Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft. Rund 29.500 Unternehmen in Deutschland fallen damit unter das neue BSI-Gesetz, viele davon zum ersten Mal. Die Registrierung beim BSI hätte bereits im Frühjahr 2026 erfolgen müssen, und ein großer Teil der Betroffenen hat sie erst spät oder noch gar nicht erledigt. Das eigentliche Thema liegt aber eine Ebene höher: NIS2 macht Cybersicherheit zur persönlichen Aufgabe der Geschäftsleitung.
Was § 38 BSIG verlangt
Die Geschäftsleitung einer wichtigen oder besonders wichtigen Einrichtung muss die Risikomanagementmaßnahmen nach § 30 BSIG billigen und ihre Umsetzung überwachen. Diese Pflicht kann sie nicht an die IT oder an externe Dienstleister delegieren. Verletzt sie ihre Pflichten, haftet sie der Einrichtung gegenüber nach den gesellschaftsrechtlichen Regeln, also im Zweifel persönlich.
Dazu kommt eine ausdrückliche Schulungspflicht: Geschäftsleiterinnen und Geschäftsleiter müssen regelmäßig an Schulungen teilnehmen, um Risiken erkennen und Risikomanagementpraktiken beurteilen zu können. Gemeint ist kein Technikkurs. Es geht darum, die richtigen Fragen stellen und Antworten der IT einordnen zu können.
Worauf es in der Praxis ankommt
Aus unseren Prüfungen und Projekten sehen wir immer wieder dieselben Lücken. Die gute Nachricht: Sie lassen sich mit überschaubarem Aufwand schließen.
- Betroffenheit dokumentieren. Halten Sie schriftlich fest, ob und warum Ihr Unternehmen unter NIS2 fällt. Auch ein begründetes „nicht betroffen“ gehört in die Akte.
- Registrierung prüfen. Lassen Sie sich die BSI-Registrierung bestätigen. Fehlt sie, holen Sie sie sofort nach. Das Bußgeld für eine fehlende Registrierung ist deutlich niedriger als für fehlende Maßnahmen, aber vermeidbar.
- Maßnahmen billigen, nicht nur abnicken. Lassen Sie sich die Risikomanagementmaßnahmen vorstellen und beschließen Sie sie formal. Ein Vorstands- oder Geschäftsführungsbeschluss ist Ihr wichtigster Nachweis.
- Überwachung organisieren. Legen Sie fest, wie oft und in welcher Form Sie berichtet bekommen: Umsetzungsstand, offene Risiken, Sicherheitsvorfälle, Ergebnisse von Audits.
- Meldewege üben. Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als Meldung beim BSI eingehen. Das funktioniert nur, wenn vorher klar ist, wer entscheidet und wer meldet.
Bußgelder sind nicht das größte Risiko
Für besonders wichtige Einrichtungen sind Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes möglich. In der Praxis wiegt etwas anderes schwerer: Nach einem Cyberangriff fragen Aufsichtsrat, Versicherer und Insolvenzverwalter, ob die Geschäftsleitung ihre Pflichten erfüllt hat. Wer dann Beschlüsse, Berichte und Schulungsnachweise vorlegen kann, steht deutlich besser da.
Unser Tipp
Planen Sie die Schulung der Geschäftsleitung nicht als einmaliges Pflichtprogramm, sondern als festen Termin im Jahr. Zwei Stunden mit einem klaren Überblick über Pflichten, aktuelle Bedrohungen und den Stand im eigenen Haus sind wirksamer als ein Tagesseminar, das nach drei Monaten vergessen ist.
Wenn Sie beim Aufbau oder der Prüfung Ihres ISMS Unterstützung brauchen, hilft Ihnen unser Partner GRC Factory mit Beratung und Prüfung. Die laufende Betreuung als externer ISB übernimmt blu Guard.
Passende Seminare der GRC Akademie
- NIS2 für die Geschäftsleitung – Pflichten, Haftung und Schulung nach § 38 BSIG
Webinar, 2 Stunden · nächster Termin Di 19.01.2027 · 249 € zzgl. USt. (Frühbucher 199 €) - NIS2: Bin ich betroffen und was ist bis wann zu tun?
Webinar, 2 Stunden · nächster Termin Di 12.01.2027 · 249 € zzgl. USt. (Frühbucher 199 €) - NIS2 und ISMS praxisnah umsetzen – vom Betroffenheitscheck zur GAP-Analyse
Seminar, 1,5 Tage · nächster Termin Mi 03.03.2027 · 790 € zzgl. USt.
Alle Themen bieten wir auch als Inhouse-Schulung für Ihr Team an. Den vollständigen Kalender finden Sie in der Übersicht der Online-Seminare.