IT-Sicherheit · Branchen-Briefing

Die NIS2-Richtlinie ist seit 17. Oktober 2024 EU-weit verbindlich und wurde mit dem am 6. Dezember 2025 in Kraft getretenen deutschen NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) national umgesetzt. Deutschland hatte die Umsetzungsfrist überschritten, woraufhin die Europäische Kommission ein Vertragsverletzungsverfahren einleitete. Das Gesetz ersetzt das bisherige BSI-Gesetz vollständig und regelt erweiterte Aufsichtsbefugnisse des Bundesamts für Sicherheit in der Informationstechnik (BSI), einschließlich proaktiver Prüfungen bei besonders wichtigen Einrichtungen. Die Richtlinie erfasst deutlich mehr Unternehmen als der Vorgänger NIS1: In Deutschland sind schätzungsweise 25.000 bis 30.000 Organisationen betroffen (gegenüber etwa 2.000 zuvor), darunter erstmals Unternehmen aus 18 Sektoren mit mindestens 50 Mitarbeitern und 10 Millionen Euro Jahresumsatz, wie Lebensmittelversorgung, verarbeitendes Gewerbe, Post- und Kurierdienste sowie öffentliche Verwaltung. Für Verstöße gegen NIS2-Anforderungen sieht das Umsetzungsgesetz erhebliche Bußgelder vor: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes für wichtige Einrichtungen. Geschäftsführer und Vorstände haften persönlich und können nicht durch bloße Delegation an die IT-Abteilung von ihrer Verantwortung befreit werden. Die Registrierungspflicht beim BSI ist auf den 31. Juli 2026 festgesetzt. NIS2-Anforderungen wirken zudem kaskadenförmig durch Lieferketten: regulierte Einrichtungen müssen Sicherheitsanforderungen vertraglich an Lieferanten und Dienstleister weitergeben, sodass auch Unternehmen unter den Schwellenwerten indirekt betroffen werden können.

Der Europäische Gerichtshof hat mit Urteil vom 16. Juli 2026 in den verbundenen Rechtssachen C-258/23 bis C-260/23 grundlegende Standards für kartellrechtliche Durchsuchungen durch Wettbewerbsbehörden formuliert. Das Gericht bestätigte, dass geschäftliche E-Mails unter den Grundrechtsschutz der Kommunikation und des Schutzes personenbezogener Daten fallen, nationale Wettbewerbsbehörden diese aber unter bestimmten Voraussetzungen auch ohne vorherige richterliche Genehmigung beschlagnahmen dürfen. Verzichtet ein Mitgliedstaat auf vorherige richterliche Genehmigung, sind strenge Anforderungen zwingend: ein begründeter Verdacht, ein hinreichend bestimmter Nachprüfungsbeschluss, sachbezogene Suchkriterien, Datensicherheit und umfassende nachträgliche gerichtliche Kontrolle. Bei privaten Geräten von Mitarbeitern oder Geschäftsleitern verlangt der EuGH dagegen grundsätzlich eine vorherige Kontrolle durch Gericht oder unabhängige Stelle. Für Deutschland bedeutet das Urteil keine automatische Abschaffung bestehender Genehmigungs- und Verfahrensanforderungen, sondern legt einen unionsrechtlichen Mindestmaßstab fest. Unternehmen sollten ein präventives Dawn-Raid-Konzept entwickeln, das Verantwortlichkeiten, die Prüfung von Nachprüfungsbeschlüssen, Dokumentation, Kennzeichnung besonders geschützter Daten und den Umgang mit privaten Geräten regelt.