NIS2-Umsetzung in Deutschland: was das neue BSI-Gesetz für Teams außerhalb des Büros bedeutet

Die Richtlinie (EU) 2022/2555, bekannt als NIS2, hat die erste NIS-Richtlinie ersetzt und legt ein gemeinsames Cybersicherheitsniveau in der EU fest. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und ihre nationalen Vorschriften ab dem 18. Oktober 2024 anwenden. Deutschland war spät dran: Das NIS-2-Umsetzungsgesetz hat das BSI-Gesetz neu gefasst, und das neue BSIG vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) gilt seit dem 6. Dezember 2025. Es spricht von besonders wichtigen und wichtigen Einrichtungen; die Aufsicht führt das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Die Richtlinie gilt für wesentliche und wichtige Einrichtungen in den Sektoren ihrer Anhänge I und II: Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung. In der Regel fallen mittlere und größere Organisationen in diesen Sektoren darunter; manche, etwa bestimmte Einrichtungen der öffentlichen Verwaltung oder einzige Anbieter eines kritischen Dienstes, unabhängig von ihrer Größe.

Maßgeblich sind für Sie die Schwellen in § 28 BSIG: Als besonders wichtig gelten unter anderem Betreiber kritischer Anlagen und Unternehmen eines in Anlage 1 genannten Sektors mit mindestens 250 Beschäftigten oder mehr als 50 Mio. EUR Umsatz und 43 Mio. EUR Bilanzsumme. Dieselben Schwellen gelten für rechtlich unselbstständige Einheiten einer Gebietskörperschaft, die entgeltlich Dienste anbieten, etwa ein kommunaler Eigenbetrieb in der Wasserversorgung. Für die Bundesverwaltung enthält das BSIG eigene Regeln; wie weit Landes- und Kommunalverwaltungen gebunden sind, prüfen Sie im Recht Ihres Landes. Wer erfasst ist, musste sich innerhalb von drei Monaten im BSI-Portal registrieren (§ 33 BSIG); das BSI weist darauf hin, dass diese Frist abgelaufen ist und Nachzügler sich umgehend registrieren sollen.

NIS2 schützt die Dienste, die eine Einrichtung erbringt, und damit die Netz- und Informationssysteme, von denen diese Dienste abhängen. Die Reparaturtrupps eines Wasserversorgers, die Störungsteams eines Stromnetzbetreibers, die Besatzungen eines Rettungsdienstes oder der Krisenstab einer Regionalbehörde stützen sich alle auf Systeme außerhalb des Rechenzentrums:

• Telefone und Tablets, die Aufträge, Karten und Pläne empfangen;
• Messaging zur Koordination eines Einsatzes, einschließlich Verbraucher-Chat-Apps, die Mitarbeitende von sich aus eingeführt haben;
• Standortdaten, Fotos und Vorfallsdatensätze, die im Feld entstehen;
• Cloud-Dienste und Lieferanten, die diese Apps und Daten hosten;
• die Rückfallebene für den Fall, dass Mobilfunknetz oder zentrales System ausfallen.

Artikel 21 der Richtlinie, in Deutschland umgesetzt in § 30 BSIG, verlangt „geeignete, verhältnismäßige und wirksame“ technische und organisatorische Maßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes; die Einhaltung ist zu dokumentieren. Das Gesetz nennt zehn Bereiche als Mindestumfang. Mit Blick auf Teams im Feld gelesen, sehen sie so aus:

• Risikoanalyse und Sicherheitskonzepte: Beziehen Sie Mobilgeräte, Feld-Apps und die darauf gespeicherten Daten in Ihre Risikobewertung ein.
• Bewältigung von Sicherheitsvorfällen: Ein verlorenes Telefon, ein gekapertes Chatkonto oder eine abgeflossene Standortspur ist ein Sicherheitsvorfall; die Einsatzkräfte müssen wissen, wie sie ihn melden.
• Aufrechterhaltung des Betriebs, Backups und Krisenmanagement: Planen Sie, wie Einsatzkräfte weiterarbeiten, wenn Netz oder zentrales System ausfallen; in der Praxis heißt das Offline-Karten und Daten auf dem Gerät.
• Sicherheit der Lieferkette: Bewerten Sie die Anbieter von Feld-Apps und die Dienste dahinter.
• Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen und deren Offenlegung.
• Bewertung der Wirksamkeit der getroffenen Maßnahmen.
• Cyberhygiene und Schulungen: Bildschirmsperren, Updates, Phishing-Bewusstsein auch für Einsatzkräfte, nicht nur für das Büropersonal.
• Kryptografie und Verschlüsselung: Konzepte, die Nachrichten, Fotos und Dateien aus dem Feld abdecken sollten.
• Personalsicherheit, Zugriffskontrolle und Verwaltung der Anlagen: Wissen Sie, welche Geräte es gibt und wer sie hat, und entziehen Sie den Zugang umgehend, wenn jemand ausscheidet.
• Multi-Faktor-Authentifizierung und gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig selbst an Schulungen teilnehmen. Verletzen sie diese Pflichten, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht. Einsätze im Feld werden oft von Menschen geführt, die das Sicherheitskonzept nie zu Gesicht bekommen; NIS2 erwartet, dass die Leitung, die es abzeichnet, weiß, wie es vor Ort gilt.

Die Bußgelder regelt § 65 BSIG. Für fehlende Maßnahmen, Dokumentation oder Meldungen drohen besonders wichtigen Einrichtungen bis zu 10 Mio. EUR, wichtigen Einrichtungen bis zu 7 Mio. EUR. Bei mehr als 500 Mio. EUR Gesamtumsatz steigt die Obergrenze auf 2 % beziehungsweise 1,4 % des Gesamtumsatzes. Das entspricht den Mindestwerten aus Artikel 34 der Richtlinie.

Sinkaos hält die Koordination im Feld in einem System, für das Sie Rechenschaft ablegen können: Schlüssel und Sperrung pro Gerät, MFA und Passkeys, Ende-zu-Ende-verschlüsselte Nachrichten und Dateien, Offline-Betrieb bei Netzausfall, ein manipulationssicheres Audit-Protokoll und die Wahl zwischen EU-Hosting, eigenen Servern und einem vom Netz getrennten Knoten. Es hilft Ihnen, NIS2-Pflichten zu erfüllen; konform macht es Sie nicht von allein. Einzelheiten stehen auf der Sicherheitsseite und unter Betrieb.