NIS-2 ist in Kraft: Was die Geschäftsführung jetzt für die Cyberversicherung nachweisen muss

Seit Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es überträgt die europäische Richtlinie zur Netz- und Informationssicherheit in das BSI-Gesetz und verpflichtet deutlich mehr Unternehmen als bisher zu einem nachweisbaren IT-Sicherheitsmanagement – nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) rund 29.000 Betriebe. Viele davon sind Mittelständler, die sich bisher nie als „kritische Infrastruktur“ verstanden haben.

Wer betroffen ist

Das Gesetz unterscheidet „besonders wichtige“ und „wichtige“ Einrichtungen. Entscheidend sind der Sektor und die Größe: Wer in einem der genannten Sektoren tätig ist – darunter Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Chemie, Lebensmittel, Abfallwirtschaft und die Herstellung bestimmter Waren wie Maschinen, Fahrzeuge, Elektronik und Medizinprodukte – und mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme hat, fällt in der Regel unter das Gesetz. Ein Automobilzulieferer mit 80 Mitarbeitenden ist damit genauso betroffen wie ein Paket- und Kurierdienst oder ein Medizinproduktehersteller. Speditionen und Frachtführer im Straßengüterverkehr stehen dagegen nicht im Gesetz – sie werden meist über die Lieferkettenpflichten ihrer betroffenen Kunden in die Pflicht genommen.

Ob Ihr Unternehmen dazugehört, lässt sich mit der Betroffenheitsprüfung des BSI in wenigen Minuten klären. Wer betroffen ist, muss sich beim BSI registrieren – die Fristen dafür sind bereits abgelaufen; wer es versäumt hat, sollte es unverzüglich nachholen.

Was das Gesetz verlangt

Die Pflichten sind weniger technisch, als viele denken. Im Kern geht es um vier Dinge:

1. Risikomanagement nach dem Stand der Technik – Maßnahmen zu Zugriffskontrolle, Verschlüsselung, Datensicherung, Notfallmanagement, Lieferkettensicherheit und Schulung, angemessen zum Risiko und dokumentiert.
2. Meldepflichten bei erheblichen Sicherheitsvorfällen – eine Erstmeldung an das BSI innerhalb von 24 Stunden, eine Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
3. Pflichten der Geschäftsleitung – sie muss die Maßnahmen umsetzen lassen, ihre Umsetzung überwachen und selbst regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
4. Persönliche Haftung – Mitglieder der Geschäftsführung und des Vorstands haften der Gesellschaft gegenüber für schuldhafte Verstöße gegen diese Umsetzungs- und Überwachungspflicht (§ 38 Abs. 2 BSIG in Verbindung mit § 43 GmbHG bzw. § 93 AktG). Ein Verzicht der Gesellschaft auf diese Ansprüche ist nach dem Gesellschaftsrecht nur eingeschränkt möglich.

Dazu kommen Bußgelder, die sich an der Datenschutz-Grundverordnung orientieren: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen.

Was Versicherer fragen – und warum die Antworten dieselben sind

Wer heute eine Cyberversicherung beantragt oder verlängert, bekommt einen Fragebogen, der dem NIS-2-Pflichtenkatalog erstaunlich ähnlich sieht. Fast alle Versicherer verlangen inzwischen Mindeststandards, ohne die es keinen Vertrag oder nur einen mit Ausschlüssen gibt:

• Mehr-Faktor-Anmeldung für alle Zugänge von außen (VPN, E-Mail, Fernwartung, Verwaltungskonten)
• Datensicherungen, die vom Netzwerk getrennt sind, mit regelmäßigen Wiederherstellungstests
• Zeitnahes Einspielen von Sicherheitsupdates, Abschaltung nicht mehr unterstützter Systeme
• Schutzsoftware mit Erkennung und Reaktion auf den Endgeräten (EDR)
• Ein Rechtekonzept, bei dem niemand im Alltag mit Administratorrechten arbeitet
• Schulung der Mitarbeitenden, vor allem zu gefälschten E-Mails und Zahlungsanweisungen
• Ein Notfallplan, der auch ohne funktionierende IT lesbar ist

Das ist kein Zufall. Die Versicherer haben aus den Schäden der letzten Jahre gelernt, welche Lücken Erpressungsangriffe ermöglichen – und der Gesetzgeber hat dieselben Erkenntnisse in den Pflichtenkatalog geschrieben. Für betroffene Unternehmen heißt das: Die Dokumentation, die Sie für NIS-2 ohnehin anlegen müssen, ist zugleich der Nachweis für den Versicherer. Wer beides getrennt angeht, macht die Arbeit zweimal.

Was die Police leistet, was sie nicht leistet

Eine Cyberversicherung ersetzt keine Sicherheitsmaßnahme – sie fängt auf, was trotz Maßnahmen passiert. Im Schadenfall stellt der Versicherer über seine Krisenhotline kurzfristig IT-Forensik und anwaltliche Hilfe bereit und übernimmt – im Umfang des jeweiligen Vertrags – die Wiederherstellung von Daten und Systemen, den Ertragsausfall während des Stillstands, die Krisenkommunikation und die Haftung gegenüber Kunden und Betroffenen. Bußgelder sind nur mitversichert, wenn das ausdrücklich vereinbart ist, und auch dann nur, soweit es rechtlich zulässig ist – für Verwaltungsbußgelder ist das in Deutschland umstritten, weshalb Sie diese Position nicht als Grund für den Abschluss nehmen sollten.

Nicht oder nur gekürzt versichert sind in der Regel: Schäden durch bekannte und nicht geschlossene Sicherheitslücken, Schäden nach Verstößen gegen die vereinbarten Mindeststandards (je nach Verschulden Kürzung oder Wegfall der Leistung, § 28 VVG), Vertragsstrafen und die Kosten für die grundsätzliche Verbesserung der IT nach dem Angriff.

Was die Geschäftsführung jetzt tun sollte

• Betroffenheit klären – mit der Prüfung des BSI, bei Unsicherheit mit Ihrer Rechtsberatung. Auch wer nicht direkt betroffen ist, wird oft von betroffenen Kunden als Lieferant in die Pflicht genommen.
• Mindeststandards umsetzen und dokumentieren – Mehr-Faktor-Anmeldung und getrennte Datensicherungen zuerst. Das sind die beiden Maßnahmen, an denen die meisten Anträge scheitern.
• Cyberversicherung auf den Prüfstand stellen – Betriebsunterbrechung mit ausreichender Haftzeit, Dienstleisterausfall, Abgrenzung zur Vertrauensschadenversicherung, Versicherungssumme im Verhältnis zum Umsatz.
• D&O-Versicherung prüfen – die persönliche Haftung der Geschäftsleitung für Versäumnisse beim Risikomanagement ist kein Cyber-, sondern ein Managementrisiko. Ohne D&O tragen Geschäftsführerinnen und Geschäftsführer es privat.

Wir begleiten Unternehmen bei der Ausschreibung der Cyberversicherung bei den Versicherern, mit denen wir zusammenarbeiten – und bringen die NIS-2-Dokumentation dabei in das Format, das die Versicherer lesen wollen.

Stand: 27. Oktober 2026. Dieser Beitrag informiert allgemein und ersetzt keine Beratung im Einzelfall. Bedingungen, Fristen und Förderregeln ändern sich – sprechen Sie uns an, bevor Sie entscheiden.