Cybersecurity ist in Deutschland endgültig Chefsache geworden, und zwar nicht nur im übertragenen Sinn. Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Es verpflichtet die Geschäftsleitung von knapp 30.000 Unternehmen, Sicherheitsmaßnahmen selbst zu billigen, ihre Umsetzung zu überwachen und sich regelmäßig schulen zu lassen. Wenn du ein Unternehmen führst, erfährst du hier, ob du betroffen bist, was konkret auf dich zukommt und wie du aus der Pflicht einen echten Schutzschild machst.
Die Lage ist ernst. Nach der aktuellen Studie Wirtschaftsschutz 2026 des Digitalverbands Bitkom waren 96 Prozent der befragten Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen oder vermuten es. Der Schaden für die deutsche Wirtschaft liegt nach Hochrechnung des Verbands zwischen 211 und knapp 271 Milliarden Euro pro Jahr. Rund drei Viertel davon gehen auf Cyberangriffe zurück.
Was bedeutet Cybersecurity für Unternehmen?
Cybersecurity umfasst alle technischen, organisatorischen und personellen Maßnahmen, mit denen ein Unternehmen seine IT-Systeme, Daten und digitalen Prozesse vor Angriffen, Ausfällen und Missbrauch schützt. Dazu gehören Firewalls und Back-ups ebenso wie klare Zuständigkeiten, geschulte Mitarbeitende, Notfallpläne und die Kontrolle von Dienstleistern in der Lieferkette.
Der Begriff ist breiter als klassische IT-Sicherheit. Es geht nicht nur um Technik, sondern um Resilienz: die Fähigkeit, Angriffe zu erkennen, den Betrieb trotz Störung aufrechtzuerhalten und schnell wieder hochzufahren. Genau diesen Gedanken stellt die europäische NIS2-Richtlinie in den Mittelpunkt.
Für dich als Führungskraft heißt das: Sicherheit ist kein Projekt der IT-Abteilung, das irgendwann abgeschlossen ist. Cybersecurity ist ein Dauerprozess mit Budget, Kennzahlen und regelmäßiger Berichterstattung an die Geschäftsführung.
Ransomware und Co.: Warum Cybersecurity zur Existenzfrage wird
Die größte Gefahr für Unternehmen bleibt Ransomware. Dabei verschlüsseln Kriminelle Daten und Systeme und fordern Lösegeld, oft kombiniert mit der Drohung, gestohlene Daten zu veröffentlichen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft professionell organisierte Erpressergruppen in seinem Lagebericht als größte Bedrohung ein.
Die Bitkom-Zahlen für 2026 zeigen das Ausmaß:
45 Prozent der Unternehmen wurden Ziel eines Ransomware-Angriffs.
25 Prozent meldeten dadurch einen konkreten Schaden.
20 Prozent der Betroffenen haben Lösegeld gezahlt.
76 Prozent des Gesamtschadens entfallen auf Cyberangriffe, 2021 waren es noch 59 Prozent.
Angriffe, die sich zuordnen ließen, kamen am häufigsten aus China und Russland.
Besonders verwundbar sind kleine und mittlere Unternehmen. Diesen Betrieben fehlen laut BSI oft Ressourcen und Bewusstsein, um sich angemessen zu schützen. Gleichzeitig steigt die Zahl neu entdeckter Schwachstellen in Software weiter an. Die vollständigen Ergebnisse findest du in der Bitkom-Studie Wirtschaftsschutz 2026.
Ransomware bleibt die größte Bedrohung für Unternehmen in Deutschland.
Ein erfolgreicher Angriff kostet mehr als das Lösegeld. Produktionsstillstand, Lieferverzug, Vertragsstrafen, Wiederherstellung und Reputationsschäden summieren sich schnell auf ein Vielfaches. Für viele Mittelständler kann ein mehrwöchiger Ausfall die Liquidität ernsthaft gefährden.
NIS2 in Deutschland: Wer jetzt betroffen ist
Mit dem NIS2-Umsetzungsgesetz hat Deutschland das BSI-Gesetz (BSIG) grundlegend neu gefasst. Statt einiger Tausend Betreiber kritischer Infrastrukturen fallen nun deutlich mehr Unternehmen unter die Regulierung. Das Statistische Bundesamt hatte rund 29.500 betroffene Einrichtungen geschätzt.
Das Gesetz unterscheidet zwei Kategorien, abhängig von Sektor und Größe:
Besonders wichtige Einrichtungen: in der Regel ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und 43 Millionen Euro Bilanzsumme in Sektoren wie Energie, Transport, Gesundheit, Banken oder digitale Infrastruktur.
Wichtige Einrichtungen: in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme, zusätzlich in Sektoren wie Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, Post und digitale Dienste.
Einige Anbieter sind unabhängig von ihrer Größe erfasst, etwa bestimmte Anbieter digitaler Infrastruktur. Ob dein Unternehmen dazugehört, prüfst du am besten mit der Betroffenheitsprüfung des BSI. Weiterführende Informationen bietet die BSI-Themenseite für NIS-2-regulierte Unternehmen.
Registrierung: Die Fristen sind abgelaufen
Betroffene Unternehmen mussten sich bis zum 6. März 2026 beim BSI registrieren. Weil zu diesem Zeitpunkt ein Großteil fehlte, räumte das Amt eine Nachfrist bis zum 31. Juli 2026 ein. Inzwischen haben sich mehr als 19.000 Einrichtungen registriert. Wer jetzt noch fehlt, sollte die Registrierung sofort nachholen, denn das BSI behält sich Bußgeldverfahren ausdrücklich vor.
Die Geschäftsleitung haftet: Was § 38 BSIG verlangt
Der Kern der neuen Regeln steht in § 38 BSIG. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Diese Aufgabe kannst du nicht vollständig an die IT oder einen Dienstleister abgeben. Den Wortlaut findest du im § 38 BSIG auf gesetze-im-internet.de.
Verletzt du diese Pflichten schuldhaft und entsteht dem Unternehmen dadurch ein Schaden, haftest du nach den gesellschaftsrechtlichen Regeln persönlich, also etwa als GmbH-Geschäftsführer oder AG-Vorstand. Hinzu kommt eine Schulungspflicht: Du musst regelmäßig an Schulungen teilnehmen, um Risiken und Sicherheitsmaßnahmen selbst beurteilen zu können.
Auch die Bußgelder haben eine neue Dimension. Besonders wichtigen Einrichtungen drohen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Maßgeblich ist jeweils der höhere Betrag.
Wie Aufsichtsgremien diese Kontrolle sinnvoll begleiten können, zeigt unser Beitrag über den Unternehmensbeirat im Familienunternehmen. Ein Beirat mit IT-Kompetenz kann der Geschäftsführung kritische Fragen stellen, die intern oft untergehen.
Die 10 Pflichtmaßnahmen der Cybersecurity nach NIS2
Das Gesetz nennt in § 30 BSIG Mindestmaßnahmen, die betroffene Unternehmen umsetzen müssen. Die Maßnahmen folgen einem risikobasierten Ansatz, die Umsetzung muss also zur Größe und Gefährdung deines Unternehmens passen:
Risikoanalyse und Sicherheitskonzepte für alle Informationssysteme
Bewältigung von Sicherheitsvorfällen mit klaren Abläufen
Betriebskontinuität durch Back-up-Management, Notfallwiederherstellung und Krisenmanagement
Sicherheit der Lieferkette, also auch deiner IT-Dienstleister und Softwarelieferanten
Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen inklusive Schwachstellenmanagement
Wirksamkeitsprüfung der getroffenen Maßnahmen
Cyberhygiene und Schulungen für alle Beschäftigten
Kryptografie und Verschlüsselung nach festgelegten Konzepten
Personalsicherheit, Zugriffskontrolle und Verwaltung von Anlagen
Multi-Faktor-Authentifizierung und gesicherte Kommunikation, auch für Notfälle
Meldepflichten im Ernstfall
Bei einem erheblichen Sicherheitsvorfall läuft eine dreistufige Uhr. Innerhalb von 24 Stunden musst du dem BSI eine Erstmeldung schicken, innerhalb von 72 Stunden eine aktualisierte Bewertung. Spätestens nach einem Monat folgt eine Abschlussmeldung. Wer diese Abläufe nicht vorher geübt hat, gerät im Krisenfall schnell unter Druck.
Cybersecurity im Mittelstand: So setzt du Prioritäten
Auch wenn dein Unternehmen nicht unter NIS2 fällt, lohnt sich der Blick in den Maßnahmenkatalog. Er ist ein guter Standard für jedes Unternehmen, denn gute Cybersecurity folgt überall denselben Grundprinzipien. Viele Großkunden verlangen ihn ohnehin vertraglich von ihren Zulieferern, weil sie selbst für die Sicherheit ihrer Lieferkette verantwortlich sind.
Starte mit den Hebeln, die das meiste Risiko abbauen:
Back-ups offline und getestet: Nur eine regelmäßig wiederhergestellte Sicherung schützt dich zuverlässig vor Ransomware.
Multi-Faktor-Authentifizierung: Schalte sie für E-Mail, Fernzugänge und Administratorkonten ohne Ausnahme ein.
Patches zügig einspielen: Lege feste Fristen für kritische Updates fest.
Mitarbeitende schulen: Phishing bleibt das häufigste Einfallstor, kurze und regelmäßige Trainings wirken.
Notfallplan üben: Definiere, wer im Ernstfall entscheidet, kommuniziert und meldet.
Laut Bitkom fließen im Schnitt 18 Prozent des IT-Budgets in Sicherheit, empfohlen werden mindestens 20 Prozent. Prüfe, wo dein Unternehmen steht, und mache Cybersecurity zu einem festen Punkt im Management-Reporting.
Back-ups, Updates und Multi-Faktor-Authentifizierung bilden das Fundament wirksamer Abwehr.
Digitale Prozesse sicher gestalten
Jede neue digitale Anwendung vergrößert die Angriffsfläche. Das gilt besonders für Finanzprozesse. Mit der Pflicht zur E-Rechnung im B2B-Geschäft laufen Zahlungsdaten künftig vollständig digital, gefälschte Rechnungen mit geänderter Bankverbindung sind schon heute eine verbreitete Betrugsmasche.
Auch die Wahl deiner IT-Infrastruktur ist eine Sicherheitsentscheidung. Wo deine Daten liegen, wer darauf zugreifen kann und welches Recht gilt, beeinflusst dein Risikoprofil. Mehr dazu liest du in unserem Beitrag zur Cloud-Souveränität und europäischen Anbietern.
Cybersecurity messbar machen: Kennzahlen für die Geschäftsführung
Was du nicht misst, kannst du nicht überwachen. Genau das verlangt § 38 BSIG aber von dir. Damit Cybersecurity nicht zum Bauchgefühl wird, brauchst du wenige, aussagekräftige Kennzahlen, die regelmäßig in der Geschäftsleitung auf den Tisch kommen.
Bewährt haben sich vor allem diese Messgrößen:
Patch-Zeit: Wie viele Tage vergehen im Schnitt, bis kritische Sicherheitsupdates eingespielt sind?
MFA-Abdeckung: Welcher Anteil der Konten und Fernzugänge ist mit einem zweiten Faktor gesichert?
Wiederherstellungstest: Wann wurde zuletzt ein vollständiges Back-up erfolgreich zurückgespielt und wie lange hat es gedauert?
Phishing-Quote: Wie viele Beschäftigte klicken bei simulierten Angriffen noch auf präparierte Links?
Offene Risiken: Wie viele bekannte Schwachstellen mit hoher Kritikalität sind länger als 30 Tage ungelöst?
Diese Werte ersetzen kein vollständiges Informationssicherheits-Managementsystem nach ISO 27001 oder BSI-Grundschutz. Die Kennzahlen geben dir aber ein klares Bild, ob deine Cybersecurity im Alltag funktioniert. Ein Quartalsbericht mit Trend und Ampel reicht oft schon, um Fortschritt sichtbar zu machen und Budgetentscheidungen zu begründen.
Wichtig ist, dass du die Zahlen nicht nur zur Kenntnis nimmst. Frage nach, wenn sich Werte verschlechtern, und dokumentiere deine Entscheidungen. Diese Dokumentation hilft dir im Ernstfall auch dabei, gegenüber BSI, Versicherung oder Gesellschaftern nachzuweisen, dass du deiner Überwachungspflicht nachgekommen bist.
Wenn es passiert: Führung in der Cyberkrise
Ein Angriff ist kein reines IT-Problem, sondern eine Unternehmenskrise. In den ersten Stunden musst du Entscheidungen treffen, ohne alle Informationen zu haben: Systeme abschalten oder nicht, Kunden informieren, Behörden einbinden, externe Forensiker beauftragen.
Hilfreich ist ein vorbereiteter Krisenstab mit klaren Rollen. Er braucht Ansprechpartner bei Versicherung, Rechtsberatung und IT-Forensik, eine Telefonliste auf Papier und vorformulierte Kommunikationsbausteine. Wie du in solchen Momenten Orientierung gibst, beschreibt unser Beitrag zur Krisenführung in unsicheren Zeiten.
Eine Cyberversicherung kann finanzielle Folgen abfedern, ersetzt aber keine Cybersecurity. Zudem prüfen Versicherer vor Vertragsschluss genau, welche Schutzmaßnahmen du umgesetzt hast. Gute Cybersecurity senkt also nicht nur dein Risiko, sondern oft auch deine Prämie.
Fazit: Cybersecurity gehört auf die Agenda der Geschäftsleitung
Das NIS2-Umsetzungsgesetz hat klar geregelt, wo die Verantwortung liegt: bei der Führung. Für betroffene Unternehmen sind Registrierung, Risikomanagement, Meldewege und Schulung Pflicht, Verstöße können teuer und persönlich werden.
Doch auch jenseits der Regulierung gilt: Cybersecurity entscheidet heute über Lieferfähigkeit, Kundenvertrauen und im Ernstfall über das Überleben eines Betriebs. Setze das Thema regelmäßig auf die Tagesordnung, gib ihm ein Budget und prüfe die Wirksamkeit. Dann wird aus einer Pflichtaufgabe ein Wettbewerbsvorteil.
Häufige Fragen zur Cybersecurity und NIS2
Wer ist in Deutschland von NIS2 betroffen?
Betroffen sind Unternehmen aus 18 Sektoren, darunter Energie, Gesundheit, Transport, digitale Dienste, Chemie, Lebensmittel und verarbeitendes Gewerbe. In der Regel gilt das Gesetz ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Manche Anbieter digitaler Infrastruktur sind unabhängig von der Größe erfasst. Mit der Betroffenheitsprüfung des BSI kannst du deinen Status klären.
Welche Pflichten hat die Geschäftsleitung bei der Cybersecurity?
Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Diese Verantwortung lässt sich nicht vollständig delegieren. Verletzt du die Pflichten schuldhaft und entsteht ein Schaden, haftest du nach gesellschaftsrechtlichen Regeln persönlich, etwa als Geschäftsführer einer GmbH.
Wann musst du einen Sicherheitsvorfall melden?
Bei einem erheblichen Sicherheitsvorfall schickst du dem BSI innerhalb von 24 Stunden eine Erstmeldung. Nach spätestens 72 Stunden folgt eine Meldung mit erster Bewertung von Schwere und Auswirkungen. Innerhalb eines Monats reichst du eine Abschlussmeldung ein. Lege die Meldewege und Zuständigkeiten vorab fest, damit im Ernstfall keine Zeit verloren geht.
Wie hoch sind die Bußgelder nach NIS2?
Besonders wichtigen Einrichtungen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Es gilt jeweils der höhere Wert. Hinzu kommen mögliche Anordnungen des BSI und die persönliche Haftung der Geschäftsleitung für Schäden aus Pflichtverletzungen.
Welche Cybersecurity-Maßnahmen bringen im Mittelstand am meisten?
Den größten Effekt haben getestete Offline-Back-ups, Multi-Faktor-Authentifizierung für alle Fernzugänge und Administratorkonten, zügiges Einspielen von Sicherheitsupdates und regelmäßige Phishing-Schulungen. Ergänze diese Basis um einen geübten Notfallplan mit klaren Rollen. Damit senkst du das Risiko eines erfolgreichen Ransomware-Angriffs deutlich, auch ohne großes Sicherheitsteam.
