Die Frist ist vorbei, und fast keiner hat es gemerkt
Seit dem 6. Dezember 2025 gilt das neue IT-Sicherheitsgesetz (BSIG). Betroffene Unternehmen mussten sich bis zum 6. März 2026 beim BSI registrieren. Wenn ich Geschäftsführer danach frage, kommt meist eine Gegenfrage: Wo denn? Die Frist ist wie eine abgelaufene Plakette am Lkw: Der Wagen fährt weiter, bis die Kontrolle kommt.
Schuld sind selten die Chefs. Wer eine IT-Abteilung oder ein Systemhaus bezahlt, darf erwarten, dass es ihn auf so ein Thema hinweist. Das ist in den meisten Betrieben nicht passiert.
Was die Behörde eigentlich von Ihnen will
Ohne Fachchinesisch: Die Behörde will, dass Ihre Firma nicht gehackt wird. Angriffe werden häufiger, mit KI werden sie geschickter, und das beliebteste Ziel ist der Mittelstand, weil dort viel zu holen und wenig geschützt ist. Das Gesetz zwingt Sie, sich darum zu kümmern. Mehr steckt nicht dahinter.
§ 38: Wann der Geschäftsführer persönlich haftet
In dem Ozean aus neuen Paragraphen ist einer für Sie entscheidend: § 38 BSIG. Er verpflichtet die Geschäftsführung persönlich, die Schutzmaßnahmen freizugeben, zu überwachen und sich schulen zu lassen. Diese Pflicht lässt sich nicht an den IT-Leiter oder das Systemhaus abgeben.
Verletzen Sie diese Pflicht, haften Sie Ihrer Firma gegenüber für den Schaden. Das Bußgeld für wichtige Einrichtungen reicht bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes, es gilt der höhere Betrag. Für besonders wichtige Einrichtungen liegt es noch höher.
Was droht, und was nicht
Die Behörde prüft in der Praxis meist erst bei Verdacht oder nach einem Vorfall. Wer die Registrierung verpasst hat und jetzt nachmeldet, steht deutlich besser da als jemand, der abwartet. Ein Chemie-Mittelständler mit mehr als 50 Mitarbeitern hat sich im Juli nachträglich registriert, ohne Strafe.
Einen Automatismus gibt es nicht: Vor einem Bußgeld steht eine Anhörung, in der Sie erklären können, was Sie seitdem getan haben. Genau darauf kommt es an.
Die Registrierung ist das kleinste Problem
Die Anmeldung beim BSI dauert eine halbe Stunde. Ab dann kennt die Behörde Ihre Firma, und es gelten die zehn Pflichtmaßnahmen aus § 30, die Meldung von Vorfällen innerhalb von 24 Stunden nach § 32 und Ihre persönlichen Pflichten nach § 38.
Derselbe Chemie-Betrieb hatte nach der Registrierung von 33 geprüften Anforderungen eine erfüllt. Drei Prozent. Registriert und trotzdem ungeschützt, das ist der Normalfall, den wir bei Prüfungen sehen.
Was jetzt zählt
Erstens: Prüfen, ob das Gesetz für Sie gilt. Ihre Branche steht im Gesetz, und Sie haben mindestens 50 Mitarbeiter oder mehr als 10 Mio. € Umsatz und Bilanzsumme. Der NIS-2-Check unten beantwortet das in zwei Minuten.
Zweitens: Nachmelden, wenn es Sie trifft. Drittens, und das ist der eigentliche Punkt: wissen, wo Ihre Firma bei den zehn Pflichten steht, bevor die Behörde fragt. Das ist keine lästige Pflicht, sondern die Gelegenheit, Ihre IT einmal ehrlich prüfen zu lassen.
