NORDRHEIN-WESTFALEN / LONDON (IT BOLTWISE) – Das NIS2-Umsetzungsgesetz macht IT-Sicherheit zur Geschäftsführungsaufgabe: Ab 2026 rücken zehntausende Unternehmen in den Pflichtenkatalog. Besonders brisant ist die persönliche Haftung der Geschäftsführung für die Umsetzung, inklusive verpflichtender Schulungen. Parallel zeigt DORA, dass Sicherheitslücken häufig bei IKT-Drittdienstleistern entstehen. Für IT- und Compliance-Verantwortliche wird damit klar: Ohne revisionssichere Nachweise, sauberes Third-Party-Management und belastbare Audit-Trails wird es eng.
Die EU verschärft die IT-Sicherheitsauflagen nicht nur auf dem Papier, sondern auch in der operativen Praxis: Mit NIS2 und DORA wandert die Verantwortung für Informationssicherheit zunehmend aus dem IT-Ressort in die Chefetagen. In Deutschland konkretisiert das NIS2-Umsetzungsgesetz, auf dessen Basis ein Entwurf aus September 2025 vorliegt, die Anforderungen für die Wirtschaft. Zentral ist dabei das BSIG-neu, das in den Paragrafen 30 und 43 ff. ein strukturiertes Risikomanagement sowie Informationssicherheitssysteme (ISMS) festschreibt. Für betroffene Organisationen bedeutet das: Sicherheit wird nicht mehr als Nebenprodukt verstanden, sondern als dauerhaft zu steuernder Management- und Kontrollprozess.
Wer unter den neuen Rahmen fällt, ist verhältnismäßig klar abgegrenzt. Nach dem Entwurf sind Unternehmen betroffen, die ab 50 Mitarbeitenden oder ab 10 Millionen Euro Jahresumsatz liegen und in kritischen Sektoren wie Energie, Verkehr, Bankwesen oder Gesundheit aktiv sind. Rund 29.500 Unternehmen sollen damit bereits ab 2026 in den verschärften Regelbereich fallen. Besonders scharf ist die Konsequenz für die Leitung: Gemäß § 38 BSIG-neu haftet die Geschäftsführung persönlich für die Umsetzung. Damit verschiebt sich der Maßstab von „Wir haben Sicherheitssoftware“ hin zu „Wir können die Umsetzung nachweisen und nach Steuerungslogiken betreiben“. In der Konsequenz werden Management-Pflichtschulungen nicht nur empfehlenswert, sondern zum organisatorischen Muss.
Ein weiterer Hebel kommt aus dem Finanzsektor, weil DORA dort bereits zeigt, wo typische Schwachstellen entstehen. Dort geht es explizit um operative Widerstandsfähigkeit und die Frage, wie gut Unternehmen auch dann abgesichert bleiben, wenn externe Anbieter Daten verarbeiten oder kritische Funktionen bereitstellen. Die Kernaussage aus dem Umfeld DORA ist deutlich: Über 50 Prozent der meldepflichtigen Vorfälle betreffen IKT-Drittdienstleister. Aus technischer Sicht ist das logisch, denn viele Sicherheitskontrollen enden im Vertrag oder im Datenflussdiagramm, nicht in der Realität des Betriebs. Praktisch heißt das, dass NIS2 nicht als reines IT-Projekt verstanden werden darf, sondern als Governance-Aufgabe mit klaren Verantwortlichkeiten, Prüfmechanismen und dokumentierbarer Steuerung.
Für die Umsetzung nennen die Anforderungen deshalb Schritte, die sich in bestehenden Kontrollumgebungen abbilden lassen: Kritische Abhängigkeiten von externen Partnern müssen identifiziert, Drittdienstleister aktiv gesteuert und geprüft werden. Entscheidend ist auch der Aufbau revisionssicherer Nachweise, also Audit-Trails für sicherheitsrelevante Prozesse. Ohne nachvollziehbare Historie wird die Nachweiskette im Ernstfall brüchig – und genau daran knüpft die Haftungslogik der Geschäftsführung an. DORA und NIS2 fordern zudem systematische Personalprüfungen; für KRITIS-Betreiber und Finanzinstitute werden automatisierte Screenings mit Finanz-Checks und Strafregisterabgleichen im Kontext der Anforderungen ausdrücklich adressiert. Unternehmen, die solche Prüf- und Nachweisprozesse bereits mit HR-Workflows und Ticket- bzw. Identity-Prozessen gekoppelt haben, starten meist schneller – alle anderen müssen parallel zu technischen Kontrollen organisatorische Nachweisfähigkeit herstellen.
Die Datenschutzdimension kommt dabei oft zu kurz, obwohl sie in Log-Dateien sehr konkret wird. Ein häufig übersehener Punkt sind personenbezogene Daten in Sicherheitsprotokollen: IP-Adressen, Benutzernamen oder E-Mail-Adressen können als personenbezogene Informationen gelten und damit der DSGVO-Zweckbindung und Datenminimierung unterliegen. Fachlich wird in diesem Kontext empfohlen, bestehende ISO-27001-Zertifizierungen um ISO 27701 zu erweitern, weil so die Datenschutzanforderungen in das Informationssicherheitsmanagementsystem besser integriert werden. Damit wird auch verständlich, warum Audits zunehmend „End-to-End“ denken: Es reicht nicht, Zugriffe zu protokollieren; es muss auch begründbar sein, warum diese Protokollierung welche Daten in welcher Granularität verarbeitet. Gerade bei KI-gestützten Programmierassistenten in Stadtwerken oder anderen KRITIS-Betrieben wird die Nachweiskette zusätzlich anspruchsvoll.
In diesem Bereich verdichten sich die Anforderungen: Wer KI-Systeme einsetzt, muss für ein erfolgreiches NIS2-Audit nachweisen können, dass Quellcode innerhalb der EU verarbeitet wird und vollständige Audit-Trails über die Modellnutzung existieren. Außerdem müssen Telemetrie-Datenflüsse in Drittstaaten außerhalb der EU deaktiviert sein. Die praktischen Risiken sind nicht theoretisch. Berichte aus der Zeit um Mitte Juli 2026 beschreiben einen Konfigurationsfehler bei einer Erweiterung für Bürosoftware eines US-Anbieters, bei dem unredigierte Dateiinhalte – darunter sensible Umgebungsvariablen – in öffentliche Cloud-Speicher gelangten; der Anbieter deaktivierte die betroffenen Funktionen am 13. und 14. Juli. Für Unternehmen heißt das: KI-Nutzung wird zur Frage der technischen Lieferkette, der Datenflüsse und der Nachweisfähigkeit – und damit zur direkten Schnittstelle zwischen Security, Datenschutz und Betrieb.
Auch die Bedrohungslage verstärkt den Druck. In Nordrhein-Westfalen sollen Ransomware-Angriffe zunehmen; bundesweit hätten Cyberangriffe 2025 Schäden von rund 202 Milliarden Euro verursacht. Im Fokus der Experten steht dabei unter anderem die „Anubis“-Ransomware: Anfang Juli forderte sie rund 90 Opfer, nutzt einen Modus zum unwiderruflichen Löschen von Dateien und umgeht Multi-Faktor-Authentifizierungen über Schwachstellen. Parallel wurde am 26. Juli eine lokale Sicherheitslücke im Linux-Kernel bekannt (CVE-2026-53274), für die noch ein Patch fehlte. Wer daraus eine reine Patch- oder Incident-Checkliste ableitet, verkennt den Kern: Die gesetzlichen Anforderungen zielen auf Prozessreife, nicht auf Einmalmaßnahmen. Ab 2027 kommt zudem die EU-Maschinenverordnung (2023/1230) ins Spiel, die im Januar 2027 in Kraft tritt und neue Cybersecurity- sowie Dokumentationsanforderungen für Software in Maschinen setzt; eine generelle Nachrüstpflicht für Bestandsmaschinen besteht nach aktuellem Stand nicht. Das verschafft zwar Spielraum, macht aber die Dokumentations- und Governance-Anforderungen nicht weniger dringlich.
Am Ende führt an einer proaktiven Sicherheitsstrategie für Geschäftsführer kaum ein Weg vorbei. NIS2 und DORA bauen eine Realität, in der Verantwortliche nicht nur Technik anschaffen, sondern Kontroll- und Nachweissysteme etablieren müssen, die sich im Audit zeigen lassen. Wer zusätzlich die Datenschutzfalle in Log-Dateien sowie die Besonderheiten bei KI-Einsatz und Telemetrie ernst nimmt, reduziert Haftungs- und Betriebsrisiken zugleich. Für die Praxis empfiehlt sich, Security nicht erst im Krisenfall zu „aktivieren“, sondern als fortlaufendes Betriebsmodell zu verankern: Third-Party-Risiken, personenbezogene Protokollierung, revisionssichere Nachweise und dokumentierte Personalprüfungen sollten dabei als zusammenhängende Kette betrachtet werden. In den nächsten Monaten entscheidet sich, welche Unternehmen diese Kette bereits organisatorisch durchgängig gebaut haben – und welche erst im Rahmen der ersten Prüfungen nachziehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NIS2-Umsetzungsgesetz: Warum Geschäftsführer bei Verstößen persönlich haften" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NIS2-Umsetzungsgesetz: Warum Geschäftsführer bei Verstößen persönlich haften" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NIS2-Umsetzungsgesetz: Warum Geschäftsführer bei Verstößen persönlich haften« bei Google Deutschland suchen, bei Bing oder Google News!