Ein Ransomware-Angriff legt die Produktion lahm, Kundendaten tauchen im Netz auf, die Buchhaltung kann tagelang keine Rechnungen schreiben: Solche Szenarien sind für viele Mittelständler keine Theorie mehr. Cybersicherheit entscheidet heute darüber, ob ein Unternehmen lieferfähig bleibt – und sie ist längst eine Pflicht der Geschäftsleitung.
Mit dem deutschen Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie hat sich der Rahmen deutlich verschärft. Dieser Report zeigt dir den Stand im Herbst 2026, erklärt die Haftung der Leitungsebene und nennt die Maßnahmen, mit denen du die Cybersicherheit deines Unternehmens wirksam verbesserst.
Warum Cybersicherheit Chefsache ist
Cybersicherheit ist Chefsache, weil Angriffe auf IT-Systeme heute unmittelbar den Geschäftsbetrieb, die Liquidität und die Reputation treffen. Zudem verpflichtet das reformierte BSI-Gesetz die Geschäftsleitung betroffener Unternehmen, Risikomanagementmaßnahmen umzusetzen, zu überwachen und sich regelmäßig schulen zu lassen. Delegieren lässt sich die Umsetzung, die Verantwortung nicht.
Wie groß das Risiko ist, zeigt die Studie Wirtschaftsschutz 2026 des Digitalverbands Bitkom. Demnach entstand der deutschen Wirtschaft durch Datendiebstahl, Spionage und Sabotage zuletzt ein Schaden von rund 211 Milliarden Euro. Der weitaus größte Teil geht auf Cyberangriffe zurück.
Für Mittelständler ist die Lage besonders heikel. Sie sind digital eng mit Kunden und Lieferanten verflochten, verfügen aber oft nicht über eigene Sicherheitsteams. Angreifer nutzen genau diese Lücke – häufig über gestohlene Zugangsdaten, Phishing-Mails oder ungepatchte Systeme.
NIS2 in Deutschland: der Stand im Oktober 2026
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Es ändert vor allem das BSI-Gesetz und erweitert den Kreis der regulierten Unternehmen erheblich. Nach gängigen Schätzungen fallen rund 29.500 Unternehmen in Deutschland unter die neuen Regeln, deutlich mehr als unter dem bisherigen KRITIS-Regime.
Wer betroffen ist
Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Maßgeblich sind der Sektor und die Unternehmensgröße. Erfasst sind zahlreiche Branchen, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, Chemie, Lebensmittel, Abfallwirtschaft, Post- und Kurierdienste sowie Teile des verarbeitenden Gewerbes.
In der Regel betroffen sind mittlere und große Unternehmen in diesen Sektoren, also ab 50 Beschäftigten oder mit mehr als zehn Millionen Euro Jahresumsatz und Bilanzsumme. Einige Anbieter, etwa im Bereich DNS oder Telekommunikation, fallen unabhängig von ihrer Größe darunter. Eine erste Einschätzung liefert die anonyme NIS-2-Betroffenheitsprüfung des BSI.
Registrierung und Meldepflichten
Betroffene Unternehmen müssen sich beim BSI registrieren. Die gesetzliche Frist ist inzwischen abgelaufen, wie das BSI auf seiner Informationsseite für NIS-2-regulierte Unternehmen betont. Wer sich noch nicht registriert hat, sollte das umgehend über das BSI-Portal nachholen.
Seit dem Inkrafttreten gelten zudem strenge Meldepflichten für erhebliche Sicherheitsvorfälle. Das BSI nennt drei Stufen:
- Frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis des Vorfalls
- Folgemeldung innerhalb von 72 Stunden mit einer ersten Bewertung
- Abschlussmeldung spätestens einen Monat nach der Meldung, sofern der Vorfall beendet ist
Diese Fristen sind Höchstgrenzen. Sie funktionieren nur, wenn Zuständigkeiten, Meldewege und Entscheidungsbefugnisse vorher geklärt sind – mitten in einer Krise ist dafür keine Zeit.
Parallel können weitere Meldepflichten greifen. Sind personenbezogene Daten betroffen, verlangt die Datenschutz-Grundverordnung in der Regel eine Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden. Auch Versicherer, Banken und Großkunden erwarten oft eine zeitnahe Information. Ein abgestimmter Meldeplan verhindert, dass im Ernstfall Fristen übersehen werden oder widersprüchliche Aussagen nach außen dringen.
Welche Maßnahmen das Gesetz verlangt
Betroffene Unternehmen müssen geeignete und verhältnismäßige Maßnahmen zum Risikomanagement ergreifen. Die NIS-2-Richtlinie nennt dafür eine Reihe von Mindestbereichen, die sich im deutschen Recht wiederfinden:
- Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen sowie Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette und bei Beschaffung, Entwicklung und Wartung von IT
- Schulungen zur Cybersicherheit und grundlegende Cyberhygiene
- Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung
Haftung der Geschäftsleitung: was das BSI-Gesetz regelt
Das reformierte BSI-Gesetz nimmt die Leitungsebene ausdrücklich in die Pflicht. Geschäftsführer und Vorstände betroffener Unternehmen müssen die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Verletzen sie diese Pflichten, haften sie nach den gesellschaftsrechtlichen Regeln gegenüber ihrem Unternehmen.
Hinzu kommt eine Schulungspflicht: Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Cyberrisiken erkennen und Maßnahmen bewerten zu können. Für Verstöße gegen die Pflichten des Gesetzes sieht es zudem empfindliche Bußgelder vor, bei besonders wichtigen Einrichtungen bis zu zehn Millionen Euro, bei sehr großen Unternehmen bis zu zwei Prozent des weltweiten Jahresumsatzes.
Auch Unternehmen, die nicht direkt unter NIS2 fallen, sollten das Thema ernst nehmen. Die allgemeinen Sorgfaltspflichten von Geschäftsführern gelten unabhängig davon. Zudem geben regulierte Kunden ihre Anforderungen über die Lieferkette weiter. Lass dich im Einzelfall rechtlich beraten, welche Pflichten für dein Unternehmen gelten.
Sieben Maßnahmen für mehr Cybersicherheit im Mittelstand
Wirksame Cybersicherheit beginnt nicht mit teurer Software, sondern mit klaren Prioritäten. Die folgenden Maßnahmen orientieren sich an den Anforderungen von NIS2 und an bewährter Praxis. Sie helfen auch Unternehmen, die nicht reguliert sind.
- Risikoanalyse durchführen: Erfasse, welche Systeme, Daten und Prozesse geschäftskritisch sind und welche Bedrohungen realistisch sind.
- Verantwortung festlegen: Benenne eine zuständige Person für Informationssicherheit und verankere das Thema in der Geschäftsleitung.
- Zugänge absichern: Führe Multi-Faktor-Authentifizierung für E-Mail, Fernzugriff und Cloud-Dienste ein und vergib Rechte nach dem Minimalprinzip.
- Systeme aktuell halten: Spiele Sicherheitsupdates zeitnah ein und ersetze Software, für die es keine Updates mehr gibt.
- Backups testen: Sichere Daten regelmäßig, bewahre mindestens eine Kopie getrennt vom Netzwerk auf und übe die Wiederherstellung.
- Beschäftigte sensibilisieren: Trainiere den Umgang mit Phishing, Social Engineering und gefälschten Zahlungsanweisungen.
- Notfallplan aufstellen: Lege fest, wer im Ernstfall entscheidet, wer meldet und wie der Betrieb notfalls ohne IT weiterläuft.
Unterstützung für kleinere Betriebe
Nicht jedes Unternehmen kann sich ein eigenes Sicherheitsteam leisten. Für kleine und kleinste Unternehmen hat ein Konsortium unter Leitung des BSI deshalb den CyberRisikoCheck nach DIN SPEC 27076 entwickelt. Dabei befragt ein IT-Dienstleister die Geschäftsführung in ein bis zwei Stunden zu 27 Anforderungen aus sechs Themenbereichen.
Das Ergebnis ist ein Bericht mit priorisierten Handlungsempfehlungen. Er eignet sich gut als Einstieg, um die eigene Cybersicherheit realistisch einzuschätzen und die nächsten Schritte zu planen.
Lieferkette und Dienstleister einbeziehen
Viele Angriffe kommen über Dritte: einen IT-Dienstleister mit Fernwartungszugang, eine kompromittierte Software oder einen gehackten Lieferanten. NIS2 verlangt deshalb auch, die Sicherheit der Lieferkette zu berücksichtigen. Prüfe, welche Partner Zugriff auf deine Systeme haben, und regle Sicherheitsanforderungen vertraglich.
Das gilt besonders, wenn du Daten mit Partnern teilst. Wie sich Informationen kontrolliert austauschen lassen, beschreibt unser Beitrag über Datenräume. Auch bei einem ERP-Wechsel oder neuen Cloud-Diensten gehören Sicherheitsfragen von Anfang an ins Lastenheft.
Praxisszenario: Cybersicherheit in einem Zulieferbetrieb
Wie die Maßnahmen zusammenwirken, zeigt ein typisches Szenario. Ein Automobilzulieferer mit 180 Beschäftigten stellt fest, dass er als Teil des verarbeitenden Gewerbes voraussichtlich unter NIS2 fällt. Gleichzeitig verlangen seine Großkunden Nachweise zur Informationssicherheit.
Die Geschäftsführung beauftragt zunächst eine Risikoanalyse und benennt eine Verantwortliche für Informationssicherheit. Innerhalb weniger Monate führt das Unternehmen Multi-Faktor-Authentifizierung ein, trennt Produktions- und Büronetz und testet die Wiederherstellung aus Backups. Ein externer Dienstleister übernimmt die Überwachung außerhalb der Geschäftszeiten.
Parallel lassen sich Geschäftsführer und Prokuristen schulen und üben einmal im Jahr einen simulierten Angriff. Der Aufwand ist spürbar, doch das Unternehmen kann gegenüber Kunden, Versicherern und Behörden belegen, dass es seine Cybersicherheit systematisch steuert.
Der Ernstfall: Wenn die Cybersicherheit versagt
Absolute Sicherheit gibt es nicht. Entscheidend ist, wie schnell du einen Angriff erkennst, eindämmst und den Betrieb wiederherstellst. Unternehmen mit eingeübtem Notfallplan kommen erfahrungsgemäß deutlich schneller zurück in den Normalbetrieb.
Für die ersten Stunden nach einem Angriff hat sich diese Reihenfolge bewährt:
- Betroffene Systeme vom Netz trennen, aber nicht ausschalten, damit Spuren erhalten bleiben.
- Krisenstab einberufen und externe Spezialisten für Vorfallsbehandlung hinzuziehen.
- Meldepflichten prüfen: BSI bei NIS2-Betroffenheit, Datenschutzbehörde bei Verletzung personenbezogener Daten.
- Kunden, Lieferanten und Beschäftigte informieren – ehrlich, aber abgestimmt.
- Wiederanlauf aus sauberen Backups planen und Ursachen beseitigen, bevor Systeme zurück ins Netz gehen.
Gerade die Kommunikation entscheidet darüber, ob Vertrauen erhalten bleibt. Wie du dich darauf vorbereitest, zeigt unser Beitrag zur Krisenkommunikation, die lange vor dem Ernstfall beginnt.
Cybersicherheit steuern: Kennzahlen, Budget und Aufsicht
Was die Geschäftsleitung nicht misst, kann sie nicht überwachen. Lass dir deshalb regelmäßig über den Stand der Cybersicherheit berichten, so wie über Umsatz oder Liquidität. Sinnvolle Kennzahlen sind zum Beispiel:
- Anteil der Konten mit Multi-Faktor-Authentifizierung
- Zeit zwischen Veröffentlichung und Einspielen kritischer Sicherheitsupdates
- Ergebnis des letzten Wiederherstellungstests aus dem Backup
- Quote erkannter Phishing-Simulationen in der Belegschaft
- Anzahl offener Feststellungen aus Audits oder Penetrationstests
Auch Kontrollgremien rücken das Thema stärker in den Fokus. Wer einen Aufsichtsrat oder Beirat hat, sollte Cybersicherheit als festen Tagesordnungspunkt etablieren. Das schafft Transparenz und dokumentiert, dass die Leitung ihrer Überwachungspflicht nachkommt.
Beim Budget hilft eine nüchterne Rechnung: Was kostet ein Tag Stillstand in Produktion, Vertrieb und Verwaltung? Dieser Betrag zeigt, wie viel Prävention wirtschaftlich sinnvoll ist. Ergänzend kann eine Cyberversicherung Restrisiken abfedern, ersetzt aber keine eigenen Schutzmaßnahmen.
Fazit: Cybersicherheit als Daueraufgabe der Führung
Mit NIS2 ist Cybersicherheit für viele Unternehmen von einer IT-Frage zu einer gesetzlichen Leitungspflicht geworden. Prüfe, ob dein Unternehmen betroffen ist, hole eine fehlende Registrierung nach und verankere Risikomanagement, Meldewege und Schulungen in der Organisation.
Doch auch ohne gesetzliche Pflicht lohnt sich der Aufwand. Gute Cybersicherheit schützt Umsatz, Kundenbeziehungen und den Ruf deines Unternehmens. Sie ist keine einmalige Investition, sondern eine Daueraufgabe – und die beginnt an der Spitze.
Häufige Fragen zur Cybersicherheit und NIS2
Was ist NIS2 und seit wann gilt es in Deutschland?
NIS2 ist eine EU-Richtlinie für ein hohes gemeinsames Niveau der Cybersicherheit. Deutschland hat sie mit dem NIS-2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist. Es ändert vor allem das BSI-Gesetz und verpflichtet deutlich mehr Unternehmen als bisher zu Risikomanagement, Registrierung und Meldung erheblicher Sicherheitsvorfälle.
Welche Unternehmen sind von NIS2 betroffen?
Betroffen sind vor allem mittlere und große Unternehmen in den im Gesetz genannten Sektoren, etwa Energie, Transport, Gesundheit, digitale Infrastruktur, Chemie, Lebensmittel oder Teile der Industrie. Als Faustregel gelten 50 Beschäftigte oder mehr als zehn Millionen Euro Umsatz und Bilanzsumme. Die anonyme Betroffenheitsprüfung des BSI gibt eine erste Orientierung.
Wie haftet die Geschäftsleitung bei Verstößen?
Die Geschäftsleitung betroffener Unternehmen muss Maßnahmen zur Cybersicherheit umsetzen und überwachen. Verletzt sie diese Pflichten, haftet sie nach den gesellschaftsrechtlichen Regeln gegenüber dem Unternehmen. Hinzu kommt eine Pflicht zu regelmäßigen Schulungen. Welche Risiken konkret bestehen, hängt vom Einzelfall ab, daher lohnt sich eine rechtliche Beratung.
Wann muss ein Sicherheitsvorfall gemeldet werden?
Erhebliche Sicherheitsvorfälle müssen NIS2-betroffene Unternehmen dem BSI in drei Stufen melden: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Folgemeldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Die Fristen sind Höchstgrenzen, Meldewege sollten deshalb vorab festgelegt sein.
Welche Maßnahmen zur Cybersicherheit haben Priorität?
Den größten Effekt haben meist Grundlagen: eine Risikoanalyse, klare Verantwortlichkeiten, Multi-Faktor-Authentifizierung, zeitnahe Sicherheitsupdates, getestete Backups mit einer vom Netz getrennten Kopie, Schulungen der Beschäftigten und ein eingeübter Notfallplan. Diese Maßnahmen schützen auch Unternehmen, die nicht direkt unter NIS2 fallen.
Warum sollten auch nicht regulierte Unternehmen in Cybersicherheit investieren?
Angreifer unterscheiden nicht zwischen regulierten und nicht regulierten Firmen. Ein erfolgreicher Angriff kann Produktion, Vertrieb und Buchhaltung tagelang lahmlegen und Kundenbeziehungen belasten. Zudem geben regulierte Kunden ihre Sicherheitsanforderungen über die Lieferkette weiter, und Versicherer fragen Schutzmaßnahmen ab. Gute Cybersicherheit ist deshalb auch ein Wettbewerbsfaktor.
