Du führst ein Unternehmen. Du trägst Verantwortung. Und du hast vielleicht gehört, dass da seit Ende 2025 ein neues Gesetz gilt, das sich NIS-2 nennt. Vielleicht hast du es auch auf LinkedIn gesehen, kurz weitergescrollt und gedacht, dass ist doch IT-Kram, das macht meine Technik-Abteilung. Das ist ein teurer Irrtum. Denn NIS-2 macht dich als Geschäftsführer persönlich haftbar, und zwar mit deinem Privatvermögen.
Was NIS-2 überhaupt ist und warum du jetzt betroffen bist
NIS-2 ist die europäische Richtlinie zur Netz- und Informationssicherheit in ihrer zweiten Fassung. In Deutschland wurde sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt, das am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten ist. Damit gilt es sofort, vollständig und für alle betroffenen Unternehmen gleichzeitig.
Die Reichweite dieses Gesetzes ist deutlich größer, als die meisten Geschäftsführer ahnen. Bislang waren in Deutschland rund 4.500 Organisationen von den Vorgängerregelungen erfasst. Mit NIS-2 stieg diese Zahl auf rund 29.500 bis 30.000 Unternehmen in 18 Sektoren. Betroffen bist du grundsätzlich dann, wenn dein Unternehmen in einem der regulierten Sektoren tätig ist und mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz beziehungsweise eine Bilanzsumme von über 10 Millionen Euro aufweist.
Die 18 Sektoren umfassen zwei Kategorien. Elf Sektoren hoher Kritikalität, zu denen unter anderem Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung zählen. Und sieben weitere kritische Sektoren wie Lebensmittelproduktion, Maschinenbau, Chemie und verarbeitendes Gewerbe.
Ein häufiges Missverständnis, das teuer werden kann! Auch wer Zulieferer eines NIS-2-betroffenen Unternehmens ist, kann indirekt in den Anwendungsbereich fallen, selbst wenn die eigenen Schwellenwerte nicht erreicht werden.
Die drei Pflichten, die du als Geschäftsführer persönlich erfüllen musst
NIS-2 ist kein Gesetz, das an die IT-Abteilung delegiert werden kann. Das Gesetz schreibt ausdrücklich fest, dass die Geschäftsleitung persönlich für die Umsetzung verantwortlich ist. Nicht der IT-Leiter, nicht der externe Dienstleister, nicht der Datenschutzbeauftragte.
Erstens | Registrierungspflicht. Alle am 6. Dezember 2025 betroffenen Einrichtungen sollten sich ursprünglich bis zum 6. März 2026 über das BSI-Melde- und Informationsportal (MIP) registrieren. Diese Frist wurde jedoch nur von einem Bruchteil der Unternehmen eingehalten. Bis Ende Mai 2026 hatten sich erst rund 18.500 von geschätzt 29.500 betroffenen Unternehmen registriert. Das BSI hat daraufhin die praktische Nachfrist bis zum 31. Juli 2026 verlängert. Wer noch nicht registriert ist, sollte das jetzt vorrangig nachholen. Der zeitliche Puffer ist real, aber er läuft in Kürze aus, und eine Straffreiheit für die verspätete Erstregistrierung ist damit nicht verbunden.
Zweitens | Risikomanagement nach § 30 BSIG. Das Gesetz schreibt konkrete Maßnahmen vor! Risikoanalyse, Sicherheitsrichtlinien, Notfallpläne, Incident Management und Kontrolle der Lieferkette. Unternehmen, die sich zwar registrieren, aber diese Maßnahmen nicht nachweisbar umsetzen, riskieren dennoch erhebliche Bußgelder.
Drittens | Meldepflicht für Sicherheitsvorfälle nach § 32 BSIG. Bei einem erheblichen Sicherheitsvorfall greift eine sehr enge Meldefrist. Innerhalb von 24 Stunden nach Kenntnisnahme muss eine Frühwarnung an das BSI erfolgen. Innerhalb von 72 Stunden folgt eine detailliertere Zwischenmeldung. Diese Fristen gelten ab sofort, unabhängig davon, ob die vollständige Umsetzung bereits abgeschlossen ist.
Alle Serviceleistungen und Kontaktmöglichkeiten rund um Substanzschutz, Unternehmerhaftung und strategische Finanzplanung findest du hier: https://www.kay-rogalla.de/linktree/
Was auf dem Spiel steht | Bußgelder, Berufsverbot und Privatvermögen
Jetzt wird es ernst. NIS-2 hat das Sanktionsregime für Cybersicherheitsverstöße auf ein neues Niveau gehoben, das viele Unternehmer noch nicht eingepreist haben.
Für besonders wichtige Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Für wichtige Einrichtungen beträgt der Rahmen bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Verstöße gegen die Registrierungspflicht und die Nichtbefolgung von BSI-Anordnungen sind zusätzlich mit gestaffelten Einzelbußgeldern belegt.
Der entscheidende Punkt für dich als Geschäftsführer ist jedoch § 38 BSIG. Er begründet eine persönliche Innenhaftung gegenüber der eigenen Gesellschaft. Verletzt du deine Pflichten schuldhaft, kann dich dein Unternehmen, oder im Insolvenzfall der Insolvenzverwalter, auf Schadensersatz in Regress nehmen. Ein Bußgeld zahlt zunächst zwar das Unternehmen, dieses kann sich den Betrag aber anschließend bei dir persönlich zurückholen. Ein gesellschaftsrechtlicher Haftungsverzicht schützt hier nicht, denn das BSIG schließt einen Verzicht auf Regressansprüche ausdrücklich aus. Eine D&O-Versicherung kann einen Teil dieses Risikos abfedern, deckt aber typischerweise keine Bußgelder und auch eine klassische Cyberversicherung schließt Bußgelder in den meisten Policen explizit aus.
Darüber hinaus kann das BSI bei besonders wichtigen Einrichtungen gemäß § 61 BSIG in Extremfällen ein befristetes Berufsverbot für verantwortliche Leitungspersonen aussprechen. Eine Maßnahme, die laut Gesetzesbegründung ausdrücklich nur in Ausnahmefällen greifen soll.
Faktenkasten | NIS-2 auf einen Blick
- Inkrafttreten: 6. Dezember 2025, ohne Übergangsfrist (Quelle: Bundesgesetzblatt, NIS2UmsuCG)
- Betroffene Unternehmen in Deutschland: rund 29.500 bis 30.000 in 18 Sektoren (Quelle: BSI, Secjur)
- BSI-Registrierungsfrist: ursprünglich 6. März 2026, vom BSI faktisch verlängert bis 31. Juli 2026 (Stand: nur rund 63 % registriert, Ende Mai 2026)
- Bußgelder besonders wichtige Einrichtungen: bis zu 10 Mio. Euro oder 2 % Jahresumsatz (§ 65 BSIG)
- Bußgelder wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 % Jahresumsatz (§ 65 BSIG)
- Persönliche Haftung: Geschäftsführer nach § 38 BSIG, kein Verzicht möglich
- Meldefrist bei erheblichem Vorfall: Frühwarnung innerhalb 24 Stunden, Zwischenmeldung innerhalb 72 Stunden (§ 32 BSIG)
- Nachweis für besonders wichtige Einrichtungen: innerhalb von 3 Jahren, also bis Dezember 2028 (§ 30 BSIG)
Erste konkrete Schritte, die du jetzt angehen solltest
Auch wenn die ursprüngliche Registrierungsfrist bereits verstrichen ist, gilt weiterhin, dass jeder Tag, an dem nichts passiert, das Haftungsrisiko erhöht, zumal das BSI die Nachfrist nur bis zum 31. Juli 2026 toleriert. Ob das BSI danach zuerst in den Sektoren Energie, Gesundheit und digitale Infrastruktur prüft, ist naheliegend, aber nicht offiziell bestätigt. Sicher ist jedoch, dass es sich systematisch durch alle 18 Sektoren vorarbeiten wird.
Hier ist, womit du anfangen solltest
- Betroffenheitsprüfung durchführen: Das BSI bietet selbst eine erste Einschätzungsmöglichkeit an. Prüfe Sektor, Mitarbeiterzahl und Umsatz. Auch Konzernverflechtungen sind dabei zu berücksichtigen, denn ein häufiger Fehler ist, isolierte GmbH-Zahlen anzusetzen statt konsolidierter Gruppenwerte.
- Beim BSI-Portal registrieren: Das Melde- und Informationsportal ist unter mip.bsi.bund.de erreichbar. Wer noch nicht registriert ist, sollte das unverzüglich nachholen. Eine Nachregistrierung mindert das Risiko, verschafft aber keine Straffreiheit rückwirkend.
- Geschäftsleitungsbeschluss dokumentieren: Ein protokollierter Beschluss, der die Maßnahmen nach § 30 BSIG adressiert, ist im Ernstfall das wichtigste Beweismittel zur Abwehr persönlicher Haftungsansprüche.
- Schulung der Geschäftsführung wahrnehmen: Die Schulungspflicht nach § 38 Abs. 3 BSIG ist nicht delegierbar. Du musst persönlich teilnehmen und die Teilnahme dokumentieren.
- Fachliche Begleitung einbeziehen: Ein belastbares Informationssicherheitsmanagementsystem (ISMS) deckt nach Experteneinschätzung rund 70 bis 80 Prozent der NIS-2-Anforderungen ab. Die verbleibenden Lücken, insbesondere bei Meldepflichten und Geschäftsführerhaftung, erfordern rechtliche und finanzielle Expertise.
FAQ
Was ist NIS-2 und wen betrifft es konkret? NIS-2 ist das europäische Cybersicherheitsgesetz, das in Deutschland seit dem 6. Dezember 2025 als NIS2UmsuCG in Kraft ist. Es verpflichtet rund 30.000 Unternehmen in 18 Sektoren zu Registrierung, Risikomanagement und Meldepflichten, sofern sie mindestens 50 Mitarbeiter oder über 10 Millionen Euro Umsatz aufweisen. Auch Zulieferer betroffener Unternehmen können indirekt erfasst sein.
Welche persönlichen Konsequenzen drohen dem Geschäftsführer? § 38 BSIG legt die persönliche Haftung der Geschäftsleitung fest. Bei Pflichtverstößen kann der Geschäftsführer mit seinem Privatvermögen in Regress genommen werden. Ein vertraglicher Haftungsverzicht ist gesetzlich ausgeschlossen. Darüber hinaus kann das BSI bei schweren Verstößen ein Berufsverbot für Führungskräfte verhängen.
Was passiert, wenn die Registrierungsfrist bereits verpasst wurde? Die ursprüngliche Frist zum 6. März 2026 ist verstrichen, das BSI toleriert Nachmeldungen aber faktisch bis zum 31. Juli 2026. Betroffene Unternehmen sollten die Registrierung dennoch umgehend nachholen, da nach Ablauf dieser Nachfrist verstärkt mit Durchsetzungsmaßnahmen zu rechnen ist. Juristische Begleitung ist in diesem Fall ausdrücklich empfohlen.
Was das mit deiner Vermögensarchitektur zu tun hat
Hier liegt der Punkt, der selten offen ausgesprochen wird. NIS-2 ist nicht nur ein IT-Thema. Es ist ein Vermögensschutzthema. Wer als Geschäftsführer persönlich haftet, riskiert im Ernstfall nicht nur das Unternehmen, sondern auch das privat aufgebaute Vermögen. Vorsorge und Schutzstrukturen, die du innerhalb deiner Vermögensarchitektur (VA)® aufgebaut hast, können durch eine einzige versäumte Compliance-Pflicht angegriffen werden.
Das System der Vermögensarchitektur (VA)® denkt genau solche Schnittstellen mit. Kapitalbeschaffung, Sicherung, Mehrung, Anlage und Übertragung sind fünf Stufen, die nur dann wirklich greifen, wenn die rechtliche und haftungsrechtliche Basis solide ist. NIS-2 ist ein Beispiel dafür, wie schnell regulatorische Veränderungen die Basis ins Wanken bringen können, wenn man sie nicht im Blick hat.
„Erst die Bildung über Vermögen ermöglicht die Bildung von Vermögen“
Hör auch in meinen Podcast rein, wo ich genau solche Themen regelmäßig bespreche https://www.kay-rogalla.de/podcast-deine-vermoegensarchitektur-talk/
Du willst prüfen, ob dein Unternehmen betroffen ist und wie du dich und dein Privatvermögen absichern kannst? Vereinbare jetzt ein kostenfreies Erstgespräch: https://www.kay-rogalla.de/kontakt
Bis bald und beste Grüße dein Kay B. Rogalla #kuemmerdich
Teile das Wissen jetzt, HIER!
Haftungsausschluss
Die in diesem Beitrag enthaltenen Informationen dienen der allgemeinen Bildung, Information und Inspiration. Sie ersetzen keine individuelle Anlage-, Steuer- oder Rechtsberatung und können eine persönliche Beratung nicht ersetzen. Die Nutzung der Inhalte erfolgt auf eigenes Risiko. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Vollständigkeit, Richtigkeit und Aktualität. Für eventuelle Schäden oder Verluste, die direkt oder indirekt aus der Nutzung entstehen, übernehmen wir keine Haftung.
Für den Inhalt externer Links übernehmen wir keine Verantwortung; hierfür sind ausschließlich deren Betreiber verantwortlich. Sofern dieser Beitrag Partnerlinks enthält, können wir bei einem Kauf oder einer Buchung über diese Links eine Provision erhalten – ohne zusätzliche Kosten für Sie. Die Entscheidung zur Nutzung dieser Links liegt vollständig bei Ihnen. Unsere Inhalte basieren auf über 20 Jahren Erfahrung und mehrfach international ausgezeichnetem Fachwissen. Wir arbeiten unabhängig – frei von Verkaufsdruck durch Banken oder Versicherungen – und geben Ihnen Impulse, um informierte Entscheidungen zu treffen.
Wir verstehen, dass Finanzentscheidungen mit Verantwortung verbunden sind – deshalb setzen wir auf Transparenz, Sicherheit und nachvollziehbare Empfehlungen. Jede finanzielle Situation ist einzigartig. Gern prüfen wir gemeinsam, wie sich die Inhalte optimal auf Ihre persönliche Lage übertragen lassen. Vereinbaren Sie dafür einfach ein unverbindliches Gespräch.
Unsere Inhalte sind auf deutsche Rechts- und Marktverhältnisse ausgerichtet. Internationale Sachverhalte prüfen wir im Einzelfall gesondert. Wir beobachten die Märkte laufend und aktualisieren unsere Inhalte regelmäßig – oft bevor relevante Änderungen in den Nachrichten erscheinen.
