NIS-2 scharfgestellt: Erste Bußgelder 2025 – und was Sie jetzt tun müssen
Die NIS-2 Umsetzung in Deutschland war zäh – aber 2025 hat das BSI erstmals durchgegriffen. Sechsstellige Bußgelder und persönliche Haftung der Geschäftsführung sind Realität.
Vom Papier in die Praxis
Lange Zeit war NIS-2 eine Drohung ohne Zähne. Seit Frühjahr 2025 hat sich das geändert. Die wichtigsten 2025er-Entwicklungen im Schnellüberblick:
- NIS-2-Umsetzungsgesetz (NIS2UmsuCG) in Deutschland verabschiedet
- BSI als zuständige Aufsicht mit Bußgeldkompetenz
- Bußgelder bis 10 Mio. EUR oder 2 % des Welt-Jahresumsatzes
- Persönliche Haftung der Geschäftsführung für nicht umgesetzte Mindestmaßnahmen
- Meldepflicht binnen 24 Stunden für signifikante Sicherheitsvorfälle
Sind Sie überhaupt betroffen?
Die Schwellen wurden bewusst niedrig gesetzt. Sie sind wesentliche oder wichtige Einrichtung, wenn Sie:
- Mehr als 50 Mitarbeiter beschäftigen oder
- Mehr als 10 Mio. EUR Jahresumsatz machen, und
- In einem der 18 Sektoren tätig sind (Energie, Gesundheit, Banken, Transport, Wasser, digitale Infrastruktur, Lebensmittel, Hersteller von Medizinprodukten / Maschinenbau / Chemie / Lebensmitteln…)
In Deutschland sind nach Schätzung des BSI ~29.000 Unternehmen direkt betroffen. Wenn Sie produzieren, liefern oder digital handeln – Sie sind wahrscheinlich dabei.
Die zehn Mindestmaßnahmen nach Art. 21 NIS-2
1. Risikoanalyse und Sicherheitskonzepte 2. Vorfallsbewältigung (Incident Response) 3. Aufrechterhaltung des Betriebs (BCM / Backups) 4. Lieferketten-Sicherheit 5. Sichere Beschaffung, Entwicklung und Wartung 6. Bewertung der Wirksamkeit (Audits) 7. Cyber-Hygiene und Schulungen 8. Kryptografie und Verschlüsselung 9. Personalsicherheit und Zugriffskontrolle 10. MFA, sichere Kommunikation, Notfallkommunikation
Die Bußgelder 2025 – was passiert ist
Im ersten Halbjahr 2025 hat das BSI Bußgelder von bis zu 480.000 EUR gegen einen mittelständischen Industriedienstleister verhängt. Der Fall: Kein dokumentiertes Incident-Response-Konzept, keine MFA für Admin-Zugänge, keine Audits.
Das persönliche Risiko für Geschäftsführer ist neu: wer beweislich grob fahrlässig die Mindestmaßnahmen nicht umsetzt, haftet privat. Und – das ist neu – diese Haftung ist D&O-versicherungs-relevant.
Wie wir Sie auf NIS-2 bringen
Wir arbeiten mit einem strukturierten 4-Phasen-Ansatz:
Phase 1 – GAP-Analyse (2 Wochen): Wir mappen Ihren Ist-Zustand gegen die 10 Anforderungen. Ergebnis: konkrete Lücken-Liste mit Priorisierung.
Phase 2 – Quick Wins (4 Wochen): Die 8–12 Maßnahmen, die sofort 60 % des Risikos eliminieren – MFA, Asset-Inventar, Backup-Test, Incident-Response-Playbook.
Phase 3 – Strukturaufbau (3–6 Monate): ISMS-light, Lieferantenmanagement, Awareness-Programm.
Phase 4 – Kontinuierlich: Audits, Monitoring, Reporting.
Sie bekommen am Ende ein prüffähiges Dossier – damit Sie im Audit nicht erst suchen müssen.
Die nächste Frage stellt sich von selbst
Wann haben Sie das letzte Mal Ihr Incident-Response-Playbook geübt? Wenn die Antwort „noch nie" lautet, sollten wir reden.
Klingt das nach Ihrem Risiko?
Wir analysieren in einem kostenfreien 30-Minuten-Gespräch, wie verwundbar Ihre Infrastruktur aktuell ist – konkret, ohne Verkaufs-Folien. Anschließend erhalten Sie eine schriftliche Einschätzung mit drei priorisierten Maßnahmen.
Über 10 Jahre Erfahrung in Managed Security für den deutschen Mittelstand. Made in Germany. Inhabergeführt.
Oder rufen Sie direkt an: +49 (0) 6629 9153890.