Dokumentation

NIS2

NIS2 in Deutschland: das Umsetzungsgesetz gilt seit dem 06.12.2025. Pflichten nach Paragraf 30 BSIG, Meldefristen 24 und 72 Stunden, Haftung der Geschäftsleitung.

NIS2

Die NIS2-Richtlinie (EU 2022/2555) ist in Deutschland umgesetzt. Das NIS2-Umsetzungsgesetz und die Neufassung des BSI-Gesetzes sind am 06.12.2025 in Kraft getreten. Eine Übergangsfrist für die Sicherheitsmaßnahmen gibt es nicht. Diese Seite zeigt, was daraus für dich folgt und wo DARION-AI heute steht.

Die Fristen sind bereits abgelaufen

DatumWas gilt
06.12.2025NIS2-Umsetzungsgesetz und neues BSIG in Kraft. Die Maßnahmen nach Paragraf 30 BSIG gelten ab diesem Tag.
06.03.2026Ende der Registrierungsfrist beim BSI nach Paragraf 33 BSIG.
31.07.2026Ende der Nachfrist, in der das BSI Nachmeldungen ohne Sanktion angenommen hat.

Wenn du betroffen bist und dich noch nicht registriert hast, hol das sofort nach. Für die Sicherheitsmaßnahmen gab es zu keinem Zeitpunkt eine Schonfrist.

Bist du selbst betroffen

Betroffen sind besonders wichtige und wichtige Einrichtungen aus den Sektoren im Anhang des BSIG. Als grober Anhaltspunkt gelten ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz erhöhte Anforderungen. Die Einstufung hängt vom Sektor ab und nicht nur von der Größe. Kläre das mit deiner Rechtsberatung, nicht anhand dieser Seite.

Pflichten nach Paragraf 30 BSIG

Betroffene Einrichtungen müssen geeignete technische und organisatorische Maßnahmen treffen. Das Gesetz nennt unter anderem:

  1. Risikoanalyse und Konzepte für die Informationssicherheit.
  2. Bewältigung von Sicherheitsvorfällen.
  3. Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement.
  4. Sicherheit der Lieferkette.
  5. Sicherheit bei Beschaffung, Entwicklung und Wartung.
  6. Bewertung der Wirksamkeit der Maßnahmen.
  7. Schulungen und grundlegende Cyber-Hygiene.
  8. Kryptografie und Verschlüsselung.
  9. Personalsicherheit, Zugriffskontrolle und Verwaltung der Anlagen.
  10. Mehrfaktor-Authentisierung und gesicherte Kommunikation.

Wo DARION-AI heute steht

Nr.AnforderungStand
3Betrieb und BackupPostgres mit drei Knoten über CloudNativePG. Sicherungen und WAL-Dateien gehen verschlüsselt auf Synology C2 Object Storage, Aufbewahrung 30 Tage.
4LieferketteRenovate hält Abhängigkeiten aktuell. In jedem Pull Request laufen gitleaks, Trivy, pnpm audit und pip-audit.
5Netzwerk und BeschaffungCilium-Netzwerkregeln im K3s-Cluster. Traefik als Ingress. Zugangsdaten liegen in 1Password und kommen über den External Secrets Operator.
6WirksamkeitSemgrep als statische Analyse in jedem Pull Request. Neue Geheimnisse im Diff blockieren den Merge hart.
8KryptografieTLS für allen Transit. Sicherungen mit AES256 verschlüsselt. Strikte Content-Security-Policy in der Produktivumgebung.
10MehrfaktorFür den Betreiberbereich erzwungen.

Ein externer Penetrationstest steht aus. Ein Informationssicherheits-Managementsystem ist im Aufbau. Zertifiziert ist bislang nichts.

Was es noch nicht gibt

  • Keine ISO-27001-Zertifizierung und kein SOC-2-Testat. Beides ist geplant.
  • Keine erzwungene Zwei-Faktor-Anmeldung für Inhaber und Administratoren im Arbeitsbereich. Die Pflicht gilt heute nur für den Betreiberbereich.
  • Keinen fertigen Meldebogen im Compliance-Modul. Die Vorlage für eigene Meldungen an das BSI fehlt noch.
  • Keinen dokumentierten Wiederherstellungs-Test in festem Takt.

Meldepflichten nach Paragraf 32 BSIG

Bei einem erheblichen Sicherheitsvorfall meldest du gestaffelt an das BSI:

  1. Erstmeldung innerhalb von 24 Stunden ab Kenntnis.
  2. Folgemeldung innerhalb von 72 Stunden mit erster Bewertung von Schweregrad und Auswirkungen.
  3. Abschlussmeldung innerhalb eines Monats mit Ursachenanalyse und ergriffenen Maßnahmen.

Die Meldung läuft über das Meldeportal des BSI. Die Frist läuft ab Kenntnis, nicht ab Beginn des Vorfalls.

Unser Ablauf bei einem Vorfall

  • Alarme aus der Überwachung gehen an einen internen Matrix-Raum.
  • Eine benannte Person führt den Vorfall und dokumentiert Zeitleiste, betroffene Mandanten, Ursache und Maßnahmen.
  • Mandanten informieren wir über [email protected] und die Status-Seite status.darion-ai.de.
  • Betrifft der Vorfall personenbezogene Daten, läuft parallel die Meldung nach Artikel 33 DSGVO.

Haftung der Geschäftsleitung

Das BSIG nimmt die Geschäftsleitung persönlich in die Pflicht. Die Leitung muss die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen. Schulungen zur Cybersicherheit sind vorgeschrieben. Eine Haftungsfreistellung durch die Gesellschaft ist unwirksam.

Bußgelder

  • Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem was höher ist.
  • Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.

Was du als Mandant tust

  • Prüfe mit deiner Rechtsberatung, ob du selbst unter das BSIG fällst.
  • Registriere dich beim BSI, falls das noch offen ist.
  • Sichere die Konten deiner Inhaber und Administratoren mit einem starken Passwort und einem Passwort-Manager.
  • Führe dein Verzeichnis der Dienstleister selbst. Die Plattform bietet dafür heute keine eigene Ansicht.

Verwandt