Einleitung: NIS2 wird deutsches Recht
Die Netzwerk- und Informationssicherheitsrichtlinie 2 (NIS2) der Europaeischen Union wurde in deutsches Recht umgesetzt, wobei das Umsetzungsgesetz am 5. Dezember 2025 in Kraft getreten ist. Deutschlands Umsetzung durch Aenderungen des BSI-Gesetzes (Gesetz ueber das Bundesamt fuer Sicherheit in der Informationstechnik) schafft umfassende neue Cybersicherheitspflichten fuer geschaetzte 29.500 Unternehmen in Deutschland. Dies stellt eine massive Ausweitung gegenueber den rund 4.500 Einrichtungen dar, die unter der urspruenglichen NIS-Richtlinie erfasst waren, und bringt eine breite Palette mittelstaendischer und grosser Unternehmen erstmals unter die verpflichtende Cybersicherheitsregulierung.
Die Ausweitung des Anwendungsbereichs spiegelt die Realitaet wider, dass Cybersicherheitsbedrohungen Organisationen in allen Sektoren betreffen, nicht nur traditionelle Betreiber kritischer Infrastrukturen. Unternehmen, die noch nie einer Cybersicherheitsregulierung unterlagen, muessen nun ein strukturiertes Sicherheitsmanagement implementieren, einschliesslich des Schutzes ihrer Dokumentenmanagement- und Archivierungssysteme.
BSI-Registrierungsfrist: 6. Maerz 2026
Unternehmen, die in den Anwendungsbereich der NIS2-Umsetzung fallen, muessen sich bis zum 6. Maerz 2026 beim Bundesamt fuer Sicherheit in der Informationstechnik (BSI), der deutschen Bundesbehoerde fuer Cybersicherheit, registrieren. Diese Registrierung ist verpflichtend und erfordert von Organisationen detaillierte Angaben zu ihrem Betrieb, ihrer IT-Infrastruktur und ihrem Cybersicherheitsstatus.
Die Registrierungsanforderungen umfassen:
- Identifikation der Einrichtung: Firmenname, Registrierungsnummer, Sektorklassifizierung und Kontaktinformationen
- Umfangserklaerung: Beschreibung der Dienste und Systeme, die in den NIS2-Anwendungsbereich fallen
- Benennung eines Sicherheitsansprechpartners: Ernennung eines verantwortlichen Sicherheitsbeauftragten als primaerer BSI-Kontakt
- Vorfallmeldefaehigkeit: Nachweis, dass die Organisation in der Lage ist, Sicherheitsvorfaelle innerhalb der vorgeschriebenen Fristen zu melden
Unternehmen, die sich nicht bis zum 6. Maerz 2026 registrieren, drohen sofortige Durchsetzungsmassnahmen. Das BSI hat angekuendigt, aktiv Organisationen zu identifizieren und zu kontaktieren, die sich haetten registrieren muessen, dies aber nicht getan haben. Die fehlende Registrierung ist an sich bereits ein Compliance-Verstoss, der mit Sanktionen belegt werden kann.
Wer ist betroffen: Sektor- und Groessenkriterien
NIS2 in Deutschland gilt fuer Organisationen in 18 Sektoren, unterteilt in Sektoren mit hoher Kritikalitaet und sonstige kritische Sektoren. Die Groessenschwelle liegt grundsaetzlich bei Unternehmen mit mindestens 50 Beschaeftigten oder EUR 10 Millionen Jahresumsatz, wobei bestimmte Sektoren niedrigere Schwellenwerte haben. Betroffene Sektoren umfassen:
- Sektoren mit hoher Kritikalitaet: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement und oeffentliche Verwaltung
- Sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Verarbeitendes Gewerbe, digitale Anbieter und Forschung
Die Einbeziehung des verarbeitenden Gewerbes ist fuer Deutschland besonders bedeutsam, da sie Tausende von Mittelstandsunternehmen erstmals unter NIS2 bringt. Diese Unternehmen muessen nun Cybersicherheitsmassnahmen implementieren, die nicht nur ihre Produktionssysteme, sondern auch ihre Verwaltungs- und Dokumentenmanagement-Infrastruktur schuetzen.
Bussgelder: EUR 10 Millionen oder 2% des weltweiten Jahresumsatzes
Deutschlands NIS2-Umsetzung beinhaltet empfindliche Strafen bei Nichteinhaltung. Bussgelder koennen bis zu EUR 10 Millionen oder 2% des gesamten weltweiten Jahresumsatzes der Organisation betragen, je nachdem, welcher Betrag hoeher ist. Dieses Sanktionsrahmenwerk soll sicherstellen, dass auch die groessten Konzerne ihre Cybersicherheitspflichten ernst nehmen.
Sanktionen koennen fuer verschiedene Verstoesse verhaengt werden:
- Versaeumnis, angemessene Sicherheitsmassnahmen umzusetzen: Nichteinhaltung der technischen und organisatorischen Mindestanforderungen
- Versaeumnis der BSI-Registrierung: Nichtabschluss der verpflichtenden Registrierung bis zur Frist
- Versaeumnis der Vorfallmeldung: Nichtmeldung bedeutender Cybersicherheitsvorfaelle innerhalb der vorgeschriebenen 24-Stunden-Erstmeldung und 72-Stunden-Detailberichtsfrist
- Versaeumnis der Zusammenarbeit mit dem BSI: Nichtbereitstellung angeforderter Informationen oder Behinderung von Pruefungen und Inspektionen
Die persoenliche Haftung der Geschaeftsfuehrung ist in der deutschen Umsetzung ebenfalls verankert. Geschaeftsfuehrer und Vorstaende koennen persoenlich haftbar gemacht werden, wenn sie nicht sicherstellen, dass angemessene Cybersicherheitsmassnahmen umgesetzt und aufrechterhalten werden.
Cybersicherheitsmassnahmen fuer Dokumentenmanagementsysteme
NIS2 verlangt von Organisationen die Umsetzung risikobasierter Cybersicherheitsmassnahmen ueber ihre gesamte IT-Infrastruktur hinweg, einschliesslich Dokumentenmanagement- und Archivierungssystemen. Spezifische Anforderungen im Bereich Dokumentenmanagement umfassen:
- Verschluesselung: Daten im Ruhezustand und bei der Uebertragung muessen mit starker Verschluesselung geschuetzt werden
- Zugriffskontrolle: Rollenbasierte Zugriffskontrollen mit Mehrfaktor-Authentifizierung fuer kritische Systeme
- Vorfallerkennung und -reaktion: Ueberwachungsfaehigkeiten zur Erkennung unbefugter Zugriffe auf sensible Dokumente
- Geschaeftskontinuitaet: Backup- und Disaster-Recovery-Verfahren fuer kritische Dokumentenarchive
- Lieferkettensicherheit: Bewertung der Cybersicherheitsrisiken durch Drittanbieter, einschliesslich Cloud-Speicher- und Dokumentenmanagement-Anbietern
Wie Arhivix hilft
Arhivix unterstuetzt die NIS2-Compliance fuer Dokumentenmanagement und Archivierung mit einer sicherheitsorientierten Infrastruktur. Alle Dokumente sind mit AES-256-Verschluesselung im Ruhezustand und bei der Uebertragung geschuetzt und erfuellen die von NIS2 vorgeschriebenen Verschluesselungsanforderungen. AWS S3-Speicher bietet die Bestaendigkeit, Verfuegbarkeit und geografische Redundanz, die die Geschaeftskontinuitaetsanforderungen von NIS2 verlangen.
Umfassende Audit-Trails verfolgen jeden Dokumentenzugriff und jede Aenderung und ermoeglichen eine schnelle Vorfallerkennung sowie die Unterstuetzung der detaillierten Vorfallberichte, die das BSI innerhalb der 24-Stunden- und 72-Stunden-Meldefristen verlangt. Arhivix hilft Organisationen gegenueber BSI-Pruefern nachzuweisen, dass ihre Dokumentenmanagement-Infrastruktur die technischen und organisatorischen Sicherheitsstandards erfuellt, die Deutschlands NIS2-Umsetzung erfordert.
