BYOD und NIS2: „Genehmigt“ heißt nicht „firmeneigen“ – 8 Punkte, die Ihre Regelung für private Geräte abdecken sollte

BYOD bedeutet „Bring Your Own Device“: Beschäftigte nutzen ihr privates Smartphone, Tablet oder Notebook für dienstliche Aufgaben – E-Mail, Kalender, Teams, ERP-Zugriff. Wer nun im NIS2-Regelwerk nach einer BYOD-Vorgabe sucht, findet keine. Das Kürzel kommt in der deutschen Fassung der NIS-2-Richtlinie, der Durchführungsverordnung (EU) 2024/2690 und im BSI-Gesetz zusammen null Mal vor. Die eine Klausel, die über private Geräte entscheidet, spricht von genehmigten Geräten – nicht von firmeneigenen. Daraus folgt: BYOD ist unter NIS2 erlaubt, ungeregeltes BYOD dagegen kaum zu verteidigen.

Dieser Leitfaden zeigt, wo die Vorgaben tatsächlich stehen, welche Einrichtungen sie unmittelbar binden und welche acht Punkte eine Regelung für private Geräte abdecken sollte, damit sie sich gegenüber dem BSI belegen lässt.

Was bedeutet BYOD? Die drei Betriebsmodelle im Vergleich

Im Klartext: BYOD ist eines von drei Modellen, mobile Endgeräte in ein Unternehmen einzubinden. Ein viertes Modell steht in keinem Regelwerk, ist in der Praxis aber verbreitet: die stillschweigend geduldete Privatnutzung.

Das BSI unterscheidet im IT-Grundschutz-Baustein SYS.3.2.2 Mobile Device Management ausdrücklich zwischen privaten Endgeräten (BYOD), personalisierten Endgeräten im Eigentum der Institution und nicht personalisierten, gemeinsam genutzten Geräten. Welches Modell gilt, muss nach Anforderung SYS.3.2.2.A1 schriftlich in einer Strategie festgelegt und von der oder dem Informationssicherheitsbeauftragten freigegeben werden.

Modell	Eigentum am Gerät	Zugriffsmöglichkeit der IT	Typischer NIS2-Aufwand
Dienstgerät, personalisiert	Unternehmen	Vollständig (Geräteverwaltung, Komplettlöschung)	Niedrig – Standardprozesse greifen
Dienstgerät, gemeinsam genutzt	Unternehmen	Vollständig	Niedrig bis mittel – Nutzerzuordnung und Protokollierung
BYOD, geregelt	Beschäftigte	Nur dienstlicher Bereich, nur nach Vereinbarung	Mittel – Genehmigung, Datentrennung, Austrittsprozess
Geduldete Privatnutzung („Schatten-BYOD“)	Beschäftigte	Keine	Hoch – kein Nachweis möglich

Die letzte Zeile ist die teuerste. Die Forschungsstelle Recht im DFN beschreibt den Mechanismus: Wer die dienstliche Nutzung privater IT bloß duldet, schneidet sich Einfluss- und Kontrollmöglichkeiten ab und steht zugleich vor erheblichen rechtlichen Problemen. Unter NIS2 kommt ein dritter Punkt hinzu, auf den wir weiter unten eingehen: die Dokumentationspflicht.

Was NIS2 zu privaten Geräten sagt – und was nicht

Im Klartext: Es gibt kein BYOD-Verbot und keine BYOD-Pflicht. Es gibt eine Anforderung an die Netzsicherheit, nur genehmigte Geräte zuzulassen, und eine Reihe von Anforderungen an Zugriffskontrolle, Verschlüsselung und Anlagenmanagement, die auf private Geräte genauso anzuwenden sind wie auf Dienstgeräte.

Wir haben die amtlichen deutschen Volltexte durchsucht. „BYOD“, „Bring Your Own“ und „eigene Geräte“ ergeben in der Richtlinie, der Durchführungsverordnung und im BSIG jeweils null Treffer. „Telearbeit“ erscheint genau einmal, in Erwägungsgrund 20 der Verordnung, und dort als Beispiel für Cyberhygiene ohne bindende Wirkung. Die maßgebliche Stelle ist Nummer 6.7.2 Buchstabe g im Anhang der Durchführungsverordnung (EU) 2024/2690. Danach müssen Einrichtungen „– soweit angemessen – den Zugang zu ihren Netz- und Informationssystemen ausschließlich mit von den betreffenden Einrichtungen genehmigten Geräten gewähren“.

Drei Details dieser Formulierung entscheiden über Ihre BYOD-Regelung:

• „Genehmigt“, nicht „firmeneigen“. Die englische Fassung spricht von „devices authorised by those entities“. Ein privates Smartphone, das ein Freigabeverfahren durchlaufen hat, ist ein genehmigtes Gerät. Ausgeschlossen ist der Zugriff durch Geräte, die niemand geprüft und zugelassen hat.
• Die Klausel steht in der Netzsicherheit. Nummer 6.7 gehört zu Kapitel 6 des Anhangs, das Artikel 21 Absatz 2 Buchstabe e zugeordnet ist – nicht zur Zugriffskontrolle in Kapitel 11. Die Gerätefreigabe ist also eine Frage der Netzarchitektur, nicht nur der Benutzerrechte.
• „Soweit angemessen“ hat eine Kehrseite. Wer auf die Gerätefreigabe verzichtet, etwa weil Webmail von jedem Browser erreichbar bleiben soll, muss nach Artikel 2 Absatz 2 Unterabsatz 2 der Verordnung die Begründung „in verständlicher Weise dokumentieren“.

Unmittelbar daneben steht Buchstabe d, und der trägt keinen Vorbehalt: Einrichtungen müssen „die Kontrollen für den Fernzugriff auf Netz- und Informationssysteme … festlegen und durchführen“. Jedes private Gerät, das von außen auf Unternehmensdaten zugreift, fällt darunter.

Wen die Verordnung unmittelbar bindet

Die Durchführungsverordnung gilt nach ihrem Artikel 1 nur für elf Einrichtungsarten. Für alle anderen gilt § 30 BSIG, der die Maßnahmen deutlich allgemeiner fasst.

Ihre Einrichtung	Verbindliche Grundlage	Rolle des DVO-Anhangs
DNS-Diensteanbieter, TLD-Registry, Cloud, Rechenzentrum, CDN, Managed Service Provider, MSSP, Online-Marktplatz, Suchmaschine, soziales Netzwerk, Vertrauensdienst	DVO 2024/2690 mit Vorrang (§ 30 Abs. 3 BSIG)	Unmittelbar geltendes Recht, inklusive Nr. 6.7.2 g
Sonstige besonders wichtige oder wichtige Einrichtung (z. B. Energie, Gesundheit, Maschinenbau)	§ 30 Abs. 1 und 2 BSIG	Kein geltendes Recht, aber der konkreteste verfügbare Auslegungsmaßstab
Nicht betroffenes Unternehmen	DSGVO, Arbeitsrecht, Kundenverträge	Freiwillige Orientierung

Für die mittlere Zeile verlangt § 30 Abs. 2 Nr. 9 BSIG „Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen“ – private Geräte, die auf Unternehmensdaten zugreifen, gehören dazu. Wie diese Konzepte im Detail aussehen, beschreibt unser Leitfaden zur Zugangssteuerung und Personalsicherheit; welche zehn Maßnahmenbereiche § 30 insgesamt umfasst, steht in der Übersicht der zehn Risikomanagementmaßnahmen.

Geduldetes BYOD ist das eigentliche Compliance-Risiko

Im Klartext: Nicht das private Gerät ist das Problem, sondern das fehlende Papier dazu. Das BSIG behandelt eine fehlende Dokumentation als eigenen Bußgeldtatbestand.

§ 30 Abs. 1 Satz 3 BSIG verpflichtet Einrichtungen, die Einhaltung ihrer Risikomanagementmaßnahmen zu dokumentieren. § 65 BSIG macht daraus zwei getrennte Tatbestände: Abs. 2 Nr. 2 für eine Maßnahme, die nicht oder nicht richtig ergriffen wird, und Abs. 2 Nr. 3 für eine Einhaltung, die nicht oder nicht richtig dokumentiert ist.

Einrichtung	Bußgeldrahmen (§ 65 Abs. 5–7 BSIG)
Besonders wichtige Einrichtung	bis 10 Mio. €, bei mehr als 500 Mio. € Umsatz bis 2 % des weltweiten Gesamtumsatzes
Wichtige Einrichtung	bis 7 Mio. €, bei mehr als 500 Mio. € Umsatz bis 1,4 % des weltweiten Gesamtumsatzes

Für Schatten-BYOD bedeutet das: Selbst wenn die privaten Geräte im Einzelfall sauber konfiguriert sind, kann die Einrichtung es nicht belegen. Es gibt kein Verzeichnis, keine Freigabe, keine Austrittsprüfung. Hinzu kommt die Leitungsebene. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Wer weiß, dass das Vertriebsteam Kundendaten auf Privathandys bearbeitet, und nichts regelt, wird kaum belegen können, dass er diese Überwachungspflicht erfüllt hat.

Für Geschäftsführung und Compliance lässt sich die Entscheidung auf drei Fragen verdichten: Greifen Beschäftigte heute mit privaten Geräten auf Unternehmensdaten zu? Wenn ja – ist das erlaubt, verboten oder ungeregelt? Und wenn erlaubt – gibt es einen Nachweis, welche Geräte das sind? Jedes „ungeregelt“ und jedes fehlende Verzeichnis ist eine Lücke, die unter § 65 Abs. 2 Nr. 3 fallen kann. Was zum Nachweis alles gehört, fasst unser Beitrag zu den NIS2-Dokumentationspflichten zusammen.

Was der IT-Grundschutz beiträgt – und wo er aufhört

Im Klartext: Das BSI behandelt BYOD als Gefährdung, nicht als Baustein. Für private Geräte gibt es im Kompendium keine fertige Anforderungsliste.

Der Baustein SYS.3.2.1 Allgemeine Smartphones und Tablets beschreibt in Gefährdung 2.9 die typischen BYOD-Probleme: Lizenzfragen, eine Notfalllöschung über das MDM, die auch private Daten trifft, Geräte, die die IT nicht einzeln prüfen kann, Reparaturen, bei denen Dritte Firmendaten einsehen, und ungeklärte Daten beim Ausscheiden. Der MDM-Baustein SYS.3.2.2 nimmt BYOD dagegen ausdrücklich aus seinem Anwendungsbereich aus. Wie schlecht beides zusammenpasst, zeigt Anforderung SYS.3.2.2.A4: Sie verlangt, dass Geräte die Grundkonfiguration im Werkszustand erhalten – ein privates Smartphone setzt niemand dafür zurück.

Eine Randnotiz für alle, die mit der Umsetzungshilfe der ENISA arbeiten: Deren Leitfaden empfiehlt unter Nummer 12.2.1, eine Strategie für Mobile Device Management „including Bring-Your-Own-Device (BYOD)“ festzulegen, und verweist in Fußnote 102 auf „SYS.3.2.1 Mobile Device Management“. Im Kompendium heißt SYS.3.2.1 jedoch „Allgemeine Smartphones und Tablets“; der MDM-Baustein ist SYS.3.2.2. Wer die Fußnote wörtlich nimmt, landet beim falschen Dokument.

In unserer Lesart ist BYOD im Grundschutz-Modell damit ein Fall für die individuelle Risikoanalyse. Die Basisanforderungen an Smartphones (Richtlinie, Bildschirmsperre, App-Freigabe) gelten weiter, die MDM-Anforderungen müssen für Privatgeräte angepasst und begründet werden.

Acht Punkte, die eine NIS2-taugliche BYOD-Regelung enthalten sollte

Im Klartext: Die Tabelle leitet jeden Punkt aus einer konkreten Fundstelle ab. Die Spalte „Vorbehalt“ zeigt, wo Sie begründet abweichen dürfen – und wo nicht.

Regelungspunkt	Fundstelle	Vorbehalt	Nachweis für die Prüfung
1. Freigabeverfahren und Geräteverzeichnis: zugelassene Gerätetypen und Betriebssystemversionen, Registrierung jedes Geräts	DVO Anh. 6.7.2 g, 12.4; BSI SYS.3.2.2.A2	„soweit angemessen“ (6.7.2 g)	Freigabeliste, Inventar mit Gerät und Nutzer
2. Zugriffsumfang nach Schutzbedarf: welche Daten auf Privatgeräten erlaubt sind, welche nicht	DVO Anh. 11.1.2, 12.1.2; BSI SYS.3.2.1.A1	keiner	Zugriffskonzept, Klassifizierungsstufen
3. Fernzugriffskontrollen: Zugang nur über definierte, abgesicherte Wege	DVO Anh. 6.7.2 d	keiner	Konfiguration, Zugriffsprotokolle
4. Authentifizierung: starke Anmeldung, Sitzungsende bei Inaktivität, MFA nach Klassifizierung	DVO Anh. 11.6.2 e, 11.7.1	„soweit angemessen“ (11.7.1)	Richtlinie, Konfigurationsnachweis
5. Datentrennung und Verschlüsselung: dienstliche Daten in einem getrennten, verschlüsselten Bereich	DVO Anh. 9.2 a; BSI SYS.3.2.1.A11	Art und Stärke nach Klassifizierung	Kryptokonzept, technische Konfiguration
6. Mindestzustand des Geräts: aktuelle Updates, Schutz vor Schadsoftware, kein Rooting oder Jailbreak	DVO Anh. 6.9; BSI SYS.3.2.1.A10	Erkennungssoftware „soweit angemessen“	Compliance-Prüfung beim Zugriff
7. Verlust, Vorfall, Reparatur: Meldeweg, Sperrung, Umgang mit Werkstätten	BSI SYS.3.2.1 Gefährdung 2.9 und A7	–	Meldeprozess, Unterweisungsnachweis
8. Austritt: Entzug der Rechte, selektive Löschung der dienstlichen Daten, dokumentiert	DVO Anh. 11.2.2 b, 12.5	keiner	Austrittscheckliste, Löschprotokoll

Punkt 5 entscheidet in der Praxis über die Akzeptanz. Die DFN-Forschungsstelle hält die Trennung privater und dienstlicher Daten für unabdingbar und nennt verschlüsselte Container und Terminal-Lösungen als Wege dorthin. Welche Algorithmen und Schlüssellängen für den Container angemessen sind, behandelt unser Beitrag zur Verschlüsselung nach Art. 21 Abs. 2 Buchst. h.

Punkt 8 ist der unterschätzte. Nummer 12.5 des Anhangs verlangt ohne Vorbehalt, dass Anlagen und Werte der Einrichtung beim Ende des Beschäftigungsverhältnisses abgegeben, zurückgegeben oder gelöscht werden – und dass dies dokumentiert wird. Die ENISA-Umsetzungshilfe wird für private Ausstattung konkret: Alle relevanten Informationen sollen erfasst, an die Einrichtung übertragen und sicher vom Gerät gelöscht werden, und die Bedingungen dafür gehören in den Arbeits- oder Dienstleistungsvertrag. Ein privates Notebook, auf dem nach dem Austritt noch Kundenlisten im Download-Ordner liegen, ist genau die Lücke, die diese Nummer schließen soll.

Für die IT-Leitung bedeutet die Tabelle eine klare Reihenfolge: zuerst Verzeichnis und Zugriffsumfang (Punkte 1 und 2), weil sich alle technischen Entscheidungen daraus ableiten. Wer bereits eine MFA-Lösung betreibt, deckt Punkt 4 meist mit wenigen Richtlinienanpassungen ab. Und weil Nummer 8.2.3 Buchstabe a die Schulung von Beschäftigten mit sicherheitsrelevanten Rollen ausdrücklich auf den sicheren Betrieb „einschließlich mobiler Geräte“ erstreckt, gehört die BYOD-Regelung in deren Unterweisung.

Die deutsche Zusatzschicht: Einwilligung, Betriebsrat, Datenschutz

Im Klartext: NIS2 regelt die Sicherheit, aber nicht, ob Sie auf ein privates Gerät zugreifen dürfen. Das entscheiden Arbeitsvertrag, Betriebsverfassung und Datenschutzrecht.

Kein Zugriffsrecht ohne Vereinbarung. Nach der Auswertung der DFN-Forschungsstelle hat der Arbeitgeber kein originäres Zugriffsrecht auf private Endgeräte. Ein solches Recht und seine Bedingungen müssen mit den Beschäftigten vertraglich vereinbart werden. Die Fernlöschung des dienstlichen Bereichs, die Punkt 8 voraussetzt, braucht also eine Grundlage, bevor das Gerät freigegeben wird.

Betriebsrat. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Die DFN-Forschungsstelle nennt daneben Nr. 1 und Nr. 2 als mögliche Tatbestände. Eine Geräteverwaltung, die Gerätestatus und installierte Apps protokolliert, ist der naheliegende Anwendungsfall von Nr. 6. In mitbestimmten Betrieben gehört die BYOD-Regelung deshalb in eine Betriebsvereinbarung und nicht nur in eine IT-Richtlinie.

Datenschutz. Wer die dienstliche Nutzung privater Geräte nicht ausdrücklich und konsequent verbietet, bleibt nach der DFN-Auswertung datenschutzrechtlich verantwortlich für die Verarbeitung auf diesen Geräten. Die Beschäftigten gelten dabei als Teil der verantwortlichen Stelle, nicht als Auftragsverarbeiter. Damit treffen den Arbeitgeber die Sicherheitspflichten aus Art. 32 DSGVO – Verschlüsselung, Vertraulichkeit, regelmäßige Überprüfung – auch auf Geräten, die ihm nicht gehören. Die NIS2-Maßnahmen und die DSGVO-Maßnahmen lassen sich in einer gemeinsamen Regelung abbilden.

Häufige Fragen zu BYOD und NIS2

Ist BYOD unter NIS2 verboten?
Nein. Weder die Richtlinie noch die Durchführungsverordnung noch das BSIG enthalten ein Verbot. Die Verordnung verlangt für die elf erfassten Einrichtungsarten, soweit angemessen, nur genehmigte Geräte zuzulassen – ein freigegebenes Privatgerät erfüllt das.

Reicht eine Einwilligung zur vollständigen Fernlöschung des Privathandys?
Davon ist abzuraten. Der Baustein SYS.3.2.1 nennt gerade die Löschung, die private Daten mittrifft, als Gefährdung. Zielbild ist die selektive Löschung des dienstlichen Bereichs, wie sie der MDM-Baustein mit „sämtliche dienstliche Daten“ beschreibt.

Gilt das auch für private Laptops im Homeoffice?
Ja. Die Fundstellen unterscheiden nicht nach Gerätetyp. Für Laptops wiegen die Punkte 5, 6 und 8 schwerer, weil Daten dort leichter lokal abgelegt werden.

Ist ein privates Smartphone, das nur die Authenticator-App für die MFA trägt, schon BYOD?
In unserer Lesart ist es zunächst ein Authentifizierungsmittel und kein Zugangsgerät. Es fällt unter die Verwaltung geheimer Authentifizierungsinformationen nach Anhang Nr. 11.6.2 b. Eine kurze Regelung (Bildschirmsperre, Verlustmeldung) sollte es trotzdem geben.

Wir sind keine der elf Einrichtungsarten. Müssen wir die Tabelle trotzdem umsetzen?
Nicht wörtlich. Für Sie gilt § 30 BSIG. Die ENISA schreibt aber ausdrücklich, ihre Umsetzungshilfe könne auch für andere öffentliche und private Stellen nützlich sein – und wer prüft, braucht einen Maßstab. Der DVO-Anhang ist der konkreteste, den es gibt.

Dieser Artikel bietet ausschließlich allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Rechtsraum und Unternehmensart variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Rechts- oder Compliance-Fachkraft.

Quellen

1. Europäische Union. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, amtliche deutsche Fassung. EUR-Lex
2. Europäische Union. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), amtliche deutsche Fassung. EUR-Lex
3. Bundesrepublik Deutschland. § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen. gesetze-im-internet.de
4. Bundesrepublik Deutschland. § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen. gesetze-im-internet.de
5. Bundesrepublik Deutschland. § 65 BSIG – Bußgeldvorschriften. gesetze-im-internet.de
6. ENISA. Technical Implementation Guidance on cybersecurity risk-management measures, Version 1.0, Juni 2025 – Nr. 6.7, 12.2.1, 12.3, 12.5
7. Bundesamt für Sicherheit in der Informationstechnik. IT-Grundschutz-Kompendium, Baustein SYS.3.2.1 Allgemeine Smartphones und Tablets, Edition 2023
8. Bundesamt für Sicherheit in der Informationstechnik. IT-Grundschutz-Kompendium, Baustein SYS.3.2.2 Mobile Device Management (MDM), Edition 2023
9. Bundesrepublik Deutschland. § 87 Betriebsverfassungsgesetz – Mitbestimmungsrechte. gesetze-im-internet.de
10. Europäische Union. Art. 32 Datenschutz-Grundverordnung – Sicherheit der Verarbeitung. dejure.org
11. Forschungsstelle Recht im DFN. Bring Your Own Device (BYOD), Stand Februar 2024. Deutsches Forschungsnetz