Die Europäische Union hat in den vergangenen Jahren mehrere Gesetze zur Cybersicherheit beschlossen. Sie gehören zur Cybersicherheitsstrategie der EU, setzen aber an ganz unterschiedlichen Stellen an. Manche verpflichten Unternehmen bestimmter Sektoren, andere die Hersteller von Produkten, wieder andere nur die Mitgliedstaaten. Dieser Beitrag gibt einen Überblick über die wichtigsten Regelwerke und zeigt, was davon für kleine und mittlere Unternehmen (KMU) in Deutschland wichtig ist. Er beschreibt die Rechtslage im Oktober 2026 und ersetzt keine Rechtsberatung im Einzelfall.
Die Cybersicherheitsstrategie der EU
Die EU-Kommission und der Hohe Vertreter der EU für Außen- und Sicherheitspolitik haben eine gemeinsame Cybersicherheitsstrategie vorgelegt. Sie hat drei Handlungsfelder:
- Widerstandsfähigkeit, technologische Souveränität und Führungsrolle,
- operative Fähigkeiten, um Angriffe zu verhindern, abzuschrecken und darauf zu reagieren,
- Zusammenarbeit für einen weltweit offenen Cyberraum.
Die Strategie selbst verpflichtet kein Unternehmen. Pflichten entstehen erst durch Richtlinien und Verordnungen. Der Unterschied ist wichtig: Eine Verordnung gilt unmittelbar in allen Mitgliedstaaten. Eine Richtlinie müssen die Mitgliedstaaten erst in nationales Recht umsetzen. Eine Übersicht bietet die Seite der EU-Kommission zur Cybersicherheitsstrategie.
NIS-2: Pflichten für Unternehmen in wichtigen Sektoren
NIS steht für Netz- und Informationssicherheit. Die Richtlinie (EU) 2022/2555, kurz NIS-2, hat die erste NIS-Richtlinie abgelöst. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen. Sie erfasst laut EU-Kommission 18 Sektoren, darunter Energie, Verkehr, Gesundheit, Finanzwesen, digitale Infrastruktur und öffentliche Verwaltung.
In Deutschland gilt die Umsetzung seit dem 6. Dezember 2025. Maßgeblich ist das neu gefasste Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI-Gesetz oder BSIG. Ob ein Unternehmen betroffen ist, hängt von zwei Fragen ab:
- Tätigkeit: Fällt die Tätigkeit unter eine Einrichtungsart in Anlage 1 oder 2 des BSIG?
- Größe: Als wichtige Einrichtung gilt ein solches Unternehmen ab 50 Beschäftigten oder ab einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 BSIG). Für besonders wichtige Einrichtungen liegen die Schwellen höher.
Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa DNS-Diensteanbieter und Vertrauensdiensteanbieter. Das BSI teilt Unternehmen nicht mit, ob sie betroffen sind. Die Prüfung liegt beim Unternehmen selbst. Als unverbindliche Hilfe bietet das BSI eine Betroffenheitsprüfung an.
Betroffene Unternehmen haben unter anderem diese Pflichten:
- Registrierung beim BSI spätestens drei Monate, nachdem sie als betroffen gelten (§ 33 BSIG).
- Risikomanagement auf Grundlage einer Risikoanalyse, angemessen zu Größe und Risiko (§ 30 BSIG). Dazu gehört auch die Sicherheit der Lieferkette.
- Meldung erheblicher Sicherheitsvorfälle an das BSI (§ 32 BSIG): eine frühe Erstmeldung innerhalb von 24 Stunden, eine Folgemeldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung.
- Verantwortung der Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
Einzelheiten finden Sie in den Fragen und Antworten des BSI zu NIS-2 und ausführlicher in unserem Ratgeber zur NIS-2-Richtlinie.
Cyber Resilience Act: Pflichten für Hersteller digitaler Produkte
Der Cyber Resilience Act, kurz CRA, ist die Verordnung (EU) 2024/2847. Er regelt nicht die IT-Sicherheit in Unternehmen allgemein. Er stellt Anforderungen an Produkte mit digitalen Elementen, also an Hardware und Software, die auf dem EU-Markt angeboten wird. Beispiele des BSI sind Laptops, Smartphones, Smart-Home-Geräte, Firewalls, Buchhaltungssoftware und mobile Apps.
Verpflichtet sind vor allem die Hersteller solcher Produkte, auch wenn sie ihren Sitz außerhalb der EU haben. Importeure und Händler müssen laut BSI ebenfalls auf die Einhaltung achten. Zu den Herstellerpflichten gehören unter anderem:
- Cybersicherheit bei Entwicklung und Voreinstellungen berücksichtigen,
- eine Risikobewertung und eine Software-Stückliste (SBOM) erstellen,
- Schwachstellen während des Unterstützungszeitraums behandeln und Sicherheitsupdates bereitstellen,
- das Ende des Unterstützungszeitraums klar angeben.
Der Unterstützungszeitraum beträgt nach Angaben des BSI in der Regel fünf Jahre. Ein eigenes Prüfzeichen gibt es nicht. Die CE-Kennzeichnung umfasst künftig auch die Anforderungen an die Cybersicherheit. Ausgenommen sind unter anderem nicht-kommerzielle Open-Source-Software sowie Bereiche mit eigenen Regeln, etwa Medizinprodukte und Fahrzeuge.
Der CRA ist am 10. Dezember 2024 in Kraft getreten. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: eine Frühwarnung innerhalb von 24 Stunden, weitere Angaben innerhalb von 72 Stunden. Die übrigen Pflichten gelten ab dem 11. Dezember 2027. Mehr dazu auf der Seite des BSI zum Cyber Resilience Act.
Cyber Solidarity Act: Zusammenarbeit der Mitgliedstaaten
Die Verordnung (EU) 2025/38, kurz Cyber Solidarity Act, ist am 4. Februar 2025 in Kraft getreten. Sie soll die Fähigkeiten der EU stärken, Cyberbedrohungen zu erkennen, sich darauf vorzubereiten und auf Vorfälle zu reagieren. Sie hat drei Bausteine:
- ein europäisches Warnsystem aus nationalen und grenzüberschreitenden Cyber-Hubs,
- einen Notfallmechanismus mit Tests der Vorsorge in kritischen Sektoren, einer EU-Cybersicherheitsreserve aus privaten Dienstleistern für die Reaktion auf Vorfälle und gegenseitiger Unterstützung der Mitgliedstaaten,
- ein Verfahren, mit dem die EU-Agentur für Cybersicherheit ENISA erhebliche Vorfälle im Nachgang auswertet.
Die Verordnung richtet sich an die Mitgliedstaaten und die EU-Einrichtungen. Für ein typisches mittelständisches Unternehmen entstehen daraus keine direkten Pflichten. Die Einzelheiten beschreibt die Seite der EU-Kommission zum Cyber Solidarity Act.
DORA: nur für den Finanzsektor und seine Dienstleister
Der Digital Operational Resilience Act, kurz DORA, ist die Verordnung (EU) 2022/2554. Er gilt seit dem 17. Januar 2025 und richtet sich an Finanzunternehmen, etwa Banken und Versicherungen. IT-Dienstleister dieser Unternehmen sind nach Angaben der BaFin nicht unmittelbar verpflichtet. Sie sind aber mittelbar betroffen, weil Finanzunternehmen in ihren Verträgen bestimmte Vorgaben umsetzen müssen. Für die meisten KMU außerhalb des Finanzsektors spielt DORA deshalb keine Rolle.
Und die DSGVO?
Die Datenschutz-Grundverordnung (DSGVO) gilt für fast jedes Unternehmen, das personenbezogene Daten verarbeitet. Sie ist kein reines Cybersicherheitsgesetz, enthält aber eine wichtige Meldepflicht: Eine Verletzung des Schutzes personenbezogener Daten ist der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden zu melden, nachdem sie bekannt wurde (Art. 33 DSGVO). Die Meldung entfällt nur, wenn der Vorfall voraussichtlich zu keinem Risiko für die Betroffenen führt. Für Unternehmen sind meist die Datenschutzbehörden der Länder zuständig. Hinweise dazu gibt der Bundesbeauftragte für den Datenschutz.
Was davon ist für Ihr Unternehmen wichtig?
Die folgende Übersicht hilft bei der ersten Einordnung:
| Regelwerk | Wer ist verpflichtet? | Prüffrage für Ihr Unternehmen |
|---|---|---|
| NIS-2 / BSIG | Unternehmen in bestimmten Sektoren ab einer bestimmten Größe | Fällt unsere Tätigkeit unter Anlage 1 oder 2 des BSIG, und erreichen wir die Schwellenwerte? |
| Cyber Resilience Act | Hersteller, Importeure und Händler von Produkten mit digitalen Elementen | Bringen wir eigene Hardware oder Software auf den Markt, auch als Teil einer Maschine oder eines Geräts? |
| Cyber Solidarity Act | Mitgliedstaaten und EU-Einrichtungen | in der Regel keine direkten Pflichten |
| DORA | Finanzunternehmen | Sind wir ein Finanzunternehmen oder IT-Dienstleister eines solchen? |
| DSGVO | fast alle Unternehmen | Wissen wir, wie wir eine Datenpanne innerhalb der Frist melden? |
Auch wenn Ihr Unternehmen selbst nicht unter NIS-2 fällt, kann das Thema Sie erreichen. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Das BSI weist darauf hin, dass Zulieferer deshalb über Verträge mittelbar erfasst werden können. Beim Einkauf hilft der CRA: Achten Sie bei neuen Geräten und Programmen darauf, wie lange der Hersteller Sicherheitsupdates zusagt.
Unsere Empfehlung für den Einstieg:
- Betroffenheit nach NIS-2 mit der Betroffenheitsprüfung des BSI klären und das Ergebnis dokumentieren.
- Prüfen, ob Sie eigene Produkte mit Software anbieten, die unter den CRA fallen können.
- Einen Meldeablauf festlegen: Wer entscheidet im Ernstfall, was an BSI oder Datenschutzbehörde gemeldet wird?
- Die wichtigsten Risiken Ihrer IT erfassen und Maßnahmen nach Dringlichkeit ordnen.
- Anforderungen von Kunden und Auftraggebern an Ihre IT-Sicherheit sammeln.
Wie wir Sie unterstützen
Bei der Einordnung und Umsetzung begleiten wir Sie mit unserer Leistung NIS2 und Risikomanagement. Den Stand Ihrer IT-Sicherheit prüfen wir im Rahmen unserer Leistungen zur IT-Sicherheit. Für die Überwachung Ihrer Endgeräte auf Angriffe gibt es unser Angebot Managed Detection and Response (MDR). Wie ein Notfallplan für Sicherheitsvorfälle aufgebaut ist, erklärt unser Ratgeber zum Incident Response Plan.
Sprechen Sie mit uns
Sie sind nicht sicher, welche Regeln für Ihr Unternehmen gelten? Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir dafür mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Ausgangslage. Rechtliche Einzelfragen klären Sie bitte zusätzlich mit Ihrer Rechtsberatung.