NIS2 verständlich: Was die Geschäftsführung jetzt wissen muss

Viele Geschäftsführer haben „NIS2“ schon gehört, ordnen es aber als technisches Thema ein, das die IT-Abteilung regelt. Das ist ein Trugschluss: Die EU-Richtlinie und ihre deutsche Umsetzung verlagern die Verantwortung ausdrücklich auf die Leitungsebene.

Was ist NIS2 – kurz gefasst?

NIS2 ist eine EU-Richtlinie zur Erhöhung der Cybersicherheit. In Deutschland wurde sie mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das seit dem 6. Dezember 2025 in Kraft ist – ohne Übergangsfrist. Sie verpflichtet betroffene Organisationen zu einem angemessenen Risikomanagement, zu Meldepflichten bei Vorfällen und zur Nachweisbarkeit der getroffenen Maßnahmen.

Warum es die Geschäftsführung persönlich betrifft

Der entscheidende Unterschied zu früheren Regelungen: Die Leitungsebene haftet persönlich für die Umsetzung und Überwachung der Risikomanagementmaßnahmen. Bußgelder können bis zu 10 Mio. € bzw. 2 % des weltweiten Jahresumsatzes betragen. Die Pflicht lässt sich nicht vollständig delegieren – die Verantwortung bleibt oben.

Bin ich überhaupt betroffen?

Betroffen sind in Deutschland rund 29.500 Unternehmen in 18 Sektoren – deutlich mehr als unter der bisherigen KRITIS-Regulierung. Ob Ihr Unternehmen darunterfällt, hängt von Sektor und Größe ab. Auch wer nicht direkt betroffen ist, gerät häufig indirekt in die Pflicht – etwa als Zulieferer eines betroffenen Unternehmens, das Nachweise entlang seiner Lieferkette verlangt.

Unser Rat: Klären Sie Ihre Betroffenheit früh und dokumentiert, statt abzuwarten.

Lieferkette: NIS2 betrifft auch indirekt Beteiligte

Ein oft übersehener Punkt macht NIS2 für deutlich mehr Unternehmen relevant, als die reine Betroffenheitsliste vermuten lässt: NIS2 verpflichtet die betroffenen Unternehmen ausdrücklich dazu, Risiken in ihrer Lieferkette und bei ihren Dienstleistern zu bewerten und zu steuern. Die Richtlinie nennt die „Supply Chain Security“ sogar ausdrücklich als Pflichtbestandteil des Cyber-Risikomanagements.

Das bedeutet zweierlei: Erstens können sich betroffene Unternehmen nicht einfach darauf berufen, dass ein Sicherheitsvorfall bei einem externen Dienstleister entstanden ist – die Verantwortung für das Lieferkettenrisiko bleibt bei ihnen. Zweitens geben diese Unternehmen die Anforderungen in der Praxis an ihre Zulieferer und IT-Dienstleister weiter, etwa über Verträge, Fragebögen oder Sicherheitsnachweise.

Wer also an einen regulierten Kunden liefert oder dessen IT betreut, sollte seine eigene Sicherheit – inklusive Firewall und deren nachweisbarem Betrieb – auf ein angemessenes Niveau bringen, auch ohne selbst direkt unter NIS2 zu fallen.

Welche Rolle spielt die Firewall?

NIS2 fordert technische und organisatorische Maßnahmen. Mehrere davon betreffen unmittelbar die Firewall: Netzwerksicherheit und Segmentierung, kontrollierte Zugriffe, verschlüsselte Verbindungen, Monitoring sowie ein geregelter Umgang mit Sicherheitsvorfällen. Eine moderne, gepflegte Firewall ist damit einer der zentralen technischen Bausteine – vorausgesetzt, ihr Betrieb ist nachweisbar: aktuelle Firmware, dokumentierte Regeln, Protokolle.

Was Sie jetzt tun sollten

1. Betroffenheit prüfen und das Ergebnis dokumentieren.
2. Den Ist-Zustand Ihrer Sicherheitsmaßnahmen ehrlich bewerten – inklusive Firewall.
3. Lücken priorisieren und mit einem realistischen Fahrplan schließen.
4. Maßnahmen so umsetzen, dass sie belegbar sind – Nachweis ist Teil der Pflicht.

Hinweis: Dieser Beitrag dient der Orientierung und ersetzt keine Rechtsberatung. Stand der Angaben: Anfang 2026.