Im Dezember 2025 wurde die EU-weite NIS2-Richtlinie zur Stärkung kritischer Infrastrukturen (KRITIS) und wichtiger Einrichtungen in Deutschland umgesetzt. Die Anforderungen an die Cybersicherheit wurden damit stark ausgeweitet und erfassen nun knapp 30.000 Unternehmen, die zu einem systematischen Risikomanagement für Cybersicherheit verpflichtet sind.
Die Erweiterung der Richtlinie NIS1 aus 2016, die sich zunächst nur auf kritische Infrastrukturen wie Kliniken und Energieversorger bezog, gilt als eine der weitreichendsten Verschärfungen der letzten Jahre. Diese kommt genau zur richtigen Zeit: Laut Bitkom-Studie 2025 verursachten Cyberangriffe, Spionage und Sabotage allein in Deutschland Schäden von rund 289 Milliarden Euro – ein neuer Höchstwert. Und Experten sind sich einig, dass der Einzug von KI die Risiken noch erheblich vergrößern wird. Auch lässt die Cyberresilienz bei einigen Organisationen (noch) zu wünschen übrig. Während sich bei KRITIS-Einrichtungen bereits Fortschritte zeigen, gibt es bei KMU noch erhebliche Defizite.
Wer betroffen ist
Unter die neuen Bestimmungen fallen Unternehmen aus den Bereichen Logistik, Lebensmittelhandel, Telekommunikation, Technologie, Banken und Versicherungen, die sich je nach Art der Einrichtung unverzüglich oder innerhalb einer dreimonatigen Frist nach Inkrafttreten des Gesetzes beim Bundesamt für Sicherheit in der Informationstechnik (BSI) anmelden mussten.
Cybersicherheit wird regulatorisch relevant
Die NIS2-Richtlinie hat erhebliche Auswirkungen auf das Risiko- und Versicherungsmanagement einer Gesellschaft, da sie Cyberrisiken erstmals als regulatorisch relevantes Unternehmensrisiko definiert. IT-Sicherheit ist damit nicht länger ein rein technisches Thema, sondern integraler Bestandteil der unternehmensweiten Governance, des Risikomanagements und der Haftungssteuerung. Um die Anforderungen umzusetzen, ist eine systematische und strukturierte Ableitung konkreter Maßnahmen erforderlich. Bestehende Strukturen müssen überprüft, erweitert und enger miteinander verzahnt werden.
Der Pflichtenkatalog umfasst Schulungen, Schwachstellenmanagement, Incident Response, Backup- und Notfallkonzepte, Lieferkettensicherheit sowie Meldepflichten für Sicherheitsvorfälle. Bei Verstößen drohen erhebliche Bußgelder und aufsichtsrechtliche Maßnahmen, deren Umfang sich danach richtet, ob eine Organisation laut NIS2 als „wichtig“ oder „besonders wichtig“ gilt. Für besonders wichtige Einrichtungen drohen Strafen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Wichtige Einrichtungen müssen mit bis zu sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes rechnen.
Risikomanagement: Fahrplan zur Cyberresilienz
Um sich NIS2-konform aufzustellen, sollten Geschäftsleiter folgende Schritte gehen:
- Zunächst müssen Unternehmen Cyberrisiken explizit in das unternehmensweite Risikomanagement integrieren. Dazu gehört die Aufnahme von Cyberrisiken als eigenständige Kategorie im Risikoinventar. Sie sollten Risiken wie Ransomware-Angriffe, Ausfälle kritischer IT-Systeme, Datenabflüsse oder den Verlust zentraler Dienstleister klar beschreiben, bewerten und einem verantwortlichen Risikoeigentümer zuordnen. Die Bewertung sollte sich dabei an Eintrittswahrscheinlichkeit, potenzieller Schadenshöhe und Auswirkungen auf den Geschäftsbetrieb orientieren. Cyberrisiken werden dadurch mit anderen wesentlichen Unternehmensrisiken vergleichbar und besser steuerbar.
- Ein weiterer zentraler Schritt ist die Festlegung von Risikotoleranzen und -akzeptanz. NIS2 verlangt, dass Unternehmen bewusst darüber entscheiden, welche Restrisiken sie akzeptieren und welche sie zwingend reduzieren wollen. Diese Entscheidungen müssen dokumentiert und von der Geschäftsleitung getragen werden. Insbesondere für kritische IT-Services empfiehlt es sich, maximale Ausfallzeiten, akzeptable Datenverluste und Wiederanlaufzeiten zu definieren. Diese Art von Business-Impact-Analysen stellt sicher, dass Verantwortliche technische Risiken aus einer geschäftlichen Perspektive bewerten.
- Darauf aufbauend ist es wichtig, szenariobasierte Risikoanalysen durchzuführen. Dadurch stehen – statt abstrakter Bedrohungen – realistische Cyberszenarien und deren Folgen im Fokus, z.B. die vollständige Verschlüsselung zentraler Systeme, der Ausfall eines Cloud Providers oder ein Angriff über einen externen IT-Dienstleister. Erst dann lassen sich potenzielle Schäden auch quantifizieren, beispielsweise durch Abschätzung von Betriebsunterbrechungen, Vertragsstrafen, Haftungsansprüchen oder Reputationsverlusten. Die Ergebnisse dienen als Grundlage für gezielte Risikominderungsmaßnahmen und Investitionsentscheidungen.
Verantwortung für Partner und Dienstleister
Die eigenen Systeme cyberresilient aufzustellen, ist allerdings nur der Anfang. Denn ein wesentliches Element von NIS2 ist die Ausweitung des Risikomanagements auf Lieferketten und Drittparteien. Unternehmen müssen deshalb identifizieren, welche externen Dienstleister und Zulieferer für die eigene Informationssicherheit kritisch sind, und deren Sicherheitsniveau bewerten. Dies kann durch standardisierte Fragebögen, Zertifikatsprüfungen oder vertragliche Regelungen erfolgen. Sicherheitsanforderungen, Meldepflichten bei Vorfällen und Notfallkonzepte sind verbindlich zu vereinbaren. Cyberrisiken enden damit nicht mehr an der eigenen Organisationsgrenze.
Dreistufiger Meldeprozess
Parallel dazu sind Incident-Response- und Meldeprozesse einzurichten. NIS2 stellt hohe Anforderungen an die Fähigkeit, Sicherheitsvorfälle schnell zu erkennen, zu bewerten und zu melden. Unternehmen müssen klare Eskalationswege, Entscheidungsbefugnisse und Kommunikationsprozesse definieren und regelmäßig testen. Darüber hinaus stellen Übungen und Simulationen sicher, dass sie auch unter Zeitdruck handlungsfähig bleiben und regulatorische Meldefristen einhalten.
Das Gesetz sieht eine dreistufige Meldepflicht gegenüber dem BSI nach Bekanntwerden eines Sicherheitsvorfalls vor, der den Geschäftsbetrieb erheblich beeinträchtigt oder Auswirkungen auf Dritte haben könnte.
Restrisiko übertragen – was Versicherer fordern
Auf dem Weg zu einer resilienten Informationssicherheit ist die Cyberversicherung die letzte Station. Diese sichert das Restrisiko, das sich durch Präventionsmaßnahmen nicht vollständig beherrschen lässt, ab. Auch hier kommt durch NIS2 Bewegung rein: Unternehmen sind gut beraten, bestehende Versicherungen systematisch zu überprüfen. Dabei sollten sie analysieren, ob die versicherten Risiken den identifizierten Cyberszenarien entsprechen und ob Deckungslücken insbesondere in der Cyberversicherung bestehen, etwa bei Betriebsunterbrechungen, Forensik-Kosten oder Krisenkommunikation. Ziel ist es, einen Versicherungsschutz zu etablieren, der auf die tatsächliche Risikolage zugeschnitten ist.
Wichtig dabei: Sicherheitsmaßnahmen und Versicherungsanforderungen müssen eng aufeinander abgestimmt sein. Denn Cyberversicherer verlangen zunehmend Nachweise über technische und organisatorische Maßnahmen, etwa Multifaktor-Authentifizierung, Backup-Konzepte oder Incident-Response-Pläne. Ein Vertragsabschluss ist nur möglich, wenn Unternehmen diese Vorgaben erfüllen. Im Falle von Abweichungen zwischen interner Praxis und den Angaben gegenüber Versicherern besteht zudem das Risiko von Prämienaufschlägen oder Leistungsausschlüssen. Eine saubere Dokumentation ist daher ein wesentlicher Bestandteil des Versicherungsmanagements.
Managerhaftung: Cybersicherheit ist Chefsache
Neben der Cyberdeckung gewinnt in diesem Zusammenhang auch die D&O-Versicherung an Bedeutung. Sie schützt Führungskräfte vor Vermögensschäden, die durch Management-Fehlentscheidungen entstehen. Da Geschäftsleiter persönlich für Versäumnisse im Cyber- und Risikomanagement haften können, legen D&O-Versicherer ein besonderes Augenmerk auf die Cyber Governance, Meldeprozesse und Management-Schulungen. Ein unzureichend organisiertes Cyber-Risikomanagement erhöht somit nicht nur das operative Risiko des Unternehmens, sondern auch das persönliche Haftungsrisiko der Leitungsebene. Um dieses zu reduzieren, sind Geschäftsleiter aktiv in das Risikomanagement einzubinden: Schulungen, regelmäßige Berichte und dokumentierte Beschlüsse zu Cyberrisiken sind zentrale Instrumente zur Haftungsprävention. Gleichzeitig ist der Versicherungsschutz regelmäßig mit den Anforderungen der D&O-Versicherer abzustimmen.
Risiken ganzheitlich steuern
Insgesamt führt NIS2 zu einer engeren Verzahnung von IT-Sicherheit, Risiko- und Versicherungsmanagement und Compliance. Cyberversicherungen werden zu einem strategischen Baustein der Risikosteuerung, nicht zu einem Ersatz für regulatorische Pflichten. Unternehmen, die Cyberrisiken strukturiert managen, schaffen damit nicht nur Rechtssicherheit, sondern verbessern zugleich ihre Versicherbarkeit und damit ihre Konditionen am Versicherungsmarkt.
Der Original-Beitrag ist erschienen am 7. Mai 2026 im E-Book: GmbH-Geschäftsführung 2026
Autor
