NIS2-Mythen 2026: Die 10 häufigsten Irrtümer — und was das Gesetz wirklich sagt

Kaum eine EU-Regulierung hat in den letzten Monaten so viele falsche Annahmen produziert wie die NIS2-Richtlinie. Das liegt weniger an der Richtlinie selbst als an der Kette, über die ihr Inhalt verbreitet wurde: Blogartikel zitieren andere Blogartikel, LinkedIn-Beiträge verkürzen Gesetzestext auf einen Satz, und am Ende bleibt eine Halbwahrheit übrig, die sich hartnäckig hält – bis jemand sie an einem echten Bußgeldbescheid oder einer BSI-Rückfrage misst. In Anfragen und Fachdiskussionen tauchen dieselben zehn Irrtümer immer wieder auf – oft bei Geschäftsführungen, die sich auf Basis dieser Annahmen bereits (falsch) sicher fühlen.

Dieser Artikel prüft jeden dieser Mythen direkt gegen den Gesetzestext – das BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG, BGBl. 2025 I Nr. 301), die EU-Richtlinie 2022/2555 selbst und, wo nötig, gegen offizielle Behördenquellen. Sie erhalten zu jedem Mythos die knappe Richtigstellung, die passende Rechtsgrundlage und – wo relevant – einen Link zu unseren ausführlicheren Grundlagen zur NIS2-Richtlinie.

Die 10 Mythen im Überblick

Wer wenig Zeit hat, findet hier die Kurzfassung. Die ausführliche Einordnung mit Quellen folgt in den Abschnitten darunter.

Mythos	Fakt in Kürze
1. NIS2 ersetzt KRITIS	NIS2 ergänzt KRITIS, ersetzt es nicht. Beide Pflichtenkreise gelten parallel.
2. Gilt nur für Großkonzerne	In den Sektoren der Anlagen 1 und 2 BSIG genügen bereits 50 Mitarbeitende oder je über 10 Mio. € Umsatz und Bilanzsumme; einige Einrichtungsarten sind größenunabhängig erfasst.
3. Ist nur ein IT-Thema	§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen.
4. ISO 27001 reicht aus	Laut BSI kein automatischer Nachweis – Geltungsbereich, Risikobehandlung sowie Melde-, Registrierungs- und Leitungspflichten gehen darüber hinaus.
5. Es gibt keine Frist mehr	Die Pflichten gelten seit 6.12.2025 ohne Übergangsfrist; die Registrierungsfrist endete am 6.3.2026. Der 31.7.2026 war keine gesetzliche Nachfrist.
6. Betrifft nur Tech-Unternehmen	18 Sektoren der Richtlinie (Anhang I/II), in Deutschland Anlage 1 und 2 BSIG – von Energie bis Lebensmittel.
7. Bußgeld trifft nur die Firma	Halb richtig: Das Bußgeld richtet sich an die Einrichtung, die Geschäftsleitung haftet ihr aber nach § 38 Abs. 2 BSIG.
8. Gilt EU-weit identisch	Eine Richtlinie gilt nicht unmittelbar – jedes Land setzt sie eigenständig um.
9. Cloud-Anbieter übernimmt das	Auslagerung ändert an der Verantwortung der Einrichtung nichts.
10. Meldepflicht nur bei Datendiebstahl	Auch Betriebsstörungen ohne Datenabfluss lösen die Meldepflicht aus.

Mythos 1: „NIS2 ersetzt die KRITIS-Regulierung“

Das ist der Irrtum, der bei bestehenden KRITIS-Betreibern am meisten Verwirrung stiftet – verständlich, denn beide Regime regeln ähnliche Themen. Tatsächlich gilt: NIS2 ersetzt die deutsche KRITIS-Regulierung nicht, sondern baut sie aus. Ein Betreiber kritischer Anlagen gilt nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von seiner Größe als „besonders wichtige Einrichtung“ [8]. Er muss die Risikomanagementmaßnahmen aus § 30 BSIG umsetzen [3]; für die IT-Systeme seiner kritischen Anlagen gelten zusätzlich die erweiterten Anforderungen des § 31 BSIG – etwa der verpflichtende Einsatz von Systemen zur Angriffserkennung [13] – sowie die Nachweispflicht nach § 39 BSIG. Für Energie- und Telekommunikationsbetreiber gelten nach § 28 Abs. 5 BSIG vorrangig die Sonderregeln von EnWG bzw. TKG. Hinzu kommt das seit 17. März 2026 geltende KRITIS-Dachgesetz zur physischen Resilienz, dessen Betreiberpflichten erst nach Inkrafttreten der zugehörigen Rechtsverordnung schrittweise greifen.

Die Größenordnung macht den Unterschied deutlich: Die Bundesregierung rechnet mit rund 8.250 besonders wichtigen und rund 21.600 wichtigen Einrichtungen, also knapp 30.000 [9], während die klassische KRITIS-Regulierung nur einen Bruchteil davon erfasst. Wer schon KRITIS-konform ist, hat einen Vorsprung – aber keinen Freifahrtschein. Eine ausführliche Gegenüberstellung beider Regime, inklusive der Nachweispflichten, finden Sie in unserem Vergleich NIS2 vs. KRITIS.

Mythos 2: „NIS2 gilt nur für Großkonzerne“

Dieser Mythos hält sich hartnäckig, weil die medial präsenten Bußgelder (bis zu 10 Mio. €, bei Unternehmen mit mehr als 500 Mio. € Umsatz bis zu 2 % des weltweiten Gesamtumsatzes) nach Konzern-Dimension klingen. Die Einstiegsschwelle ist aber deutlich niedriger. Als „wichtige Einrichtung“ gilt bereits, wer einer der Einrichtungsarten der Anlage 1 oder 2 BSIG zuzuordnen ist und mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. € aufweist [8]. Für „besonders wichtige Einrichtungen“ der Anlage 1 liegt die Schwelle bei mindestens 250 Mitarbeitenden oder über 50 Mio. € Umsatz und zugleich über 43 Mio. € Bilanzsumme; Einrichtungen der Anlage 2 sind auch bei dieser Größe „wichtige Einrichtungen“. Daten von Partner- und verbundenen Unternehmen werden grundsätzlich mitgezählt (§ 28 Abs. 4 BSIG).

Noch wichtiger für viele Mittelständler: Einige Einrichtungsarten sind unabhängig von der Größe erfasst. Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter gelten stets als besonders wichtige Einrichtungen; nicht qualifizierte Vertrauensdiensteanbieter sowie kleinere Anbieter öffentlicher Telekommunikationsnetze und -dienste gelten als wichtige Einrichtungen [8]. Ein zehnköpfiges Unternehmen mit einem qualifizierten Vertrauensdienst fällt damit unter das BSIG, ein 300-Mitarbeiter-Industriebetrieb, der keiner Einrichtungsart der Anlagen 1 oder 2 zuzuordnen ist, dagegen in der Regel nicht. Prüfen Sie Ihre konkrete Einstufung mit unserer NIS2-Betroffenheitsprüfung.

Mythos 3: „NIS2 ist nur ein IT-Thema“

Diese Annahme kostet in der Praxis am meisten Zeit, weil sie die Geschäftsleitung aus der Verantwortung nimmt, bevor das Thema überhaupt richtig aufgesetzt ist. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen ausdrücklich dazu, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen – das ist keine Kann-Bestimmung, sondern eine unmittelbare Organpflicht [2]. Artikel 20 der NIS2-Richtlinie verlangt auf EU-Ebene zusätzlich, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen und für Verstöße verantwortlich gemacht werden können [5]; eine ausdrückliche Billigungspflicht hat der deutsche Gesetzgeber in § 38 BSIG nicht übernommen [2].

Auch inhaltlich geht § 30 BSIG weit über klassische IT-Sicherheit hinaus: Von den zehn Maßnahmenkategorien betreffen mindestens vier originär organisatorische oder personelle Themen – Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement), Personalsicherheit und Zugriffskontrolle, Schulungen und Sensibilisierung sowie Lieferkettensicherheit [3]. Ein Compliance-Projekt, das ausschließlich in der IT-Abteilung aufgehängt wird, deckt strukturell nur einen Teil der gesetzlichen Anforderung ab.

Mythos 4: „Eine ISO-27001-Zertifizierung reicht aus“

Der Mythos hat einen wahren Kern, der ihn gefährlich macht: Die Überschneidung ist tatsächlich groß. Das BSI sieht zwischen einer ISO/IEC-27001-Zertifizierung und § 30 BSIG „große Schnittmengen“ und bezeichnet sie als „gutes Fundament“ – stellt aber zugleich klar, dass eine Zertifizierung „nicht automatisch“ bedeutet, dass ein Unternehmen NIS-2-konform ist oder sämtliche Anforderungen nach § 30 BSIG erfüllt; als Nachweis der NIS-2-Konformität könne sie nicht betrachtet werden [10]. Eine belastbare Prozentzahl für den Deckungsgrad gibt es nicht – er hängt vor allem davon ab, wie das ISMS zugeschnitten ist.

Das BSI nennt konkret mehrere Lücken [10]: Erstens den Geltungsbereich – den Scope eines ISMS legt die Einrichtung selbst fest, er kann auf einzelne Standorte oder Geschäftsbereiche beschränkt sein, während das BSIG die Maßnahmen für den gesamten relevanten Einrichtungsbetrieb verlangt. Zweitens die Risikobehandlung – ISO 27001 lässt Risikoakzeptanz und Risikotransfer zu, ein pauschaler Risikotransfer oder eine generelle Risikoakzeptanz ist nach Auffassung des BSI unter dem BSIG ausgeschlossen. Drittens gesetzliche Pflichten, die die Norm selbst nicht kennt: die Meldepflichten nach § 32 BSIG mit einer Frühwarnung binnen 24 Stunden, die Registrierung nach § 33 BSIG und die Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung nach § 38 BSIG [1][2]. Hinzu kommt die Pflicht, die Einhaltung der Maßnahmen zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG), deren Verletzung nach § 65 Abs. 2 Nr. 3 BSIG bußgeldbewehrt ist [3][4]. ISO-zertifizierte Einrichtungen sollten deshalb vor allem Scope, Meldeprozess und Nachweisdokumentation gezielt gegen das BSIG prüfen.

Mythos 5: „Es gibt keine Frist mehr, also keine Eile“

Dieser Mythos entsteht meist aus einer Verwechslung von Pflichtbeginn, Registrierungsfrist und behördlichen Hinweisen. Die Pflichten aus dem BSIG gelten seit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025; eine Übergangsfrist für die Umsetzung der Risikomanagementmaßnahmen sieht das Gesetz nicht vor. Für die Registrierung verlangt § 33 Abs. 1 BSIG die Übermittlung der Angaben „spätestens drei Monate“, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt [1]; für Einrichtungen, die bereits am 6. Dezember 2025 erfasst waren, endete diese Frist am 6. März 2026. Das Datum 31. Juli 2026, bis zu dem das BSI ausstehende Registrierungen erwartete, war keine gesetzliche Nachfrist – Details in unserem Beitrag zur BSI-„Nachfrist“ 31. Juli 2026. Wer noch nicht registriert ist, sollte dies unverzüglich nachholen: Eine unterlassene oder verspätete Registrierung kann nach § 65 Abs. 2 Nr. 6 in Verbindung mit Abs. 5 Satz 1 Nr. 5 BSIG mit einer Geldbuße von bis zu 500.000 € geahndet werden, und das BSI kann die Registrierung nach § 33 Abs. 3 BSIG auch selbst vornehmen [1][4].

Für Register-Updates gilt ohnehin eine deutlich kürzere Frist: Änderungen an bereits gemeldeten Angaben müssen unverzüglich, spätestens aber binnen zwei Wochen mitgeteilt werden [1]. Wer die Registrierung „auf später“ verschiebt, verschiebt damit auch die interne Vorarbeit – Rollen, Verantwortlichkeiten und Nachweisdokumente lassen sich selten in wenigen Tagen improvisieren.

Mythos 6: „NIS2 betrifft nur Technologie- und IT-Unternehmen“

Wer NIS2 für ein reines Digitalthema hält, hat vermutlich nur die Schlagzeilen zu Cloud-Anbietern und Rechenzentren gelesen. Der tatsächliche Anwendungsbereich der Richtlinie umfasst 18 Sektoren, aufgeteilt in zwei Kategorien. Anhang I (hohe Kritikalität, 11 Sektoren) reicht von Energie, Verkehr und Bankwesen über Finanzmarktinfrastruktur, Gesundheitswesen, Trink- und Abwasser bis zu digitaler Infrastruktur, öffentlicher Verwaltung und Raumfahrt. Anhang II (sonstige kritische Sektoren, 7 Sektoren) umfasst unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemieindustrie, Lebensmittelproduktion, verarbeitendes Gewerbe und Forschung. Das BSIG ordnet diese Sektoren in Anlage 1 und Anlage 2 neu: Anlage 1 fasst sie zu sieben Sektoren zusammen (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum), Anlage 2 umfasst sieben weitere Sektoren; die Bundesverwaltung ist gesondert geregelt [8].

Ein industrieller Schlachthof, ein Maschinenbauer oder ein Wasserversorger haben mit „Tech“ im umgangssprachlichen Sinn wenig zu tun – fallen aber ebenso unter NIS2 wie ein Cloud-Anbieter, sofern sie die Größenschwellen erreichen. Umgekehrt ist nicht jeder Hersteller erfasst: Das verarbeitende Gewerbe in Anlage 2 BSIG umfasst nur bestimmte Wirtschaftszweige, etwa Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinenbau und Fahrzeugbau (NACE C26 bis C30) [8]. Eine erste Orientierung bietet unsere Betroffenheitsprüfung; maßgeblich sind die Einrichtungsarten in den Anlagen 1 und 2 BSIG.

Mythos 7: „Ein Bußgeld trifft nur das Unternehmen, nicht die Geschäftsführung persönlich“

Dieser Mythos ist halb richtig – und gerade deshalb gefährlich. Die Bußgeldrahmen des § 65 BSIG knüpfen an die Einrichtung an: bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen; nur bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. € steigt die Obergrenze auf bis zu 2 % bzw. 1,4 % des Gesamtumsatzes [4]. Einen eigenen Bußgeldtatbestand für Verstöße gegen § 38 BSIG enthält § 65 nicht. Persönlich wird es für die Geschäftsleitung trotzdem – das ist eine der einschneidendsten Neuerungen gegenüber der Vorgängerrichtlinie: Nach § 38 Abs. 2 BSIG haften Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden „nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts“ [2]. Das ist eine Innenhaftung gegenüber dem eigenen Unternehmen, unabhängig vom Bußgeld gegen die Einrichtung. Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde zudem als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen, wenn Anordnungen des BSI trotz Fristsetzung nicht befolgt werden (§ 61 Abs. 9 BSIG) [12]. Ob daneben eine persönliche Verantwortlichkeit nach allgemeinem Ordnungswidrigkeitenrecht in Betracht kommt, hängt vom Einzelfall ab.

Artikel 20 der NIS2-Richtlinie zieht diese Verantwortung auf EU-Ebene bewusst auf Vorstands- bzw. Geschäftsführungsebene: Die Leitungsorgane sollen die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen [5]. Das BSIG setzt dies als Pflicht zur Umsetzung und Überwachung (§ 38 Abs. 1) und als regelmäßige Schulungspflicht (§ 38 Abs. 3) um; eine ausdrückliche Billigungspflicht enthält § 38 BSIG nicht [2]. Die Überwachungspflicht trifft nach dem Wortlaut die Geschäftsleitung selbst – auch wenn operative Aufgaben an die IT-Abteilung delegiert sind. Ein dokumentierter Beschluss der Geschäftsleitung zur Kenntnisnahme und Freigabe der Maßnahmen ist daher kein gesetzliches Formerfordernis, aber ein naheliegender Weg, die Wahrnehmung der Umsetzungs- und Überwachungspflicht nachvollziehbar zu belegen.

Mythos 8: „NIS2 gilt EU-weit einheitlich und überall gleich“

NIS2 ist eine Richtlinie, kein unmittelbar geltendes EU-Gesetz – sie muss von jedem Mitgliedstaat in nationales Recht umgesetzt werden, und diese Umsetzung fällt in Tempo und Ausgestaltung sehr unterschiedlich aus. Deutschland hat mit dem NIS2UmsuCG und der Novelle des BSIG bereits reagiert; andere Staaten hinken deutlich hinterher. Die EU-Kommission hat Irland, Spanien, Frankreich und die Niederlande am 8. Juli 2026 wegen ausbleibender Umsetzung an den Europäischen Gerichtshof verwiesen – mit Antrag auf einen Pauschalbetrag und tägliche Zwangsgelder bis zur vollständigen Umsetzung [11]. In den Niederlanden nahm die Eerste Kamer das Umsetzungsgesetz (Cyberbeveiligingswet) erst am 7. Juli 2026 an, einen Tag vor der Verweisung; es trat am 15. August 2026 in Kraft.

Für Unternehmen mit Tochtergesellschaften oder Lieferanten in mehreren EU-Staaten heißt das konkret: unterschiedliche zuständige Behörden, teils abweichende Meldewege und -fristen, und in einigen Ländern schlicht noch kein anwendbares nationales Gesetz. Wer NIS2 als eine einzige, überall identische Vorschrift behandelt, übersieht genau diese Länder-Fragmentierung – mit der man bei grenzüberschreitenden Konzernstrukturen aktiv umgehen muss, nicht nur zur Kenntnis nehmen.

Mythos 9: „Wenn wir IT und Cloud auslagern, kümmert sich der Anbieter um NIS2“

Das ist einer der teuersten Irrtümer, weil er in der Praxis zu einer klaren Verantwortungslücke führt. Erwägungsgrund 83 der NIS2-Richtlinie stellt klar, dass die Risikomanagement- und Meldepflichten unabhängig davon gelten, ob eine Einrichtung ihre Netz- und Informationssysteme selbst betreibt oder deren Wartung auslagert [7]. Ein Cloud-Anbieter oder Managed-Service-Provider kann Aufgaben übernehmen – die gesetzliche Verantwortung bleibt bei der Einrichtung, die die Leistung einkauft.

Erwägungsgrund 86 verschärft das sogar: Einrichtungen sollen bei der Auswahl eines Managed-Security-Service-Providers „erhöhte Sorgfalt“ walten lassen, gerade weil solche Anbieter tief in die eigenen Systeme integriert sind und selbst ein attraktives Angriffsziel darstellen [7]. Wer im Auslagerungsvertrag keine expliziten NIS2-Pflichten für den Anbieter (Mitwirkung bei Meldefristen, Nachweisrechte, Informationspflichten) verankert hat, bleibt im Ernstfall gegenüber der Aufsicht voll verantwortlich – und hat gegenüber dem Anbieter oft nur begrenzte vertragliche Hebel. Die Sicherheit der Lieferkette ist ohnehin eine der Pflichtmaßnahmen nach § 30 Abs. 2 Nr. 4 BSIG [3].

Mythos 10: „Eine Meldepflicht entsteht nur bei Datendiebstahl“

Wer NIS2-Meldepflichten mit der DSGVO-Meldepflicht bei Datenschutzverletzungen gleichsetzt, unterschätzt den Anwendungsbereich erheblich. Artikel 23 Abs. 3 der NIS2-Richtlinie definiert einen Vorfall als „erheblich“, wenn er entweder (a) eine schwerwiegende Betriebsstörung der Dienste oder einen finanziellen Schaden verursacht hat oder verursachen kann, oder (b) andere natürliche oder juristische Personen durch erheblichen materiellen oder immateriellen Schaden betrifft oder betreffen kann [6]. § 2 Nr. 11 BSIG übernimmt diese Definition des „erheblichen Sicherheitsvorfalls“ für Deutschland. Eine Beschränkung auf Vertraulichkeits- oder Datenschutzvorfälle enthält keiner der beiden Texte.

Praktisch bedeutet das: Ein Ransomware-Ausfall ohne nachgewiesenen Datenabfluss, ein DDoS-Angriff, der die Servicebereitstellung stundenlang unterbricht, oder ein Konfigurationsfehler, der Kunden vom Zugriff ausschließt, können allesamt meldepflichtig sein – unabhängig davon, ob personenbezogene Daten betroffen waren. Die Meldekette nach § 32 BSIG (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung) läuft in diesen Fällen genauso wie bei einem klassischen Datenleck.

Was diese Mythen in der Praxis kosten

Die zehn Irrtümer in diesem Artikel haben ein gemeinsames Muster: Sie klingen alle plausibel, weil sie eine komplexe Regelung auf eine bequeme, vereinfachte Version reduzieren. Genau diese Vereinfachung ist das Risiko – nicht, weil die Richtlinie absichtlich kompliziert wäre, sondern weil sie bewusst risikobasiert und branchenübergreifend formuliert ist, um unterschiedlichste Einrichtungen abzudecken. Ein Gap zwischen angenommener und tatsächlicher Rechtslage fällt selten im Alltag auf – sondern meist erst dann, wenn eine Behörde nachfragt, ein Vorfall eintritt oder ein Kunde im Rahmen der Lieferkettenprüfung konkrete Nachweise verlangt.

Der praktikabelste nächste Schritt ist selten, den gesamten Maßnahmenkatalog auf einmal anzugehen. Prüfen Sie zuerst, ob und in welcher Kategorie Ihr Unternehmen überhaupt betroffen ist, klären Sie die Registrierung, und dokumentieren Sie die Rolle der Geschäftsleitung – die drei Punkte, an denen die hier behandelten Mythen am häufigsten zu echten Lücken führen.

Häufige Fragen zu NIS2-Mythen

Ist mein KRITIS-Status automatisch gleichbedeutend mit NIS2-Konformität?
Nein. Der KRITIS-Status löst zusätzliche NIS2-Pflichten aus (automatische Einstufung als besonders wichtige Einrichtung), ersetzt aber keine der zehn Maßnahmen aus § 30 BSIG. Für Energie- und Telekommunikationsbetreiber gelten insoweit vorrangig die Sonderregeln von EnWG bzw. TKG (§ 28 Abs. 5 BSIG).

Reicht es, wenn nur die IT-Abteilung die Umsetzung verantwortet?
Nein. § 38 BSIG verpflichtet ausdrücklich die Geschäftsleitung zur Umsetzung und Überwachung – eine rein operative IT-Zuständigkeit erfüllt diese Organpflicht nicht.

Macht eine ISO-27001-Zertifizierung die NIS2-Registrierung überflüssig?
Nein. Registrierung (§ 33 BSIG), Meldepflichten (§ 32 BSIG) und die Pflichten der Geschäftsleitung (§ 38 BSIG) sind gesetzliche Pflichten, die ein Zertifikat nicht ersetzt – unabhängig vom Reifegrad des ISMS. Das BSI betont ausdrücklich, dass eine ISO/IEC-27001-Zertifizierung nicht automatisch NIS-2-Konformität bedeutet [10].

Muss ich einen Vorfall auch ohne Datenabfluss melden?
Ja, sofern er eine schwerwiegende Betriebsstörung oder einen finanziellen Schaden verursacht oder verursachen kann (Art. 23 Abs. 3 NIS2-Richtlinie, § 2 Nr. 11 BSIG) – unabhängig davon, ob personenbezogene Daten betroffen sind.

Dieser Artikel bietet ausschließlich allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Branche, Rechtsform und Einzelfall abweichen. Ziehen Sie für eine verbindliche Einschätzung Ihrer Situation einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten hinzu.

Quellen

• § 33 BSIG – Registrierung (gesetze-im-internet.de)
• § 38 BSIG – Verantwortung der Geschäftsleitung (gesetze-im-internet.de)
• § 30 BSIG – Risikomanagementmaßnahmen (gesetze-im-internet.de)
• § 65 BSIG – Bußgeldvorschriften (gesetze-im-internet.de)
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 20 – Governance (eur-lex.europa.eu)
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 23 – Berichtspflichten (eur-lex.europa.eu)
• Richtlinie (EU) 2022/2555 (NIS2), Erwägungsgründe 83 & 86 (eur-lex.europa.eu)
• § 28 BSIG – Besonders wichtige und wichtige Einrichtungen, mit Anlage 1 und Anlage 2 (gesetze-im-internet.de)
• BT-Drucksache 21/1501 – Gesetzentwurf der Bundesregierung zum NIS2UmsuCG (Erfüllungsaufwand) (bundestag.de)
• BSI #nis2know: ISO/IEC 27001 im Kontext NIS-2 / BSIG (bsi.bund.de)
• EU-Kommission: Verweisung von Irland, Spanien, Frankreich und den Niederlanden an den EuGH (08.07.2026) (digital-strategy.ec.europa.eu)
• § 61 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen (gesetze-im-internet.de)
• § 31 BSIG – Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen (gesetze-im-internet.de)
• OpenKRITIS – NIS2-Umsetzungsgesetz (openkritis.de)
• Interne Quelle: NIS2 vs. KRITIS
• Interne Quelle: NIS2-Betroffenheitsprüfung