Cybersicherheit

Cyberangriffe in Form von Datendiebstählen, Erpressungsversuchen und Produktionsausfällen sind heutzutage reale Szenarien, die alle Unternehmen betreffen können. Deshalb ist es notwendig, die Cybersicherheit im eigenen Unternehmen zu priorisieren und Schutzmaßnahmen zu entwickeln. Zudem legen EU-weite Regelwerke Mindeststandards und Verpflichtungen gesetzlich fest.

NIS-2 Richtlinie erweitert Cybersicherheitsanforderungen

Höhere Anforderungen an Cybersicherheit

Das Gesetz zur Umsetzung der NIS-2-Richtlinie überführt die EU-Richtlinie in deutsches Recht und ist am 6. Dezember 2025 in Kraft getreten. Das Gesetz erweitert die Cybersicherheitsanforderungen auf mehr Unternehmen und Sektoren, einschließlich Betreiber kritischer Infrastrukturen nach der KRITIS-Verordnung sowie große Unternehmen und Bundesbehörden. Betroffene Unternehmen sind gesetzlich verpflichtet, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) als NIS-2-Unternehmen zu registrieren, erhebliche Sicherheitsvorfälle zu melden und Risikomanagementmaßnahmen zu implementieren und diese zu dokumentieren.

Erweiterung des Anwendungsbereichs

Mit Inkrafttreten des NIS-2-Umsetzungsgesetzes wird der Anwendungsbereich des bisherigen BSI-Gesetzes deutlich erweitert: Unternehmen, die in bestimmten Sektoren tätig sind und dabei gesetzlich festgelegte Schwellenwerte mit Blick auf Mitarbeitende, Umsatz und Bilanz überschreiten, fallen künftig unter die neuen Kategorien „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“.

Von der NIS-2 Richtlinie betroffene Unternehmen

NIS‑2 betrifft vor allem mittelgroße und große Unternehmen (ab 50 Mitarbeitende / 10 Mio. €) in 18 kritischen Branchen – darunter viele typische Industrie‑ und Dienstleistungsunternehmen. Diese sind Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff), Verkehr (Luft, Schiene, Straße, Schifffahrt), Banken & Finanzmarktinfrastruktur, Gesundheitswesen (Krankenhäuser, Pharma etc.), Trinkwasser & Abwasser, Digitale Infrastruktur (Cloud, Rechenzentren, Netze), IT‑Dienstleister (Managed Services, MSSP), Weltraum/Bodeninfrastruktur, Post- und Kurierdienste, Abfallwirtschaft, Chemie (Produktion/Handel), Lebensmittelproduktion und -verarbeitung, verarbeitendes Gewerbe (z. B. Maschinenbau, Automotive, Elektronik), digitale Dienste (Online-Marktplätze, Suchmaschinen, Social Media), Forschungseinrichtungen.
Einige Unternehmen sind unabhängig von Größe betroffen, z. B. DNS- und Domain-Anbieter, Telekommunikationsanbieter, Vertrauensdienste-Anbieter (z. B. Zertifikate).

Registrierungsfrist verlängert bis 31. Juli 2026

Das BSI sieht für die ca. 30.000 wichtigen und besonders wichtigen und somit von NIS-2 betroffenen Einrichtungen in Deutschland einen zweistufigen Registrierungsprozess über Mein Unternehmenskonto (MUK) sowie NIS-2-Geschäftsführungsschulungen vor. Die Registrierung hätte ursprünglich bis zum 6. März 2026 erfolgen müssen. Das BSI geht davon aus, dass ein erheblicher Teil der betroffenen Unternehmen noch nicht registriert ist. Laut BSI muss die Registrierung nun spätestens bis zum 31. Juli 2026 abgeschlossen sein.

Was zu tun ist

Ausführliche Hinweise zu den erforderlichen Maßnahmen sowie ein FAQ sind auf der Homepage des BSI hinterlegt. Mit der NIS-2-Betroffenheitsprüfung stellt das BSI zudem ein einfach einzusetzendes Tool für Unternehmen zur Ermittlung der Betroffenheit bereit. Zu beachten ist, dass unmittelbare Anbieter und Zulieferer der von NIS-2 direkt betroffenen Unternehmen ebenfalls mit einer indirekten Betroffenheit konfrontiert sein können (Sicherheit in der Lieferkette).
Wir empfehlen Unternehmen, die Betroffenheit zu prüfen und die Einschätzung zu dokumentieren. Zudem empfehlen wir, sich beim BSI-Portal zu registrieren, was noch nicht die NIS-2 Registrierung bedeutet, sondern den grundsätzlichen Zugang zu Angeboten des BSI wie die Allianz für Cybersicherheit. Die NIS-2 Registrierung kann dort erfolgen, muss aber nicht.
Die Registrierung selbst erfolgt über das Unternehmenskonto (MUK) mit ELSTER‑Zertifikat. Sie benötigen dafür die Steuernummer der jeweiligen juristischen Person und Kontaktdaten einer Ansprechperson. Per Briefpost erhält das Unternehmen nach dem Abschicken einen Aktivierungscode. Achtung: Dieser Brief wird nicht an die Ansprechperson verschickt, sondern an die Elster-Kontaktadresse des Unternehmens (Buchhaltung, Personalabteilung etc.). Gibt man den Aktivierungscode ein, erhält die Ansprechperson per E-Mail das für Logins nötige Zertifikat.
Sie sind unsicher, wie Sie die Umsetzung der NIS-2-Richtlinie angehen sollen? Die neue, kostenfreie Test- und Trainingsplattform der Transferstelle Cybersicherheit unterstützt Sie dabei, die Anforderungen des Gesetzes praxisnah, verständlich und regelkonform umzusetzen.

Webinar-Aufzeichnungen der DIHK

Die Deutsche Industrie- und Handelskammer (DIHK) bietet mit ihren aufgezeichneten Webinaren unter der Überschrift "Cybersicherheitsgesetze – und jetzt?" einen juristisch fundierten Umsetzungsrahmen, der Orientierung schafft, Prioritäten aufzeigt und die Anforderungen in einen realistischen Unternehmenskontext einordnet. Ziel ist es, Klarheit zu schaffen, Überforderung abzubauen und die Grundlage für eine tragfähige Umsetzung zu legen.

CRA: Cybersicherheit von vernetzten Produkten

Mit dem Cyber Resilience Act (CRA), der im November 2024 in Kraft getreten ist, wird erstmals ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte festlegt, die auf dem EU-Markt erhältlich sind. Die Umsetzung in allen EU-Mitgliedstaaten erfolgt schrittweise bis Ende 2027.
Die neuen Regelungen betreffen alle Unternehmen, die Produkte mit digitalen Elementen herstellen. Darüber hinaus gibt es Verpflichtungen für Händler und Einführer. Größenbezogene Ausnahmen gibt es nicht. Der Cyber Resilience Act sieht vor, bei den betreffenden Produkten in den Phasen Design, Entwicklung und Produktion sowie während des Inverkehrbringens und während der Nutzung risikoangemessene Cybersecurity-Maßnahmen zu etablieren.
Weitere Informationen finden Sie auf den Seiten der DIHK sowie bei den Kolleginnen und Kollegen der IHK München.

Kostenfreie Unterstützung für Unternehmen

Die Transferstelle Cybersicherheit gehört zu Mittelstand-Digital, ist Partnerinstitution der IHKLW und bietet dank einer öffentlichen Förderung kostenfreie Unterstützung für Unternehmen:
  • Bei den digitalen CYBERsicher-Veranstaltungen erhalten Sie umfassende Einblicke und Informationen zu Themen wie NIS-2 oder dem CRA.
  • Mit dem CYBERsicher Check ermitteln Sie schnell und einfach den IST-Zustand Ihrer IT-Sicherheit und erhalten Sie individuell auf Ihr Unternehmen zugeschnittene Handlungsempfehlungen sowie passende Materialien.
  • In den einstündigen CYBERDialogen können Sie herausfinden, wie sie am besten in das Thema Cybersicherheit einsteigen und erhalten erste Handlungsempfehlungen der Expert*innen.
  • Der FitNIS2-Navigator bietet mit einer NIS-2-Betroffenheitsprüfung, der Erhebung des eigenen Status Quo, der Ermittlung des individuellen Handlungsbedarfes und der Erstellung individueller Aktionspläne umfangreiche Unterstützung bei der Umsetzung der NIS-2-Richtlinie.
Einen leichten Einstieg für kleine und mittlere Unternehmen in die Grundlagen der Cybersicherheit bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Sind Sie und Ihre Mitarbeitenden fit in Sachen IT-Sicherheit? Machen Sie den Test und lernen Sie, wie Sie Angriffe erkennen können. Die IHK Schwaben bietet einen kostenfreien Cyber-Security-Awareness-Test, der für alle Unternehmen offen steht.

Notfallhilfe bei einer vorliegenden Cyberattacke

Sie vermuten einen IT-Sicherheitsvorfall in Ihrem Unternehmen oder suchen Informationen zu aktuellen Cyber-Sicherheitslage? Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt mit einer Übersichtsseite zu Cybervorfällen in Unternehmen und informiert sowohl zu Erste-Hilfe-Maßnahmen und der Einleitung der Rettungskette als auch zu Präventionsmaßnahmen.
Auch über die Transferstelle Cybersicherheit erhalten Sie bei der CYBERsicher Notfallhilfe erste allgemeine Handlungsempfehlungen bezüglich eines IT-Sicherheitsvorfalls sowie Unterstützung durch Expertinnen und Experten bzw. den Kontakt zu IT-Dienstleistern.
Jede Cyberattacke sollte bei Ihrer örtlichen Polizei angezeigt und muss im Falle einer NIS-2-Betroffenheit binnen gewisser Fristen an das BSI gemeldet werden. Die Zentrale Ansprechstelle Cybercrime (ZAC) des LKA Niedersachsen kann von der örtlichen Polizei hinzugezogen oder direkt von den Unternehmen kontaktiert werden.