsbeauftragten, sondern Geschäftsführung und Vorstand. Drei Pflichten stehen dort, und keine davon lässt sich wegdelegieren:

• Billigen: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen nach §30 BSIG selbst billigen, eine Unterschrift unter ein Konzept, das am Tisch niemand erklären kann, trägt nicht weit.
• Überwachen: Sie muss die Umsetzung dieser Maßnahmen überwachen, und zwar fortlaufend, nicht als einmaliger Beschluss.
• Schulen: Sie muss regelmäßig an Schulungen teilnehmen, um Risiken und die Angemessenheit der Maßnahmen beurteilen zu können.

Dahinter steht ein scharfer Hebel: §38 BSIG sieht die Haftung der Geschäftsleitung vor, wenn diese Pflichten verletzt werden. Cyber-Risiko ist damit endgültig ein Organpflichten-Thema, mit allem, was das für Vorstandssitzungen, D&O-Gespräche und die persönliche Sorgfalt bedeutet.

3. Krisenmanagement aufsetzen: §30 BSIG verlangt mehr als Technik

§30 BSIG verpflichtet betroffene Einrichtungen zu Risikomanagement-Maßnahmen und zählt Business Continuity und Krisenmanagement ausdrücklich dazu. Firewalls und Patch-Zyklen erfüllen diesen Paragrafen nicht. Gefragt ist eine Organisation, die im Ernstfall trägt: ein Krisenstab mit definierten Rollen und Vertretungen, Alarmierungswege, die auch nachts funktionieren, Wiederanlauf-Prioritäten, die das Geschäft festlegt, und Kommunikationsfähigkeit nach innen und außen, wenn die üblichen Kanäle ausfallen.

Vieles davon existiert in deutschen Unternehmen bereits (auf dem Papier). Genau dort liegt das Problem, zu dem Punkt fünf kommt.

4. Die Meldekette an das BSI vorbereiten

§32 BSIG verlangt bei erheblichen Sicherheitsvorfällen eine dreistufige Meldung an das BSI. Die Uhr startet mit der Kenntnis vom Vorfall, nicht dann, wenn das Chaos vorbei ist:

Vorbereiten heißt hier konkret: festlegen, wer die Erheblichkeit eines Vorfalls beurteilt, wer die Frühwarnung formuliert, wer die Zugänge zum Meldeportal hält, und wer all das vertritt, wenn die Erstbesetzung im Urlaub ist. Diese vier Antworten entscheiden am Tag X über fristgerecht oder verspätet.

5. Üben, weil Papier nichts beweist

Der rote Faden durch die Punkte zwei bis vier: Jede dieser Pflichten verlangt am Ende einen Nachweis. Und hier trennt sich das Playbook vom belastbaren Beleg. Ein Krisenhandbuch dokumentiert eine Absicht; ob Alarmierungswege funktionieren, Vertretungen greifen und die Geschäftsleitung unter Zeitdruck entscheidungsfähig bleibt, zeigt erst der Praxistest. Die deutsche Behördenreferenz sagt das selbst: Der BSI-Standard 200-4 ist der Maßstab für Business Continuity Management, und der IT-Grundschutz widmet dem Thema ein eigenes Kapitel: „Notfälle üben“, Kapitel 8 des Online-Kurses Notfallmanagement.

Für die Geschäftsleitung hat die Übung dabei einen doppelten Wert. Erstens ist sie das wirksamste Trainingsformat: Wer einmal unter laufender Uhr gleichzeitig über eine Lösegeldforderung, eine Kundeneskalation und eine 24-Stunden-Frühwarnung entscheiden musste, versteht das eigene Krisenmanagement anders als aus jeder Folienpräsentation. Zweitens erzeugt eine dokumentierte Übung genau die Evidenz, die §38 BSIG verlangt: Sie belegt mit Zeitstempeln, welche Entscheidungen die Geschäftsleitung getroffen hat, wann und auf welcher Grundlage: Schulungs- und Überwachungsnachweis in einem.

Die Reihenfolge ist damit klar: Registrierung nachholen, Zuständigkeiten und Meldekette festlegen, Krisenorganisation aufsetzen, und dann beweisen, dass sie funktioniert. Nicht auf Papier, sondern im Durchlauf.