NIS2: Pflichten der Geschäftsleitung und die Rolle von Sicherheitstests

Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft. Es überführt die europäische NIS2-Richtlinie in ein neues BSI-Gesetz und erweitert den Kreis der regulierten Unternehmen in Deutschland auf rund 29.500 Einrichtungen. Viele davon hatten bisher keine gesetzlichen Pflichten zur IT-Sicherheit – und viele Geschäftsführungen wissen noch nicht, dass sie seitdem persönlich in der Verantwortung stehen.

Dieser Beitrag erklärt, wer betroffen ist, welche Pflichten das Gesetz vorsieht und was die Haftungs- und Schulungspflicht der Geschäftsleitung konkret bedeutet. Vor allem aber beantwortet er die Frage, die uns Geschäftsführungen und CISOs derzeit am häufigsten stellen: Welche Rolle spielen Penetrationstests und Red Teaming beim Nachweis, dass die ergriffenen Maßnahmen wirksam sind – und in welcher Kadenz sind sie sinnvoll?

Wir fassen die Regulatorik so zusammen, wie sie im Gesetz und in den Veröffentlichungen des BSI steht. Die Anwendung auf Ihr Unternehmen klären Sie mit Ihrer Rechtsabteilung oder externen Beratung.

Wer betroffen ist

Das Gesetz unterscheidet zwei Gruppen: besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Zuordnung ergibt sich aus Sektor und Unternehmensgröße. Erfasst sind 18 Sektoren, darunter Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und Forschung. Die Schwelle liegt grundsätzlich bei 50 Beschäftigten oder zehn Millionen Euro Jahresumsatz; große Unternehmen in den Hauptsektoren gelten als besonders wichtig, mittlere als wichtig. Einzelne Einrichtungen fallen unabhängig von der Größe unter das Gesetz, etwa Betreiber kritischer Anlagen.

Anders als beim bisherigen KRITIS-Regime gibt es keinen Verwaltungsakt, der ein Unternehmen zur Einrichtung erklärt. Jedes Unternehmen muss selbst prüfen, ob es unter das Gesetz fällt, und sich beim BSI registrieren. Die Frist dafür betrug drei Monate nach Inkrafttreten; für die Registrierung gilt eine Nachfrist bis zum 31. Juli 2026. Wer sich nicht registriert, verletzt bereits die erste Pflicht. Hintergründe zum Gesetz finden Sie im Glossar unter NIS2.

Die Pflichten im Überblick

Das neue BSIG verlangt von Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zum Schutz ihrer IT-Systeme. Der Maßstab ist der Stand der Technik. Die Maßnahmen müssen mindestens folgende Bereiche abdecken:

• Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen (Incident Response)
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu direkten Anbietern und Dienstleistern
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement
• Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen
• Grundlegende Cyberhygiene und Schulungen
• Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Anlagenmanagement
• Multi-Faktor-Authentifizierung (MFA), gesicherte Kommunikation und Notfallkommunikation

Hinzu kommt die dreistufige Meldepflicht bei erheblichen Sicherheitsvorfällen: eine Erstmeldung binnen 24 Stunden, eine Folgemeldung mit Bewertung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Diese Fristen setzen voraus, dass ein Unternehmen Vorfälle überhaupt erkennt und intern eskaliert – ein Punkt, auf den wir zurückkommen.

Haftung und Schulungspflicht der Geschäftsleitung

Der für Geschäftsführungen wichtigste Teil des Gesetzes betrifft sie selbst. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie kann diese Pflicht nicht vollständig an die IT-Leitung delegieren. Verletzt sie die Pflicht, haftet sie dem Unternehmen gegenüber für den entstandenen Schaden nach den allgemeinen gesellschaftsrechtlichen Regeln.

Zusätzlich müssen Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen, die ihnen ausreichende Kenntnisse vermitteln, um Risiken und Maßnahmen zu bewerten. Das Gesetz verlangt also nicht, dass Geschäftsführer zu Sicherheitsfachleuten werden, aber dass sie die Berichte ihrer Fachabteilungen verstehen und hinterfragen können.

Für die Praxis bedeutet das: Ein Sicherheitsbericht, der aus einer Liste geschlossener Tickets besteht, reicht als Überwachungsgrundlage nicht aus. Die Geschäftsleitung braucht Belege, dass die Maßnahmen gegen reale Angriffe standhalten. Genau hier kommen Sicherheitstests ins Spiel.

Warum Pentests und Red Teaming als Wirksamkeitskontrollen zählen

Das Gesetz nennt ausdrücklich „Konzepte und Verfahren zur Bewertung der Wirksamkeit“ der Maßnahmen. Es schreibt nicht vor, wie diese Bewertung auszusehen hat. Das BSI versteht darunter nach seinen Veröffentlichungen unter anderem Audits, Prüfungen und Penetrationstests. Auch der BSI-Praxis-Leitfaden IS-Penetrationstest und die etablierten Standards wie ISO 27001 sehen Penetrationstests als Instrument der Wirksamkeitsprüfung vor.

Die verschiedenen Testformate beantworten dabei unterschiedliche Fragen:

• Ein Penetrationstest prüft, ob definierte Systeme – etwa die Internetanbindung, ein Kundenportal oder das Active Directory – Schwachstellen enthalten, die ein Angreifer ausnutzen kann. Er belegt die Wirksamkeit präventiver Maßnahmen wie Patch-Management, Härtung und Zugriffskontrolle.
• Ein Red Teaming prüft, ob ein Angreifer ein konkretes Ziel erreicht und ob Ihre Organisation ihn dabei bemerkt und stoppt. Es belegt die Wirksamkeit von Erkennung, Incident Response und Eskalation – also genau der Prozesse, die Sie für die 24-Stunden-Meldung brauchen.
• Ein Purple Teaming verbessert Erkennungsregeln gemeinsam mit Ihrem SOC und dokumentiert für jede geprüfte Technik, ob sie erkannt wird.

Für die Dokumentation gegenüber dem BSI oder einem Prüfer ist wichtig, dass der Test nachvollziehbar auf die Risikoanalyse Bezug nimmt: Welche Risiken wurden identifiziert, welche Maßnahmen ergriffen, und welcher Test belegt, dass die Maßnahme wirkt? Ein Testbericht, der Findings mit Ursachen, Priorität und Maßnahmenplan enthält, ist ein Beleg, den die Geschäftsleitung in ihrer Überwachungsfunktion verwenden kann.

Sinnvolle Prüfkadenz

Das Gesetz legt keine Testfrequenz fest. Die folgende Kadenz hat sich aus unserer Erfahrung als angemessen für Einrichtungen erwiesen, die ihre Nachweispflichten ernst nehmen, ohne das Sicherheitsbudget ausschließlich in Tests zu stecken. Sie ist an Umfang und Risikoprofil anzupassen.

Wichtig ist der Retest: Erst die Bestätigung, dass eine Schwachstelle behoben ist, schließt den Kreis aus Risikoanalyse, Maßnahme und Wirksamkeitsnachweis. Ohne ihn bleibt ein Testbericht eine Momentaufnahme.

Lieferkette und Dienstleister

Eine der neuen Pflichten betrifft die Sicherheit der Lieferkette. Einrichtungen müssen die Risiken bewerten, die von direkten Anbietern und Dienstleistern ausgehen, und die Sicherheitsmaßnahmen in ihren Verträgen und ihrer Überwachung berücksichtigen. Angriffe über Dienstleister sind kein theoretisches Risiko: Laut Verizon Data Breach Investigations Report 2025 waren Drittparteien an 30 Prozent der untersuchten Sicherheitsverletzungen beteiligt, doppelt so viele wie im Vorjahr.

Für Sicherheitstests bedeutet das, dass Zugänge von Dienstleistern – Fernwartung, VPN, Administrationskonten – in den Scope gehören. Ein Red Teaming, das ausschließlich die eigenen Mitarbeitenden und Systeme betrachtet, lässt einen der häufigsten Angriffswege aus. Wie Sie Lieferantenzugänge prüfen und welche Fragen Sie Dienstleistern stellen sollten, beschreibt unser Beitrag Lieferkette und Drittparteien-Risiko testen.

Erste Schritte für die Geschäftsleitung

1. Betroffenheit feststellen und dokumentieren: Sektor, Größe, Einordnung als besonders wichtige oder wichtige Einrichtung. Die Einschätzung schriftlich festhalten, auch wenn das Ergebnis „nicht betroffen“ lautet.
2. Registrierung beim BSI vornehmen oder nachholen.
3. Risikoanalyse durchführen oder aktualisieren und die Maßnahmen den gesetzlichen Mindestbereichen zuordnen; ein ISMS nach ISO 27001 oder IT-Grundschutz liefert die Struktur.
4. Meldewege für die 24-Stunden-Frist definieren und mit einer Übung prüfen.
5. Testplan gemäß Prüfkadenz aufstellen, Budget zuweisen und die Ergebnisse als festen Punkt in die Berichterstattung an die Geschäftsleitung aufnehmen.
6. Schulung der Geschäftsleitung terminieren und dokumentieren.

Fazit

Das NIS2-Umsetzungsgesetz verlagert die Verantwortung für IT-Sicherheit in die Geschäftsleitung: Sie muss Maßnahmen billigen, überwachen und sich schulen lassen, und sie haftet bei Pflichtverletzung. Penetrationstests und Red Teaming sind die Instrumente, mit denen sich die gesetzlich geforderte Wirksamkeitsbewertung belastbar belegen lässt – der Pentest für präventive Kontrollen, das Red Teaming für Erkennung und Reaktion. Dieser Beitrag ersetzt keine Rechtsberatung; die Einordnung Ihres Unternehmens sollten Sie juristisch prüfen lassen. Wenn Sie einen Testplan aufbauen wollen, der zu Ihrem Risikoprofil passt, finden Sie unter Penetrationstest unseren Einstieg oder sprechen uns über Kontakt an.

Quellen

• NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025
• Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), eur-lex.europa.eu
• Bundesamt für Sicherheit in der Informationstechnik, Informationen zur NIS-2-Umsetzung und Registrierung, bsi.bund.de
• Bundesamt für Sicherheit in der Informationstechnik, Praxis-Leitfaden IS-Penetrationstest
• Verizon Data Breach Investigations Report 2025

Häufige Fragen zum Thema