NIS2-Umsetzungsgesetz: Cybersicherheit als unternehmerische Führungsaufgabe und verpflichtende Schulung der Geschäftsleitung

Einführung und regulatorischer Hintergrund

Mit der Umsetzung der europäischen Richtlinie zur Netz- und Informationssicherheit (NIS-2) in deutsches Recht durch das sogenannte NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist ein grundlegender Wandel im Bereich der Informationssicherheit eingetreten. Das Gesetz ist am 06. Dezember 2025 in Kraft getreten und stellt einen zentralen Baustein der europäischen Cybersecurity-Regulierung dar.

Ziel des Gesetzgebers ist es, ein durchgängig hohes Sicherheitsniveau für Netz- und Informationssysteme sicherzustellen und damit die Widerstandsfähigkeit von Unternehmen und öffentlichen Einrichtungen gegenüber Cyberangriffen nachhaltig zu stärken. Im Zuge dessen wird der Kreis der regulierten Unternehmen erheblich erweitert. Während zuvor insbesondere Betreiber kritischer Infrastrukturen erfasst waren, fallen nun mehrere zehntausend Unternehmen unterschiedlicher Branchen unter die neuen Regelungen.

Die neuen Pflichten gelten unmittelbar ab Inkrafttreten des Gesetzes und erfordern ein hohes Maß an organisatorischer und rechtlicher Anpassung. Unternehmen sind damit verpflichtet, bestehende Sicherheitsstrukturen zu überprüfen und ggf. umfassend weiterzuentwickeln.

Erweiterter Anwendungsbereich und steigende Compliance-Anforderungen

Die NIS-2-Regulierung erfasst eine Vielzahl von Organisationen, die als „wichtige“ oder „besonders wichtige Einrichtungen“ klassifiziert werden. Maßgeblich hierfür sind insbesondere Kriterien wie Unternehmensgröße, wirtschaftliche Bedeutung sowie die Zugehörigkeit zu bestimmten kritischen oder relevanten Sektoren.

Mit dieser Ausweitung geht ein erheblicher Anstieg der regulatorischen Anforderungen einher. Unternehmen müssen insbesondere:

• ein strukturiertes Risikomanagement im Bereich der Informationssicherheit implementieren,
• Sicherheitsvorfälle fristgerecht melden,
• sich bei der zuständigen Aufsichtsbehörde registrieren sowie
• umfassende organisatorische und technische Maßnahmen zur Sicherstellung der IT-Sicherheit einführen und dokumentieren.

Diese Pflichten greifen unmittelbar ineinander und sind Teil eines ganzheitlichen Ansatzes zur Erhöhung der Cyberresilienz. Die Einhaltung dieser Anforderungen wird durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) überwacht.

Cybersicherheit als nicht delegierbare Leitungsaufgabe

Ein wesentliches Novum der NIS-2-Umsetzung liegt in der klaren Verlagerung der Verantwortung auf die oberste Unternehmensebene. Die Geschäftsleitung ist ausdrücklich verpflichtet, die erforderlichen Maßnahmen zur Informationssicherheit nicht nur zu veranlassen, sondern auch aktiv umzusetzen und deren Einhaltung zu überwachen.

Damit wird Cybersicherheit zu einer originären Führungsaufgabe, die nicht mehr ausschließlich an IT-Abteilungen oder externe Dienstleister delegiert werden kann. Vielmehr ist sie integraler Bestandteil der Unternehmenssteuerung sowie des Risikomanagements.

Diese Entwicklung spiegelt sich auch in der gesetzlichen Ausgestaltung wider: Die Mitglieder der Geschäftsleitung tragen eine persönliche Verantwortung für die Einhaltung der gesetzlichen Vorgaben. Bei schuldhaften Pflichtverstößen kann dies zu einer persönlichen Haftung nach den allgemeinen gesellschaftsrechtlichen Regelungen führen.

Die NIS-2-Richtlinie etabliert damit ein Governance-Modell, das Cybersicherheit auf eine Ebene mit anderen zentralen Unternehmenspflichten hebt, wie etwa dem Finanz- oder Nachhaltigkeitsmanagement.

Verpflichtende Schulung der Geschäftsleitung

Ein weiterer zentraler Baustein der neuen Regulierung ist die Einführung einer gesetzlichen Schulungspflicht für Mitglieder der Geschäftsleitung. Diese Verpflichtung ergibt sich aus § 38 Abs. 3 des novellierten BSI-Gesetzes und stellt einen wesentlichen Bestandteil der Compliance-Anforderungen dar.

Ziel der Schulungspflicht ist es, sicherzustellen, dass die Geschäftsleitung über ausreichende Kenntnisse verfügt, um:

• Risiken im Bereich der Informationssicherheit zu erkennen und zu bewerten,
• geeignete Risikomanagementmaßnahmen zu verstehen und umzusetzen sowie
• die Auswirkungen von Cyberrisiken auf die Geschäftstätigkeit einschätzen zu können.

Die Schulungspflicht steht dabei in engem Zusammenhang mit der erweiterten Verantwortlichkeit der Geschäftsleitung. Sie soll verhindern, dass sich Führungskräfte im Schadensfall auf mangelnde Fachkenntnis berufen können. Vielmehr wird erwartet, dass sie in der Lage sind, fundierte Entscheidungen im Bereich der IT-Sicherheit zu treffen und entsprechende Maßnahmen zu steuern. 

Die konkrete Ausgestaltung der Schulungen – etwa hinsichtlich Inhalt, Umfang und Durchführung – orientiert sich an den Vorgaben und Empfehlungen des BSI. Diese beinhalten insbesondere Themen wie Risikomanagement, Incident Response, gesetzliche Meldepflichten sowie grundlegende Sicherheitskonzepte. 

Haftungsrisiken und Sanktionen bei Verstößen

Die Verstärkung der Leitungsverantwortung geht mit einer erheblichen Verschärfung der Haftungsrisiken einher. Verstöße gegen die gesetzlichen Pflichten können nicht nur zu erheblichen Bußgeldern für das Unternehmen führen, sondern auch persönliche Konsequenzen für die Mitglieder der Geschäftsleitung haben.

Neben finanziellen Sanktionen können auch weitergehende Maßnahmen wie behördliche Anordnungen oder Einschränkungen der Geschäftstätigkeit in Betracht kommen. Dies unterstreicht die hohe Relevanz der Einhaltung der gesetzlichen Vorgaben und die Notwendigkeit eines funktionierenden Compliance-Systems im Bereich der Informationssicherheit.

Unternehmen sind daher gut beraten, frühzeitig geeignete Governance-Strukturen zu implementieren, interne Verantwortlichkeiten klar zu definieren und die erforderlichen Schulungs- und Sensibilisierungsmaßnahmen konsequent umzusetzen.

Praktische Herausforderungen und Handlungsbedarf

Die Umsetzung der NIS-2-Anforderungen stellt viele Unternehmen vor erhebliche praktische Herausforderungen. Insbesondere mittelständische Unternehmen, die bislang nicht von vergleichbaren Regelungen betroffen waren, müssen ihre internen Prozesse teilweise grundlegend neu ausrichten.

Zu den zentralen Handlungsfeldern zählen:

• die Durchführung einer Betroffenheitsanalyse,
• der Aufbau eines strukturierten Informationssicherheitsmanagementsystems,
• die Etablierung klarer Verantwortlichkeiten auf Leitungsebene,
• die Implementierung von Melde- und Dokumentationsprozessen sowie
• die regelmäßige Schulung und Sensibilisierung aller relevanten Personengruppen.

Darüber hinaus ist es erforderlich, die Maßnahmen kontinuierlich zu überprüfen und an sich verändernde Bedrohungslagen anzupassen. Die NIS-2-Regulierung versteht sich insoweit nicht als einmalige Umstellung, sondern als dauerhafter Prozess der Weiterentwicklung der Informationssicherheit.

Quelle

https://www.datenschutzticker.de/2026/05/nis2umsucg-cybersicherheit-als-chefsache-und-die-neue-schulungspflicht-der-geschaeftsleitung/ (zuletzt abgerufen am 19.06.2026)