Registrierung Login
RegistrierungLogin
Ausbildung zum zertifizierten Datenschutzbeauftragten
Breadcrumb-Navigation
Abo

Aufsatz : Cybersicherheitsregulierung nach NIS-2: Chance oder bürokratische Überforderung? : aus der RDV 5/2026, Seite 242 bis 246

Die Umsetzung der NIS-2-Richtlinie durch das BSIG bringt für betroffene Einrichtungen eine Vielzahl neuer Pflichten mit sich, die in der Praxis teilweise als erheblicher bürokratischer Aufwand wahrgenommen werden. Der Beitrag untersucht, ob diese Pflichten tatsächlich eine unnötige Belastung darstellen oder vielmehr einen wesentlichen Beitrag zur Erhöhung der Cyberresilienz leisten. Ausgehend von der zunehmenden Bedrohungslage und den erheblichen wirtschaftlichen und gesellschaftlichen Schäden durch Cyberangriffe werden Pflichten in den Kontext der beabsichtigten Regulierungsziele gesetzt. Dabei zeigt sich, dass die Pflichten untereinander eng miteinander verzahnt sind und auf die Ziele der NIS-2-Richtlinie einzahlen. Der Beitrag kommt zu dem Ergebnis, dass die NIS-2-Vorgaben trotz des mit ihrer Umsetzung verbundenen Aufwands nicht als bloße Bürokratie verstanden werden sollten. Vielmehr bilden sie einen wesentlichen Bestandteil einer resilienten Sicherheitsarchitektur für Gesellschaft und Wirtschaft und können gerade für die betroffenen Unternehmen einen wichtigen Beitrag zur Vermeidung existenzbedrohender Schäden leisten.

Dr. Judith NinkAufsätze
Lesezeit 15 Min.

I. Einleitung

Knapp ein Jahr nach dem Inkrafttreten des NIS-2-Umsetzungsgesetzes[1] am 6.12.2025 ist ein guter Zeitpunkt für einen genaueren Blick, ob und inwieweit die damit verbundenen Pflichten für betroffene Einrichtungen geeignet sind, die beabsichtigten Ziele zu erreichen oder diese nur bürokratisch belasten.

Besonders wichtige Einrichtungen sollen durch die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union („NIS-2-Richtlinie“ (RL (EU) 2022/2555))[2]resilienter gegen Cyberangriffe werden und dadurch Cyberangriffe verhindert, Angreifer abgeschreckt und die Reaktionsfähigkeiten auf Angriffe verbessert werden.[3] Herzstück der Regulierung zur Erreichung der Ziele sind dabei die Risikomanagementmaßnahmen, die betroffene Einrichtungen umsetzen müssen, § 30 BSIG (II. 1.), flankiert u.a. durch ein fristengebundenes gestuftes Melderegime für erhebliche Sicherheitsvorfälle, § 32 BSIG (II. 2.), die Pflicht zur Registrierung beim BSI, §§ 33, 34 BSG (II. 3.), sowie der expliziten Verpflichtung der Leitungsebene, §§ 38, 43 BSIG (II. 4.). Betroffene Einrichtungen müssen zudem die Einhaltung ihrer Pflichten dokumentieren, §§ 30 Abs. 1 S. 3 BSIG, und nachweisen, § 39 BSIG (für Betreiber kritischer Anlagen), §  61 Abs.  3 BSIG (besonders wichtige Einrichtungen auf Anordnung), § 62 i.V.m. § 61 Abs. 3 BSIG (wichtige Einrichtungen anlassbezogen auf Anordnung).

Gerade die Fristen des Melderegimes, die Registrierungspflicht sowie die Dokumentations- und Nachweispflichten werden durch die Wirtschaft als Bürokratie und teils unnötiger Aufwand empfunden.[4]Hinzu kommt, dass IT- und Cybersicherheit in der Vergangenheit in der rechtlichen Regulatorik ein stiefmütterliches Dasein geführt haben. Daher haben zum Beispiel viele Informationssicherheitsbeauftragte in der Vergangenheit häufig um ihr Mandat im Unternehmen und eine direkte Berichtslinie in die Leitung kämpfen müssen. Die in den letzten Jahren durch die EU verabschiedeten Rechtsakte zur Cybersicherheit (siehe I. 2.) haben dies binnen kurzer Zeit komplett verändert. Cybersicherheit ist nun auch in rechtlichen Fokus geraten und das direkt mit einer Fülle an Gesetzen, die zahlreiche Pflichten mit sich bringen. Das kann Unternehmen verständlicherweise vor Herausforderungen stellen und auch zu Überforderung und Ärger über (vermeintliche) Bürokratie führen.

Tatsächlich ist Regulierung aber erforderlich, um Gesellschaft und Wirtschaft zu schützen. Die Bedrohungslage ist extrem gewachsen, Angriffe werden immer mehr und erfolgreicher und die wirtschaftlichen und gesellschaftlichen Schäden sind gravierend (I. 1.). Die breite Masse der Unternehmen hat sich ohne Regulierung in der Vergangenheit nicht ausreichend abgesichert. Insofern dienen die Pflichten aus der NIS-2-Richtlinie auch dem Selbstschutz der betroffenen Unternehmen. Betrachtet man die Pflichten im Kontext des jeweiligen Sinns und Zwecks, wird deutlich, dass diese miteinander verzahnt und keineswegs bloße Bürokratie sind (II.).

1. Die Bedrohungslage und Schäden

Die Cybersicherheitslage ist seit vielen Jahren angespannt und bleibt es auf hohem Niveau.[5] Insbesondere die Anzahl der Bedrohungen sowie der erfolgreichen Angriffe[6] nimmt zu. Viele Unternehmen haben aber immer noch starken Nachholbedarf bei der Implementierung von (Cyber-) Sicherheitsschutzmaßnahmen.[7] Kritisch ist die zunehmende Bedeutung KI-gestützter Angriffe,[8]die nicht nur die Zahl der Täter erhöht, sondern auch die Effektivität und die Geschwindigkeit. Gleichzeitig setzen bislang nur wenige Unternehmen selbst Künstliche Intelligenz zur Abwehr von Cyberangriffen ein.[9]

Die jüngsten Cyberangriffe auf Wasserwerke (kritische Infrastrukturen) in mehreren US-Bundesstaaten zeigen, dass es immer wieder bereits an den elementaren Grundlagen der IT-Sicherheit fehlt. Betroffen waren über 100 Wasserwerke, alle mit der gleichen Ursache:[10] Die Wasserwerke haben ihre Steuergeräte ungeschützt ins Internet gestellt. Die Angreifer verschafften sich über das Internet Fernzugriff auf ungeschützte Steuerungen, änderten danach IP-Adressen und Passwörter, mit der Konsequenz, dass die Techniker vor Ort keine Überwachungs- und Steuerungsfähigkeiten mehr hatten. Dies wiederum hatte Druckabfälle – mit dem Risiko, dass unbehandeltes Grundwasser in das Rohrnetz einsickern kann – im Leitungsnetz und Überflutungen zur Folge. Die gesellschaftliche Dimension dieser Angriffe ist offensichtlich.

Dass es häufig bereits an den elementarsten Grundlagen der IT-Sicherheit fehlt, bestätigen auch jüngste Messungen des BSI. Danach haben nur 1,8% der deutschen Webseiten eine der niedrigschwelligsten IT-Sicherheitsmaßnahmen überhaupt, nämlich die Textdatei security.txt,[11]implementiert.[12] Laut der BITKOM Studie Wirtschaftsschutz verfügen 59% der befragten Unternehmen über ein Notfallmanagement, 41% haben keine Präventionsmaßnahmen ergriffen.[13] Nach der TÜV Cybersecurity Studie 2025 testen nur knapp ¼ aller befragten Unternehmen den Ernstfall.[14]Hier zeigt sich bereits ein starkes Gefälle. Selbst wenn man positiv davon ausgehen wollte, dass der Wert im Median aller deutschen Unternehmen in der Mitte liegt, ist das Ergebnis desaströs: Ohne Notfallmanagement dürfte es, z.B. im Falle einer Verschlüsselung der Systeme durch einen Ransomwareangriff,[15]sehr schwer werden, schnell wieder operational zu werden. Je länger die Wiederherstellung der Operationalität dauert, desto größer ist das Risiko, dass betroffene Unternehmen die Attacke wirtschaftlich nicht durchstehen werden. Auch die wirtschaftlichen Folgen für Deutschland können je nach Menge und/oder Kritikalität der betroffenen Unternehmen gravierend sein.

Betrachtet man die wirtschaftlichen Schäden von Cyberangriffen ergibt sich ein besorgniserregendes Bild.[16]Laut einer Studie der PWC wurden in den Jahren 2022-2025 neun von zehn der befragten Unternehmen (in Deutschland 262) Opfer eines Cyberangriffs. Dabei lagen die Schäden bei 47 % der betroffenen Unternehmen bei bis zu 1 Mio. US-Dollar, bei 16 % zwischen 1 und 10 Mio. US-Dollar und bei 11 % bei mehr als 10 Mio. US-Dollar.

Ein verbreiteter Irrglaube, insbesondere bei kleinen und mittleren Unternehmen (KMU) ist, zu denken, man sei zu klein und/oder zu uninteressant für Angreifer.[17] Das ist nicht der Fall. Angreifer schauen vor allem, wo sie leicht Zugriff erhalten können. Gerade KMU werden „meist nicht zielgerichtet zum Opfer, sondern werden von großflächig und automatisiert durchgeführten Angriffen getroffen“.[18] Im Jahr 2025 richteten sich bspw. rund 80 % der angezeigten Angriffe, zum Beispiel mit Ransomware, gegen KMU.[19]

2. NIS-2 im Kontext europäischer Cybersicherheitsregulierung

Die NIS-2-Richtlinie sollte stets im Kontext der europäischen Cybersicherheitsstrategie[20] betrachtet werden, die das Ziel hat, der angespannten Bedrohungslage Resilienz entgegenzusetzen und dadurch gesellschaftliche und wirtschaftliche Folgen abzuwenden oder zumindest in Grenzen zu halten. Die NIS-2-Richtlinie ist dabei ein Baustein aus dem europäischen Cybersicherheits-Rechtsrahmen. Dieser umfasst:

  1. den Cyber Resilience Act (CRA, (EU) 2024/2847), der als digitaler Zwilling der NIS-2-Richtlinie die Sicherheit bei Produkten mit digitalen Elementen regelt,
  2. die NIS-2-Richtlinie,
  3. den Digital Operational Resilience Act (DORA, (EU) 2022/2054), der als lex specialis zur NIS-2-Richtlinie die Cybersicherheit und operationale Resilienz im Finanzsektor regelt, sowie
  4. den Cyber Solidarity Act ((EU) 2025/38), der die Zusammenarbeit der Mitgliedstaaten im Bereich der Cybersicherheit reguliert.

Übergeordnet steht der Cyber Security Act ((EU) 2019/881), der mit Definitionen, Regelungen zur ENISA und Zertifizierungen grundlegende Regelungen im Bereich der Cybersicherheit enthält. Im AI-Act (2024/1689) finden sich zudem Cybersicherheitsvorschriften für Hochrisiko-KI-Systeme und die im KRITISDachG umgesetzte CER-Richtlinie (2022/2557) regelt die physische Sicherheit bei kritischen Infrastrukturen. Letztere ist lex specialis zur NIS-2-Richtlinie. Die NIS-2-Richtlinie schützt Netz- und Informationssysteme sowie die Verfügbarkeit, Integrität und Vertraulichkeit der von ihnen verarbeiteten Daten und Dienste, Art. 21 Abs. 1 NIS-2-RL/§ 30 Abs. 1 BSIG.

II. Die Pflichten im Detail

Betroffene Unternehmen haben im Wesentlichen die folgenden Pflichten:

  1. Sie müssen einen Katalog an Risikomanagementmaßnahmen umsetzen. Der Katalog stellt ein Minimum an Maßnahmen dar, die jede Einrichtung umsetzen muss. Die Intensität der Maßnahmen orientiert sich aber am Risiko der jeweiligen Einrichtung, § 30 BSIG.
  2. Sie müssen einen Prozess für die Meldung erheblicher Sicherheitsvorfälle nach einem dreistufigen Melderegime implementieren, § 32 BSIG.
  3. Geschäftsleitungen müssen sich und ihre Mitarbeitenden ausreichend im Bereich der Cybersicherheit fortbilden und schulen, denn sie tragen die Verantwortung für die Implementierung der Risikomanagementmaßnahmen, § 38 BSIG.
  4. Betroffene Einrichtungen müssen sich beim BSI registrieren, §§ 33, 34 BSIG.

Damit einher gehen Dokumentations- sowie (teils auf Anforderung) Nachweispflichten der betroffenen Einrichtungen.

1. Risikomanagementmaßnahmen

Die Risikomanagementmaßnahmen dienen dem Ziel, das Ausmaß von Sicherheitsvorfällen, die jede Einrichtung früher oder später treffen könnten – soweit möglich –, beherrschbar zu halten.[21] § 30 BSIG ist, wie auch die Vorlage in Art. 21 NIS-2-RL, technikneutral formuliert und basiert auf einem risikobasierten Ansatz.

a) Die Maßnahmen im Einzelnen

Nach § 30 Abs. 2 S. 2 BSIG müssen die Maßnahmen mindestens folgendes umfassen:

  1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
  2. Bewältigung von Sicherheitsvorfällen,
  3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
  4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
  5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
  6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
  7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
  8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
  9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
  10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Geht man die Liste sorgfältig durch, handelt es sich hierbei um nichts anderes als grundlegende Maßnahmen der IT-Sicherheit sowie wichtige Konzepte und Prozesse, die essenziell für eine Basisabsicherung sind. Betrachtet man die Bedrohungslage und die Schadensrisiken (s. I. 1.), ist die Umsetzung auch aus wirtschaftlicher Perspektive unerlässlich. Die Einhaltung gesetzlicher Pflichten, insbesondere im Bereich des Risikomanagements, ist häufig sogar eine Obliegenheit für den Abschluss von Cyberversicherungen.[22] Viele Unternehmen starten auch nicht bei null. ISMS, ISO/IEC-27001-Zertifizierungen oder Datenschutzprozesse können bereits wichtige Bausteine liefern.[23] Die Dokumentationspflichten nach § 30 Abs. 1 S. 3 BSIG dienen dabei zum einen der Nachvollziehbarkeit, was genau implementiert wurde und sind damit Voraussetzung für eine ordnungsgemäße Überwachung. Zum anderen können sie auch dem Nachweis gegenüber Aufsichtsbehörden für die Erfüllung der Pflichten aus dem BSIG dienen. Die Implementierung der angemessenen Risikomanagementmaßnahmen ist daher ein Baustein zum wirtschaftlichen Überleben von Unternehmen und eine Art Versicherung.

b) Der risikobasierte Ansatz

Die durch jede betroffene Einrichtung verpflichtend zu implementierenden Risikomanagementmaßnahmen können je Einrichtungsart hinsichtlich Ausgestaltung, Tiefe und Intensität ihrer Umsetzung variieren. Maßgeblich sind nach §  30 Abs.  1 S. 2 BSIG Risikoexposition, Unternehmensgröße, Umsetzungskosten sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Haben Einrichtungen eine höhere Risikoexposition oder sind sie von systemischer Bedeutung müssen sie ein entsprechend höheres Schutzniveau gewährleisten.[24]So ist sichergestellt, dass Einrichtungen nicht überfordert werden.[25] Flankiert wird der risikobasierte Ansatz durch den gefahrenübergreifenden Ansatz in §  30 Abs.  1 S. 1 BSIG, der den Blick auf relevante Risiken reduziert. Zusammen sichern sie ein verhältnismäßiges und kohärentes Sicherheitsniveau,[26] das mit Augenmaß elementare Maßnahmen der Cybersicherheit von betroffenen Einrichtungen verlangt.

2. Meldepflichten

§ 32 BSIG verpflichtet betroffene Einrichtungen, dem BSI nach einem dreistufigen Melderegime erhebliche Sicherheitsvorfälle, § 2 Nr. 11 i.V.m. Nr. 40 BSIG, zu melden. Der Gesetzgeber knüpft die drei Meldungsstufen an unterschiedlich kurze Fristen und verlangt dabei einen unterschiedlichen Detailgrad (vom Verdacht bis zur Abschlussmeldung).[27]

Meldepflichten, insbesondere die kurzen Fristen, werden teils als Bürokratie empfunden. Tatsächlich sind sie aber ein Grundpfeiler der mit der NIS-2-Richtlinie beabsichtigten Ziele, Cyberangriffe zu verhindern und die Reaktionsfähigkeiten auf Angriffe zu verbessern. Die Meldungen ermöglichen es dem BSI, Vorfälle zu sammeln, auszuwerten und miteinander in Beziehung zu setzen, um bspw. erkennen zu können, ob eine bestimmte Schwachstelle, Schadsoftware oder Angriffsmethode gleichzeitig mehrere Organisationen oder Branchen betrifft. Mit diesen Informationen kann das BSI zum einen ein Lagebild zur Sicherheit in der Informationstechnik erstellen, zum anderen kann es aber vor allem andere betroffene Organisationen informieren, warnen und relevante Informationen weitergeben. Denn Angriffe auf eine bestimmte Organisation können Erkenntnisse liefern, die dabei helfen, ähnliche Angriffe auf andere Organisationen zu verhindern.

Die Meldepflicht hat damit sowohl eine gesellschaftliche als auch wirtschaftliche Dimension. Denn wenn Angriffe auf andere Organisationen verhindert werden, bleiben die Schäden gesamtpolitisch überschaubar. Damit Warnungen auch rechtzeitig erfolgen können, muss das BSI selbstverständlich auch frühestmöglich einbezogen werden, so dass die kurzen Fristen sinnvoll und notwendig sind.

3. Registrierung

Nach § 33 Abs. 1 BSIG sind betroffene Einrichtungen innerhalb von drei Monaten verpflichtet, sich beim BSI zu registrieren und bestimmte Angaben, wie Informationen zur Einrichtung und zu ihren Tätigkeitsbereichen, zu übermitteln. Die Registrierung schafft damit zunächst Transparenz darüber, wer überhaupt reguliert ist. Das wiederum ist essenziell, damit das BSI betroffene Einrichtungen erreichen und ihnen bspw. Warnungen und Informationen zu erheblichen Sicherheitsvorfällen übermitteln kann. Die Registrierungspflicht ist daher zum einen Voraussetzung für die effektive Wahrnehmung der staatlichen Cyberabwehraufgaben und zum anderen notwendig, um die Ziele, Cyberangriffe zu verhindern und die Reaktionsfähigkeiten auf Angriffe zu verbessern, überhaupt erreichen zu können.

4. Geschäftsleitungen

§ 38 Abs.  1 BSIG verpflichtet die Geschäftsleitung, §  2 Nr. 13 BSIG, betroffener Einrichtungen, die Risikomanagementmaßnahmen aus §  30 BSIG umzusetzen und deren Umsetzung zu überwachen. Um dieser Pflicht in ausreichendem Maße gerecht zu werden, flankiert der Gesetzgeber die Umsetzungs- und Überwachungsverantwortung mit der Pflicht, „regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können“, § 38 Abs. 3 BSIG.

Selbstverständlich können Geschäftsleitungen die Umsetzung der Risikomanagementmaßnahmen delegieren, sie müssen aber die allgemeinen Anforderungen an Auswahl und Kontrolle beachten.[28] Nicht delegierbar ist die Schulungspflicht. Denn andernfalls kann die Geschäftsleitung ihren Überwachungspflichten aus § 38 Abs. 1 BSIG nicht nachkommen. Zudem sind die Kenntnisse auch erforderlich, um ausreichend Ressourcen und Mittel in eine angemessene Implementierung von Cybersicherheit zu allokieren. Die Schulungspflicht kann sogar als Schutz für die Geschäftsleitung betrachtet werden. Denn kommt die Geschäftsleitung ihren Pflichten nicht nach, haftet sie ihrer Organisation gegenüber persönlich für etwaige Schäden nach den allgemeinen Vorschriften, § 38 Abs. 2 BSIG i.V.m. § 91 AktG/§ 43 GmbHG, dh unter Anwendung der Business Judgement Rule.[29]

Cybersicherheit zur Chef- und Chefinnensache zu machen, ist ein wichtiger Hebel, um Einrichtungen tatsächlich cyberresilienter zu machen. Denn ohne ausreichende Unterstützung auf höchster Ebene, besteht das Risiko, dass Cybersicherheit nicht ernst (genug) genommen wird und die Einrichtung nicht die erforderlichen Ressourcen und Mittel bereitstellt.

III. Fazit

Die im BSIG umgesetzten Pflichten aus der NIS-2-Richtlinie sind keine bloße Bürokratie und auch nicht auf Überforderung der Einrichtungen angelegt, sondern sinnvolle aufeinander abgestimmte Pflichten, mit dem Ziel Deutschland gesellschaftlich und wirtschaftlich cyberresilienter zu machen. Für viele Unternehmen bedeutet dies verständlicherweise Aufwand, der gerade bei KMU auch neuer Aufwand sein wird. Dieser Aufwand ist aber notwendig, um die Wirtschaft und Gesellschaft nicht zu belasten und/ oder nachhaltig zu schädigen. Für Unternehmen selbst kann die Umsetzung den Unterschied zwischen weiterem Bestehen und wirtschaftlichen Ruin bedeuten.

Um die Erfüllung einfacherer zu machen, stellt das BSI zahlreiche Hilfestellungen zur Verfügung, schafft Awareness und unterstützt die Wirtschaft.[30] Die Hilfestellungen werden fortlaufend aktualisiert und ergänzt. Wer nicht weiß, wo er beginnen soll, sollte mit einem Notfallplan starten (und diesen auch testen), damit er Fall eines erfolgreichen Angriffs noch handlungsfähig ist und weiß, wen er wie erreichen kann.[31]

Dr. Judith Nink
ist Fachbereichsleiterin Cybersicherheit
bei Unternehmen im BSI, Bonn.

[1] BGBl. 2025 I Nr. 301 vom 5.12.2025.

[2] RL (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14.12.2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der VO (EU) Nr. 910/2014 und der RL (EU) 2018/1972 sowie zur Aufhebung der RL (EU) 2016/1148, ABl. L 333, 80 v. 27.12.2022.

[3] Https://digital-strategy.ec.europa.eu/en/factpages/cybersecurity.

[4] S. z.B. DIHK, Stellungnahme zur NIS2-Umsetzung, 30.9.2025, abrufbar unter: https://www.dihk.de/de/newsroom/dihk-zur-nis2-umsetzung-mehr-klarheit-weniger-buerokratie-starke-cybersicherheitsstrukturen-157466.

[5] BSI, Die Lage der IT-Sicherheit in Deutschland 2025, abrufbar unter: https://medien.bsi.bund.de/lagebericht/de/zusammenfassung-und-bewertung/. Im Rahmen einer Bitkom Studie gaben insgesamt 97 % der befragten Unternehmen im Jahr 2025 an, innerhalb der letzten zwölf Monate von Diebstahl, Industriespionage oder Sabotage betroffen oder vermutlich betroffen gewesen zu sein. Davon betrafen 73 % der Angriffe digitale Sabotage von Informations- und Produktionssystemen oder Betriebsabläufen, Bitkom Wirtschaftsschutz 2025, S. 10 f., abrufbar unter: https://www.bitkom.org/GGTSPU-5537757d40cc219a90368-6056301-qztvTCCG4BXyDWeO-LOD/sites/main/files/2025-12/bitkomstudienbericht-wirtschaftsschutz-2025_2.pdf.

[6] TÜV, Cybersicherheit in deutschen Unternehmen, Cybersecurity Studie 2025, S. 17.

[7] Bspw. haben nur 6 von 10 Unternehmen einen Notfallplan: Bitkom Wirtschaftsschutz 2025, S. 29, abrufbar unter: https://www.bitkom.org/GGTSPU5537757d40cc219a-90368-6056301-qztvTCCG4BXyDWeO-LOD/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025_2.pdf.

[8] Bitkom Wirtschaftsschutz 2025, S. 27, abrufbar unter: https://www.bitkom.org/GGTSPU-5537757d40cc219a-90368-6056301-qztvTCCG4BXyDWeO-LOD/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025_2.pdf.

[9] Im Jahr 2025 waren es unter den vom Bitkom befragten Unternehmen nur 4 von 10, Bitkom Wirtschaftsschutz 2025, S. 26, abrufbar unter: https://www.bitkom.org/GGTSPU-5537757d40cc219a-90368-6056301-qztvTCCG4BXyDWeO-LOD/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025_2.pdf.

[10] Details: Krempl, Cyberangriffe auf Wasserwerke in mehreren US-Bundesstaaten, 2.8.2026, abrufbar unter: https://www.heise.de/news/FBI-und-USUmweltbehoerde-warnen-Cyberangriffe-auf-US-Wasserwerke-haeufensich-11394614.html.

[11]  Webseitenbetreiber müssen nur einen konkreten Kontakt sowie das Ablaufdatum verpflichtend angeben. Darüber hinaus muss die Datei über den Pfad /.well-known/security.txt erreichbar sein. Damit sind bereits die wichtigsten Kriterien zu Umsetzung der security.txt erfüllt, Anleitung abrufbar unter: https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_149.html.

[12] BSI, Pressemitteilung v. 6.8.2026, abrufbar unter: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260806_security_txt.html.

[13] Bitkom Wirtschaftsschutz 2025, S. 29, abrufbar unter: https://www.bitkom.org/GGTSPU-5537757d40cc219a-90368-6056301-qztvTCCG4BXyDWeO-LOD/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025_2.pdf.

[14] TÜV, Cybersicherheit in deutschen Unternehmen, Cybersecurity Studie 2025, S. 32.

[15] Ransomware zählt nach wie vor zu den gefährlichsten Angriffsarten, da die Schadwirkungen mit direkten Datenverlust, Produktionsausfällen, Reputationsschäden und hohen Wiederherstellungskosten am gravierendsten sind: Bitkom Wirtschaftsschutz 2025, S. 20, abrufbar unter: https://www.bitkom.org/GGTSPU-5537757d40cc219a-90368-6056301-qztvTCCG4BXyDWeO-LOD/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025_2.pdf.

[16] PWC, Global Digital Trust Insights 2026 für Deutschland, abrufbar unter: https://www.pwc.de/de/cyber-security/digital-trust-insights.html.

[17] S. auch BMWE, Cybersicherheit im Mittelstand, abrufbar unter: https://www.bundeswirtschaftsministerium.de/Redaktion/DE/Dossier/cybersicherheit.html zu Handwerksbetrieben.

[18] BSI, Kleine- und Mittlere Unternehmen, abrufbar unter: https://www.bsi.bund.de/dok/KMU.

[19] BSI, Die Lage der IT-Sicherheit in Deutschland 2025, abrufbar unter: https://medien.bsi.bund.de/lagebericht/de/vorworte-und-fazit/.

[20]Https://digital-strategy.ec.europa.eu/en/policies/cybersecurity

[21] Nink, ZfPC 2025, 58 (64)

[22] SWK-Digitale Sicherheit/Nink, 42 Rn. 34.

[23] Ausf. Grochala/Nink, EuDiR 2026, i.E.

[24] Grochala/Nink, EuDiR 2026, i.E

[25] SWK-Digitale Sicherheit/Zaudig, 32 Rn. 21.

[26] Ausf. warum der risikobasierte Ansatz sinnvoll und richtig ist: Grochala/Nink, EuDiR 2026, i.E.

[27] Details s. auch SWK-Digitale Sicherheit/Rothkegel, 37 Rn. 50 ff.

[28] Nink, Das neue IT-Sicherheitsrecht, § 6 Rn. 4; SWK-Digitale Sicherheit/Zaudig 41 Rn. 4 ff.

[29] Ausf. Nink, Das neue IT-Sicherheitsrecht, § 6 Rn. 5; SWK-Digitale Sicherheit/ Zaudig 41 Rn. 24; Hornung/Schallbruch, IT-SicherheitsR-Hdb/Thalhofer §  16 Rn. 9 ff

[30]Https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/reguliertewirtschaft_node.html.

[31] Tipps zur Risikoanalyse: https://www.bsi.bund.de/dok/nis-2-risikoanalyse.

Lesen Sie weiter

Diese Beiträge könnten Sie ebenfalls interessieren.