Seit Dezember 2025 gilt in Deutschland ein neues Gesetz zur Cybersicherheit, das rund 30.000 Unternehmen betrifft. Für viele KMU ist es das erste Mal, dass konkrete IT-Sicherheitspflichten gesetzlich verankert sind. Dieser Artikel erklärt, wen die sogenannte NIS-2-Richtlinie trifft, was sie verlangt und wie Unternehmen die Anforderungen nachhaltig erfüllen können.
Das Thema kurz und kompakt
- Die NIS-2-Richtlinie ist die EU-weite Cybersicherheitspflicht für Unternehmen. Seit Dezember 2025 gilt sie auch in Deutschland für ca. 30.000 Unternehmen aus 18 Sektoren.
- Betroffene Unternehmen müssen zehn Maßnahmen von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung umsetzen und sich beim BSI registrieren.
- Die NIS-2-Richtlinie verpflichtet Führungskräfte, Maßnahmen zur Cybersicherheit persönlich zu billigen und zu überwachen.
- Mit der IT-Sicherheitsanalyse-Weiterbildung von Distart qualifizieren Sie Ihre Mitarbeitenden zu echten Cybersicherheits-Expert*innen – bis zu 100 % förderfähig über das Qualifizierungschancengesetz.
Was ist die NIS-2-Richtlinie?
NIS-2 steht für „Network and Information Security Directive 2“ und ist eine EU-weite Regelung zur Cyber- und Informationssicherheit (EU 2022/2555). Sie legt verbindliche Mindestanforderungen fest, die Unternehmen in kritischen Sektoren gegenüber Cyberangriffen und Sicherheitsvorfällen widerstandsfähiger machen sollen.
Der Anlass ist konkret: Laut Bitkom verursachen Cyberangriffe in Deutschland jährlich Schäden von über 200 Mrd. €. Mit der NIS-2-Richtlinie reagiert die EU auf diese Bedrohung mit einem strukturellen Rahmen, der nicht mehr nur Großkonzerne, sondern ausdrücklich auch mittelständische Unternehmen einbezieht.
Wofür steht NIS2UmsuCG in diesem Zusammenhang?
In Deutschland wurde die EU-Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Das Gesetz trat am 6. Dezember 2025 in Kraft und novellierte das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) grundlegend. Die Folge: Der Kreis der regulierten Unternehmen stieg von rund 4.500 auf ca. 30.000 Einrichtungen.
Wer ist von der NIS-2-Richtlinie betroffen?
Ob ein Unternehmen unter die NIS-2-Richtlinie fällt, hängt von zwei Kriterien ab: der Sektorzugehörigkeit und dem Überschreiten bestimmter Schwellenwerte nach §28 BSIG. Das Gesetz unterscheidet dabei zwei Kategorien:
- Besonders wichtige Einrichtungen (Anhang 1, z. B. Energie, Gesundheit, digitale Infrastruktur): ab 250 Mitarbeitenden oder 50 Mio. € Jahresumsatz.
- Wichtige Einrichtungen (Anhang 2, z. B. verarbeitendes Gewerbe, Lebensmittel, Post): ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz.
Entscheidend ist: Das BSI informiert Unternehmen nicht proaktiv, ob sie von dem Gesetz betroffen sind. Stattdessen muss jedes Unternehmen seine Situation selbst prüfen. Einen ersten Anhaltspunkt bietet die kostenlose NIS-2-Betroffenheitsprüfung des BSI. Allerdings ist die Registrierungsfrist bereits am 6. März 2026 abgelaufen – zum Stichtag hatten sich nur rund 38,5 % der betroffenen Unternehmen registriert.
Die 10 Pflichtmaßnahmen nach §30 BSIG im Überblick
Betroffene Unternehmen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren. §30 BSIG schreibt zehn Pflichtbereiche vor:
- Risikoanalyse und IT-Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen (Incident Response)
- Business Continuity: Backup, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
- Wirksamkeitsbewertung der Risikomanagement-Maßnahmen
- Grundlegende Schulungen und Sensibilisierungsmaßnahmen
- Kryptografische Verfahren und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Asset Management
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Neben diesen Maßnahmen gilt eine strenge Meldepflicht nach §32 BSIG: Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden als frühe Erstmeldung, innerhalb von 72 Stunden als vollständige Meldung und nach 30 Tagen als Abschlussmeldung gemeldet werden.
Bußgelder und Haftung: Was droht bei Verstößen?
Wer die Pflichten ignoriert, riskiert empfindliche Sanktionen. Nach §65 BSIG drohen:
- Für besonders wichtige Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.
- Für wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Schwerwiegender als das Bußgeld ist für viele Geschäftsführer*innen die persönliche Haftung nach §38 BSIG. Die Vorschrift verpflichtet die Geschäftsleitung, die Maßnahmen zum Risikomanagement persönlich zu billigen und deren Umsetzung zu überwachen. Bei Pflichtverletzung haftet sie gegenüber der eigenen Gesellschaft mit dem Privatvermögen (Innenhaftung). Ein vertraglicher Verzicht auf diese Haftung ist gesetzlich ausgeschlossen.
NIS-2-Kompetenz intern aufbauen: Weiterbildung statt einmaliger Beratung
Viele Unternehmen reagieren auf Compliance-Anforderungen mit dem Reflex, einen externen Berater zu beauftragen. Bei NIS-2 greift dieser Ansatz zu kurz. Cybersicherheit ist keine einmalige, sondern eine Daueraufgabe. Risikoanalysen müssen regelmäßig aktualisiert, Vorfälle intern bewertet und Lieferketten fortlaufend überprüft werden. Wer dafür jedes Mal externe Expertise einkaufen muss, hat keine nachhaltige Lösung.
Die IT-Sicherheitsanalyse-Weiterbildung von Distart setzt genau hier an: Bestehende Mitarbeitende werden zu internen Ansprechpersonen für Cybersicherheit qualifiziert. Die Weiterbildung vermittelt in 430 Unterrichtseinheiten (322,5 Zeitstunden) praxisorientierte Kompetenzen in Penetration Testing, Web-, API- und Netzwerksicherheit, IT-Infrastruktur und Active Directory sowie Sicherheitsmaßnahmen und Reporting.
Das schafft dauerhaftes internes Know-how, das die gesetzlichen Anforderungen nach §30 BSIG trägt, anstatt sie punktuell zu erfüllen.
Förderung über das Qualifizierungschancengesetz nutzen
Die Weiterbildung muss nicht aus dem Betriebsbudget finanziert werden. Über das Qualifizierungschancengesetz (§82 SGB III) übernimmt die Agentur für Arbeit einen erheblichen Teil der Kosten. Die Fördersätze richten sich nach der Unternehmensgröße:
Voraussetzung ist ein bestehendes sozialversicherungspflichtiges Arbeitsverhältnis sowie die Wahl eines AZAV-zertifizierten Bildungsträgers wie Distart.
Wichtig: Die Förderung ist eine Ermessensentscheidung der Agentur für Arbeit, kein Rechtsanspruch. Im Beratungsgespräch klärt Distart gemeinsam mit Ihnen, welche Förderoption für Ihr Unternehmen in Frage kommt.
Fazit: Mit Distart NIS-2-Pflichten nachhaltig erfüllen
Die NIS-2-Richtlinie stellt rund 30.000 Unternehmen in Deutschland vor folgende neue Pflichten:
- Zehn Risikomanagement-Maßnahmen nach §30 BSIG
- Strenge Meldepflichten bei Sicherheitsvorfällen
- Eine persönliche Verantwortung der Geschäftsleitung.
Wer jetzt handelt, schützt nicht nur sein Unternehmen, sondern schafft eine Sicherheitsarchitektur, die dauerhaft trägt.
Die IT-Sicherheitsanalyse-Weiterbildung von Distart qualifiziert Ihre Mitarbeitenden zu Cybersicherheits-Expert*innen und erfüllt damit direkt die Anforderungen aus §30 BSIG. Über das Qualifizierungschancengesetz übernimmt die Agentur für Arbeit je nach Unternehmensgröße bis zu 100 % der Kosten.
Häufig gestellte Fragen
Wie kann ein KMU prüfen, ob es von der NIS-2-Richtlinie betroffen ist?
Der erste Schritt ist die kostenlose NIS-2-Betroffenheitsprüfung des BSI. Sie gibt eine erste Orientierung, ist jedoch nicht rechtsverbindlich. Entscheidend sind zwei Kriterien: Ist Ihr Unternehmen in einem der 18 regulierten Sektoren tätig? Und überschreitet es die Schwellenwerte (mindestens 50 Mitarbeitende oder 10 Mio. € Jahresumsatz für wichtige Einrichtungen)? Das BSI informiert Unternehmen nicht von sich aus, die Prüfung liegt in der Eigenverantwortung.
Wo sollten Unternehmen bei der Umsetzung der NIS-2-Richtlinie anfangen?
Ein guter Einstieg ist eine interne Bestandsaufnahme der zehn Pflichtmaßnahmen nach §30 BSIG. Viele Unternehmen stellen dabei fest, dass Maßnahme 7 – Schulungen und Sensibilisierung – am schnellsten anzugehen ist und gleichzeitig die Grundlage für alle anderen Maßnahmen bildet. Wer eigene Mitarbeitende qualifiziert, schafft die interne Kompetenz, die NIS-2-Richtlinie dauerhaft umzusetzen.
Wer trägt die Verantwortung für die Umsetzung der NIS-2-Richtlinie im Unternehmen?
Die Geschäftsleitung spielt bei NIS-2 eine zentrale Rolle: §38 BSIG sieht vor, dass sie die Risikomanagement-Maßnahmen nach §30 persönlich billigt und deren Umsetzung begleitet. Das macht NIS-2 zu einem Thema, das auf Führungsebene aktiv gesteuert werden sollte, nicht allein in der IT-Abteilung.
Wie können Unternehmen Sicherheitskompetenzen intern aufbauen?
Der nachhaltigste Weg ist die Qualifizierung eigener Mitarbeitender über eine AZAV-zertifizierte Weiterbildung. Die IT-Sicherheitsanalyse-Weiterbildung von Distart deckt die zentralen Kompetenzbereiche ab, die für die Umsetzung von §30 BSIG relevant sind. Über das Qualifizierungschancengesetz übernimmt die Agentur für Arbeit bis zu 100 % der Weiterbildungskosten. Als ersten Schritt empfehlen wir ein kostenfreies Beratungsgespräch bei Distart, um die Förderfähigkeit zu klären und den passenden Kurs zu finden.
.png)