NIS-2 für Geschäftsführer: Das Wichtigste in 10 Minuten

Sie müssen NIS-2 nicht im Detail kennen — aber Sie können die Verantwortung dafür nicht delegieren. Dieser Beitrag ist die Zusammenfassung für die Leitungsebene: was gilt, was Sie persönlich betrifft und welche Fragen Sie Ihrem Haus jetzt stellen sollten.

Die Lage in vier Sätzen

NIS-2 ist die EU-Richtlinie zur Cybersicherheit; in Deutschland gilt sie über das NIS2-Umsetzungsgesetz, in Kraft seit Dezember 2025. Betroffen sind Unternehmen in 18 Sektoren ab 50 Mitarbeitenden oder 10 Mio. € Umsatz — in Deutschland geschätzt rund 29.500. Betroffene müssen sich selbst beim BSI registrieren, Mindestmaßnahmen umsetzen und Vorfälle binnen 24 Stunden melden. Bei Verstößen drohen Bußgelder bis 10 Mio. € bzw. 2 % des weltweiten Umsatzes — und die Geschäftsleitung steht persönlich in der Pflicht.

Was Sie persönlich betrifft

Drei Pflichten adressieren ausdrücklich die Leitung: Sie müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Kommen Sie dem nicht nach, kann Sie das persönlich treffen — Details in unserem Beitrag zur Haftung der Geschäftsleitung. Praktisch heißt das: Cybersicherheit gehört wiederkehrend auf die Agenda der Geschäftsführung, mit Beschluss und Protokoll — nicht als IT-Randnotiz.

Die fünf Fragen an Ihr Haus

1. Sind wir betroffen — und als was? Schriftliche Feststellung mit Begründung. (Erste Einordnung: unser 2-Minuten-Check.)
2. Sind wir beim BSI registriert? Wenn nein: Es gibt keine Aufforderung — die Frist läuft trotzdem.
3. Könnten wir einen Vorfall in 24 Stunden melden? Wer macht es, worüber, mit welchen Zugängen — auch nachts, auch wenn die IT steht?
4. Wo stehen wir bei den zehn Mindestmaßnahmen? Ampel-Übersicht reicht für den Anfang — aber ehrlich. (Die Checkliste.)
5. Was verlangen unsere Kunden — und was verlangen wir von Lieferanten? NIS-2 wirkt über Verträge in beide Richtungen.

Wenn Ihr Team diese fünf Fragen klar beantworten kann, sind Sie weiter als die meisten. Wenn nicht, wissen Sie jetzt, wo Sie anfangen.

Der 90-Tage-Fahrplan

Tage 1–14: Klarheit. Betroffenheit feststellen und dokumentieren, Verantwortlichen benennen, BSI-Registrierung anstoßen.

Tage 15–45: Fundament. Gap-Analyse gegen die zehn Maßnahmenbereiche; die kritischen Basics zuerst absichern: getestete Backups, MFA auf Fernzugriffen und Admin-Konten, Meldekette mit Vorlagen.

Tage 46–90: Struktur. Maßnahmenplan mit Terminen und Budget, von der Geschäftsleitung gebilligt; Schulungen terminieren (inklusive Leitung); Lieferanten-Anforderungen formulieren; eine erste Vorfall-Übung durchführen.

Danach ist NIS-2 kein Projekt mehr, sondern Routine: ein Reporting-Punkt pro Quartal, ein Übungstermin pro Jahr, ein gepflegter Maßnahmenplan.

Der ruhige Blick zum Schluss

NIS-2 verlangt nichts Exotisches — es verlangt, dass die Grundlagen nachweisbar funktionieren. Genau die Grundlagen, die Ihr Unternehmen auch ohne Gesetz vor dem teuersten Betriebsausfall seiner Geschichte schützen. Der erste Schritt dauert zwei Minuten: der kostenlose Betroffenheits-Check — und wenn Sie danach Unterstützung wollen, machen wir Sie NIS-2-ready.

Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Rechtsberatung.