NIS2 ist in Deutschland in Kraft – Was rund 29.500 Unternehmen jetzt tun müssen und welche Rolle der Hardware-Lebenszyklus spielt
Nach fast zwei Jahren Verspätung ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 6. Dezember 2025 in Kraft getreten. Der Bundestag hatte das Gesetz am 13. November beschlossen, der Bundesrat am 21. November gebilligt. Nach Schätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) fallen rund 29.500 Einrichtungen unter die neuen Pflichten – ein Vielfaches der bisher regulierten Betreiber kritischer Infrastrukturen.
Viele mittelständische Unternehmen sind zum ersten Mal von einer Cybersicherheits-Regulierung direkt betroffen. Wir fassen zusammen, wer in den Anwendungsbereich fällt, welche Pflichten und Fristen gelten – und warum der Umgang mit ausgemusterter Hardware ein oft übersehener Baustein des geforderten Risikomanagements ist.
Wer betroffen ist
Das Gesetz unterscheidet besonders wichtige Einrichtungen (in der Regel ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme) und wichtige Einrichtungen (ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz) in 18 Sektoren – von Energie, Gesundheit und Verkehr über digitale Infrastruktur bis zu verarbeitendem Gewerbe, Chemie, Lebensmitteln und Abfallwirtschaft. Maßgeblich ist die Sektorzugehörigkeit plus Unternehmensgröße; eine gesonderte Feststellung durch das BSI ist nicht nötig. Jedes Unternehmen muss selbst prüfen, ob es betroffen ist.
Die zentralen Pflichten
Registrierung: Betroffene Einrichtungen müssen sich innerhalb von drei Monaten beim BSI registrieren; das Portal dafür steht ab Anfang Januar 2026 bereit. Risikomanagement: Verpflichtend sind angemessene technische und organisatorische Maßnahmen, unter anderem Konzepte für Risikoanalyse, Incident-Management, Backup und Wiederherstellung, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, Kryptografie, Zugriffskontrolle und Asset-Management. Meldepflichten: Erhebliche Sicherheitsvorfälle sind innerhalb von 24 Stunden erstzumelden, nach 72 Stunden ist eine Bewertung nachzureichen, nach einem Monat ein Abschlussbericht. Geschäftsleitung: Die Leitungsorgane müssen die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen – bei Pflichtverletzung haften sie persönlich gegenüber dem Unternehmen. Bußgelder reichen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes.
Warum ausgemusterte Hardware zum Risikomanagement gehört
Asset-Management endet nicht mit dem letzten Arbeitstag eines Geräts. Ein Notebook, ein Server oder eine Firewall enthält bis zur nachweisbaren Löschung Zugangsdaten, Konfigurationen, Zertifikate und personenbezogene Daten. Taucht ein nicht gelöschter Datenträger auf dem Gebrauchtmarkt auf, ist das ein Sicherheitsvorfall – im Ernstfall mit Meldepflicht. Die NIS2-Anforderungen an die Lieferkettensicherheit greifen zudem auf jeden Dienstleister durch, der Hardware übernimmt: Er ist zu prüfen, vertraglich zu binden und zu dokumentieren.
Konkret sollten betroffene Unternehmen im Rahmen von NIS2 eine Richtlinie für die Außerbetriebnahme von IT-Assets etablieren: lückenloses Inventar, definierte Löschverfahren je Medientyp, versiegelter Transport, Löschnachweis je Datenträger und ein Auftragsverarbeitungsvertrag mit dem ITAD-Partner. Diese Unterlagen sind später der Nachweis gegenüber dem BSI – und gegenüber der eigenen Geschäftsleitung.
Fazit
NIS2 verlangt keine Wunderwerke, sondern nachweisbare Ordnung. Wer den Lebenszyklus seiner Hardware vollständig dokumentiert – von der Beschaffung bis zur zertifizierten Löschung und Wiederverwendung – hat einen wichtigen Baustein des geforderten Risikomanagements bereits erledigt. Der Rest ist Registrierung, Zuständigkeit und Übung.
Quellen: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), Bundesgesetzblatt 2025; Bundesamt für Sicherheit in der Informationstechnik (BSI), Informationen zur NIS-2-Umsetzung und Betroffenheitsprüfung; Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie).
Bin ich von NIS2 betroffen?
Prüfen Sie zwei Dinge: Gehört Ihr Unternehmen zu einem der 18 regulierten Sektoren, und erreicht es die Schwellen von 50 Beschäftigten oder 10 Millionen Euro Umsatz? Dann sind Sie mindestens eine wichtige Einrichtung. Das BSI stellt eine Online-Betroffenheitsprüfung bereit.
Welche Fristen gelten nach dem Inkrafttreten?
Die Registrierung beim BSI muss innerhalb von drei Monaten erfolgen, sobald die Einrichtung in den Anwendungsbereich fällt. Die Risikomanagement-Maßnahmen gelten ab Inkrafttreten; eine gesonderte Umsetzungsfrist gibt es nicht.
Was hat IT-Entsorgung mit NIS2 zu tun?
Asset-Management und Lieferkettensicherheit sind ausdrücklich geforderte Maßnahmen. Nicht gelöschte Datenträger sind ein Sicherheitsrisiko und im Ernstfall ein meldepflichtiger Vorfall. Eine dokumentierte Ausmusterung mit Löschnachweis je Gerät gehört daher in jedes NIS2-Konzept.
