DataAgenda-Arbeitspapier 85 : Die neue Rechtslage der unternehmerischen IT-Sicherheit zwischen NIS-2-Richtlinie, neuem BSI-Gesetz und flankierenden Regelungen
I. Einleitung
Die fortschreitende Digitalisierung von Wirtschaft und Verwaltung hat die Angriffsflächen für Cyberattacken erheblich vergrößert. Zugleich sind Cyberangriffe im Kontext geopolitischer und zwischenstaatlicher Konflikte zu einem strukturellen Risiko geworden, das den unternehmerischen Alltag prägt. Der Gesetzgeber reagiert auf diese Entwicklung mit einer deutlichen Verschärfung und Ausweitung der rechtlichen Anforderungen an die IT-Sicherheit.
Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 hat sich das deutsche Recht der IT-Sicherheit grundlegend verändert. Der Kreis der unmittelbar verpflichteten Unternehmen ist von rund 1.600 auf etwa 30.000 Einrichtungen angewachsen. IT-Sicherheit ist damit von einer technischen Aufgabe einzelner Fachabteilungen zu einer verbindlichen Compliance-Pflicht der Unternehmensleitung geworden.
Im Zentrum der neuen Regulierung steht ein Perspektivwechsel: IT-Sicherheit wird nicht länger als delegierbare Aufgabe der IT-Abteilung verstanden, sondern als integraler Bestandteil der Unternehmensführung und des Risikomanagements. Die Verantwortung dafür weist das Gesetz ausdrücklich der Geschäftsleitung zu, verbunden mit einer persönlichen Haftung und einer eigenständigen Schulungspflicht. Cybersicherheit ist damit zur Chefsache geworden.