Cybersecurity-Recht: NIS-2, KRITIS und IT-Sicherheitspflichten
Die europäische und deutsche IT-Sicherheitsregulierung verpflichtet immer mehr Unternehmen zu konkreten Maßnahmen — und nimmt die Geschäftsleitung persönlich in die Pflicht. Als Fachanwalt für IT-Recht bringe ich Ihre Cybersecurity auf rechtssicheren Kurs: von der NIS-2-Betroffenheitsanalyse über TISAX bis zur Incident Response.
Ein neues Zeitalter der IT-Sicherheitspflichten
Cybersecurity ist längst keine rein technische Frage mehr, sondern eine rechtliche Pflicht mit erheblicher Tragweite. Innerhalb weniger Jahre ist ein dichtes Geflecht aus europäischen und deutschen Vorgaben entstanden, das Unternehmen zu einem strukturierten Risikomanagement verpflichtet — und im Verstoßfall empfindliche Sanktionen sowie eine persönliche Haftung der Geschäftsleitung vorsieht.
Im Zentrum steht die NIS-2-Richtlinie, die seit Oktober 2024 in nationales Recht zu überführen ist und den Kreis der verpflichteten Unternehmen erheblich erweitert. Hinzu kommen der Cyber Resilience Act (CRA) mit Sicherheitsanforderungen an Produkte mit digitalen Elementen, das geplante KRITIS-Dachgesetz für Betreiber kritischer Infrastrukturen und — für den Finanzsektor — die Verordnung DORA zur digitalen operationalen Resilienz. Wer in mehreren dieser Regelungsbereiche aktiv ist, muss die Anforderungen zusammenführen und widerspruchsfrei umsetzen.
Rechtliche Pflichten und Geschäftsführerhaftung
Die neuen Regelwerke verlangen mehr als gute Technik. Gefordert sind ein angemessenes Risikomanagement, dokumentierte technische und organisatorische Maßnahmen, ein funktionierendes Business-Continuity- und Notfallmanagement, die Absicherung der Lieferkette sowie belastbare Melde- und Berichtsprozesse. Besonders folgenreich: Nach NIS-2 muss die Geschäftsleitung die Risikomanagementmaßnahmen ausdrücklich billigen, ihre Umsetzung überwachen und sich schulen lassen — andernfalls droht die persönliche Haftung.
Wir unterstützen Sie dabei, aus diesen abstrakten Pflichten ein praktikables Compliance-Programm zu machen: von der Betroffenheitsanalyse über die vertragliche Absicherung von Dienstleistern und Lieferanten bis zur Vorbereitung auf den Ernstfall. Und wenn es zum Cyberangriff kommt, begleiten wir Sie durch die kritischen ersten Stunden — mit klaren Handlungsanweisungen, fristgerechten Meldungen und einer Kommunikation, die Haftungsrisiken minimiert.
Cybersecurity-Leistungen für Unternehmen
Von der ersten Betroffenheitsanalyse bis zur Krisenbegleitung — rechtssichere Umsetzung Ihrer IT-Sicherheitspflichten.
- NIS-2-Betroffenheitsanalyse — verbindliche Einordnung als wichtige oder besonders wichtige Einrichtung
- Aufbau des IT-Sicherheits-Risikomanagements — Richtlinien, Prozesse und Nachweisdokumentation
- TISAX- & ISO-27001-Begleitung — rechtliche Vorbereitung von Zertifizierungen
- Geschäftsführer- & Organhaftung — Governance, Schulungspflichten und Verantwortlichkeiten
- Lieferketten- & Dienstleisterverträge — Security-Klauseln und Auditrechte
- Incident Response & Meldepflichten — Begleitung bei Cyberangriffen und Behördenmeldungen
- Cyber Resilience Act (CRA) — Sicherheitsanforderungen an Produkte mit digitalen Elementen
- Notfallpläne & Schulungen — praxisnahe Vorbereitung von Geschäftsleitung und Teams
TISAX-Zertifizierung in 3 Monaten
Ein Zulieferer der Automobilindustrie stand vor der Herausforderung, kurzfristig eine TISAX-Zertifizierung nachzuweisen, um einen wichtigen Auftrag nicht zu verlieren. Aßhoff.Legal koordinierte das Projekt aus rechtlicher Sicht: Wir analysierten die vertraglichen Anforderungen des Herstellers, brachten die vorhandenen Informationssicherheitsmaßnahmen mit den TISAX-Prüfkriterien in Einklang, überarbeiteten Richtlinien, Auftragsverarbeitungs- und Geheimhaltungsvereinbarungen und begleiteten die Vorbereitung auf das Assessment. Durch die enge Verzahnung von rechtlicher und organisatorischer Steuerung gelang die erfolgreiche Zertifizierung innerhalb von nur drei Monaten — die Geschäftsbeziehung blieb gesichert.
NIS-2: Betrifft es Ihr Unternehmen?
Diese Merkmale sprechen dafür — oder dagegen —, dass Ihr Unternehmen den NIS-2-Pflichten unterliegt.
- Sie sind in einem der 18 NIS-2-Sektoren tätig (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienste, Chemie, Lebensmittel)
- Ihr Unternehmen hat mindestens 50 Mitarbeitende oder 10 Mio. Euro Jahresumsatz
- Sie sind Zulieferer oder Dienstleister für betroffene Einrichtungen (mittelbare Betroffenheit über die Lieferkette)
- Ihre Dienste sind für die Versorgung oder kritische Prozesse von besonderer Bedeutung
- Kleinstunternehmen unterhalb der Schwellenwerte sind in der Regel nicht unmittelbar erfasst — sollten Vertragspflichten aber dennoch prüfen
- Eine bloße ISO-27001-Zertifizierung ersetzt nicht die eigenständige rechtliche NIS-2-Bewertung
FAQ zum Cybersecurity-Recht
Die wichtigsten Antworten rund um NIS-2, TISAX und den Ernstfall.
NIS-2 erfasst mittlere und große Unternehmen in 18 als besonders wichtig oder wichtig eingestuften Sektoren — von Energie, Verkehr und Gesundheit über digitale Infrastruktur und IT-Dienstleister bis zu Lebensmitteln, Chemie und verarbeitendem Gewerbe. Als Schwellenwerte gelten in der Regel 50 Mitarbeitende oder 10 Mio. Euro Jahresumsatz. Auch wer nicht direkt betroffen ist, kann über Lieferketten mittelbar in die Pflicht genommen werden. Wir prüfen Ihre konkrete Betroffenheit rechtssicher und dokumentieren das Ergebnis nachvollziehbar.
Bei wesentlichen Einrichtungen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 %. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und kann für Versäumnisse persönlich haften. Neben den finanziellen Sanktionen drohen aufsichtsrechtliche Anordnungen und erhebliche Reputationsschäden.
ISO 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme. TISAX baut auf diesen Prinzipien auf, ist aber der branchenspezifische Prüf- und Austauschmechanismus der Automobilindustrie und wird häufig vertraglich von Herstellern und Zulieferern verlangt. Rechtlich betrachtet ist TISAX regelmäßig eine vertragliche Voraussetzung für die Zusammenarbeit, während ISO 27001 eine freiwillige, allgemeine Zertifizierung ist. In der Praxis lassen sich beide Ansätze gut miteinander verzahnen — wir sorgen dafür, dass die vertraglichen und regulatorischen Anforderungen zusammenpassen.
Sichern Sie zunächst Beweise und dokumentieren Sie den Vorfall, isolieren Sie betroffene Systeme und aktivieren Sie Ihren Notfallplan. Parallel sind die rechtlichen Meldepflichten zu prüfen: Nach NIS-2 gilt eine Frühwarnung binnen 24 Stunden und ein detaillierter Bericht binnen 72 Stunden, bei Betroffenheit personenbezogener Daten zusätzlich die 72-Stunden-Frist der DSGVO. Frühzeitige rechtliche Begleitung hilft, Haftungsrisiken zu begrenzen, Fristen einzuhalten und die Kommunikation mit Behörden, Betroffenen und ggf. Angreifern professionell zu steuern.
Checkliste: NIS-2-Betroffenheit & Meldepflichten
Bin ich von NIS-2 betroffen? Welche Maßnahmen sind Pflicht? Diese Checkliste gibt in 10 Fragen Klarheit.
Checkliste: CRA-Betroffenheit & rechtliche Fragestellungen
Der Cyber Resilience Act betrifft alle Produkte mit digitalen Elementen. Sind Sie betroffen? Was ist jetzt zu tun?
Cybersecurity, die vor Gericht und Behörde standhält.
Buchen Sie Ihr 30-Minuten-Erstgespräch. Wir beraten Sie direkt und lösungsorientiert.