NIS-2-Gesetz: 30.000 Unternehmen müssen sich bis 6. März registrieren

Bis zum 6. März müssen sich etwa 30.000 Unternehmen beim BSI melden. Das neue Gesetz weitet Cybersicherheitspflichten massiv aus und droht bei Verstößen mit hohen Bußgeldern.

Eine tickende Uhr setzt Zehntausende deutsche Unternehmen unter Druck. Bis zum 6. März müssen sich schätzungsweise 30.000 Organisationen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Grund ist das kürzlich in Kraft getretene IT-Sicherheitsgesetz 3.0, das die Cybersicherheits-Pflichten massiv ausweitet.

Anzeige

Angesichts der neuen gesetzlichen Anforderungen und der verschärften Bedrohungslage stehen viele Geschäftsführer vor der Frage, wie sie ihre IT-Sicherheit 2024 rechtssicher aufstellen. Dieser kostenlose Leitfaden erklärt die wichtigsten Cyber-Security-Trends und zeigt, wie Sie Ihr Unternehmen ohne hohe Investitionen schützen. Was Geschäftsführer über Cyber Security 2024 wissen müssen

Von der Nische zur Massenverpflichtung

Bisher trafen strenge IT-Sicherheitsauflagen vor allem Betreiber Kritischer Infrastrukturen (KRITIS), etwa aus Energie oder Gesundheit. Das neue Gesetz, die nationale Umsetzung der EU-NIS-2-Richtlinie, zieht den Kreis nun dramatisch enger. Plötzlich sind auch mittelständische Unternehmen aus 18 Sektoren betroffen – sofern sie mindestens 50 Mitarbeiter beschäftigen oder über 10 Millionen Euro Jahresumsatz erzielen.

Die Liste der erfassten Branchen ist lang: Sie reicht von Lebensmittelproduktion und Abfallwirtschaft über Medizintechnik- und Maschinenbau bis hin zu Cloud-Anbietern und Rechenzentren. Aus rund 4.500 werden so bis zu 30.000 regulierte Einrichtungen.

Was droht bei Verstößen?

Die neuen Pflichten gehen weit über eine reine Registrierung hinaus. Betroffene Unternehmen müssen ein umfassendes Risikomanagement etablieren. Der wohl kritischste Punkt: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden erstgemeldet und nach 72 Stunden detailliert analysiert beim BSI gemeldet werden.

Wer die Auflagen ignoriert, riskiert hohe Strafen. Die Bußgelder können bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes betragen – je nachdem, welcher Wert höher ist.

Anzeige

Während neue Gesetze wie NIS-2 den Rahmen vorgeben, bleiben gezielte Hacker-Angriffe die größte praktische Gefahr für den Mittelstand. Erfahren Sie in diesem Experten-Report, wie Sie eine erfolgreiche Abwehrstrategie gegen Phishing und CEO-Fraud in vier Schritten etablieren. Experten-Guide zur Hacker-Abwehr kostenlos herunterladen

Sicherheit als Wettbewerbsvorteil?

Die Bundesregierung sieht in der strikten Regulierung mehr als nur lästige Pflichten. Sie will die digitale Infrastruktur Deutschlands zu einer der sichersten weltweit machen. In einer vernetzten Wirtschaft könnte ein nachweisbar hohes Sicherheitsniveau zum entscheidenden Qualitätsmerkmal werden.

Die neuen Regeln treffen auch Hersteller von Elektronik und Fahrzeugen. Steigt damit der Druck, von Haus aus sicherere Produkte wie Smartphones oder Autos zu liefern? Die Hoffnung in Berlin ist groß, dass Verbraucher so indirekt profitieren.

Warum jetzt so viel Druck?

Das Gesetz ist eine direkte Antwort auf eine eskalierende Bedrohungslage. Cyberangriffe durch Kriminelle und staatliche Akteure verursachen jährlich Milliardenschäden. Die EU-weite Richtlinie soll ein einheitlich hohes Schutzniveau im Binnenmarkt schaffen und die gesamte europäische Wirtschaft resilienter machen.

Experten sehen in der nationalen Umsetzung einen notwendigen Schritt. Die enge Verzahnung von staatlichen Vorgaben und wirtschaftlicher Eigenverantwortung gilt als Schlüssel für eine erfolgreiche Abwehrstrategie.

Der Marathon beginnt erst

Mit dem Stichtag am 6. März startet für Zehntausende Unternehmen die eigentliche Arbeit. Die geforderten Sicherheitsmaßnahmen umzusetzen und zu pflegen, ist ein andauernder Prozess. Das BSI wird seine Aufsicht auf den deutlich erweiterten Kreis ausdehnen.

Eins ist klar: Angesichts sich ständig weiterentwickelnder Cyber-Bedrohungen werden die Anforderungen eher noch zunehmen. Das IT-Sicherheitsgesetz 3.0 ist nicht der Endpunkt, sondern der Startschuss für einen langen Marathon.