Start › IT-Sicherheit
Das Recht der IT-Sicherheit ist seit 2025 deutlich strenger geworden. Mit dem NIS2-Umsetzungsgesetz, dem Cyber Resilience Act und DORA gelten für Tausende Unternehmen erstmals gesetzliche Pflichten zu Risikomanagement, Meldung und Nachweis. Wir prüfen, ob und wie Sie betroffen sind, setzen die Pflichten mit Ihrer IT um und stehen Ihnen bei einem Angriff zur Seite.
NIS2, CRA und DORA: wer ist betroffen?
| Regelwerk | Adressaten | Status November 2026 |
|---|---|---|
| NIS2 / BSIG | Besonders wichtige und wichtige Einrichtungen in 18 Sektoren, in der Regel ab 50 Beschäftigten oder 10 Mio. Euro Umsatz und Bilanzsumme; Betreiber kritischer Anlagen unabhängig von der Größe | in Kraft seit 6.12.2025 |
| Cyber Resilience Act | Hersteller, Importeure und Händler von Hard- und Software mit digitalen Elementen | Meldepflichten seit 11.9.2026, volle Geltung ab 11.12.2027 |
| DORA | Finanzunternehmen und kritische IKT-Drittdienstleister | anwendbar seit 17.1.2025 |
| DSGVO Art. 32 bis 34 | alle Verantwortlichen und Auftragsverarbeiter | gilt |
Unsere Fachseiten zur IT-Sicherheit
- NIS2 und BSIG: Betroffenheitsprüfung, Registrierung beim BSI, Risikomanagement nach § 30 BSIG, Meldepflichten, Pflichten der Geschäftsleitung.
- Cyber Resilience Act: Produktklassen, Konformitätsbewertung, Schwachstellenmanagement, Unterstützungszeitraum.
- DORA: IKT-Risikomanagement, Informationsregister, Verträge mit IKT-Dienstleistern, Vorfallmeldungen an die BaFin.
- Cyberangriff: Sofortmaßnahmen: Ransomware, Datenabfluss, Meldungen, Kommunikation, Ansprüche.
NIS2-Umsetzung in Deutschland: die wichtigsten Pflichten
Das NIS2UmsuCG hat das BSI-Gesetz neu gefasst und ist am 6. Dezember 2025 in Kraft getreten. Betroffene Einrichtungen müssen sich beim BSI registrieren (§ 33 BSIG). Die ursprüngliche Frist lief bis zum 6. März 2026; das BSI hat die Registrierung praktisch bis zum 30. September 2026 ermöglicht. Wer sich bis heute nicht registriert hat, sollte das nachholen und dokumentieren, warum die Registrierung später erfolgt.
- Risikomanagement nach § 30 BSIG: unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Krisenmanagement, Sicherheit der Lieferkette, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
- Meldepflichten nach § 32 BSIG: erste Meldung erheblicher Sicherheitsvorfälle binnen 24 Stunden, Meldung mit Bewertung binnen 72 Stunden, Abschlussmeldung binnen eines Monats.
- Geschäftsleitung nach § 38 BSIG: Billigung und Überwachung der Maßnahmen, regelmäßige Schulung, Haftung gegenüber der Einrichtung.
- Bußgelder: bis 10 Mio. Euro oder 2 Prozent des weltweiten Umsatzes für besonders wichtige, bis 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen.
IT-Sicherheit in Verträgen und Haftung
Auch außerhalb der Spezialgesetze ist IT-Sicherheit eine Rechtsfrage. Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen; nach Datenpannen drohen Schadensersatzforderungen nach Art. 82 DSGVO. In IT-Verträgen bestimmt die vereinbarte Sicherheit, ob eine Leistung mangelhaft ist. Gegenüber Verbrauchern gelten Aktualisierungspflichten nach §§ 327f und 475b BGB. Ab dem 9. Dezember 2026 haften Hersteller nach dem neuen Produkthaftungsgesetz auch für Software und für unterlassene Sicherheitsupdates.
Wir gestalten Cybersecurity-SLAs, Klauseln zu Penetrationstests, Audits und Meldewegen in Dienstleisterverträgen und prüfen Cyberversicherungen auf Obliegenheiten, die im Schadensfall zum Problem werden.
Strafrecht: wenn Systeme angegriffen werden
Angriffe auf IT-Systeme sind nach §§ 202a ff. StGB (Ausspähen und Abfangen von Daten), § 303a StGB (Datenveränderung) und § 303b StGB (Computersabotage) strafbar; Erpressung durch Ransomware fällt zusätzlich unter § 253 StGB. Wir begleiten Unternehmen bei der Strafanzeige und bei der Zusammenarbeit mit den Zentralstellen für Cybercrime. Mehr dazu auf unserer Seite Cyberkriminalität.
So gehen wir vor
- Betroffenheitsanalyse für NIS2, CRA und DORA mit schriftlicher Begründung, auch für den Fall, dass Sie nicht betroffen sind.
- Gap-Analyse mit Ihrer IT oder Ihrem Sicherheitsdienstleister; wir übersetzen die gesetzlichen Pflichten in prüfbare Maßnahmen.
- Meldeplan, der BSIG, DSGVO und gegebenenfalls DORA zusammenführt.
- Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG.
- Begleitung im Ernstfall und bei Prüfungen durch das BSI.
Häufige Fragen zur IT-Sicherheit
Wie finde ich heraus, ob mein Unternehmen unter NIS2 fällt?
Entscheidend sind Tätigkeit, Größe und die Sektoren der Anlagen 1 und 2 zum BSIG. Bei Unternehmensgruppen werden Beschäftigte und Umsätze verbundener Unternehmen in der Regel mitgezählt. Das BSI bietet eine Betroffenheitsprüfung an; in Grenzfällen sollte die Einschätzung juristisch dokumentiert werden.
Wir sind Zulieferer eines NIS2-Unternehmens. Betrifft uns das?
Mittelbar ja. Ihre Kunden müssen die Sicherheit ihrer Lieferkette steuern und geben Anforderungen vertraglich weiter. Rechnen Sie mit Fragebögen, Auditrechten und Meldeklauseln.
Muss ein Ransomware-Angriff gemeldet werden?
Für NIS2-Einrichtungen in aller Regel ja, binnen 24 Stunden an das BSI. Sind personenbezogene Daten betroffen, kommt die 72-Stunden-Meldung an die Datenschutzaufsicht hinzu.
Verwandte Themen
Ihr Ansprechpartner
Sie wollen klären, ob NIS2, CRA oder DORA für Sie gelten, oder es gab einen Sicherheitsvorfall? Rufen Sie uns an unter 0511 35 73 56-0 oder schreiben Sie an info@itrechtler.de.