Cybersecurity ist längst kein Thema mehr, das du an die IT-Abteilung abgeben kannst. Seit das deutsche NIS2-Umsetzungsgesetz gilt, steht die Geschäftsleitung ausdrücklich in der Pflicht: Sie muss Sicherheitsmaßnahmen umsetzen, ihre Wirkung überwachen und sich selbst regelmäßig schulen lassen. Wer das ignoriert, riskiert Bußgelder, persönliche Haftung und im schlimmsten Fall den Stillstand des ganzen Betriebs.
Dieser Leitfaden zeigt dir, welche Pflichten für Unternehmen im Mittelstand konkret gelten, wo deine Verantwortung als Geschäftsführer beginnt und mit welchen sieben Schritten du Cybersecurity zur gelebten Chefsache machst. Am Ende findest du eine Agenda für die nächsten 90 Tage.
Warum Cybersecurity in die Geschäftsführung gehört
Die Bedrohungslage ist kein abstraktes Risiko. Laut der Studie Wirtschaftsschutz 2026 des Digitalverbands Bitkom entstand der deutschen Wirtschaft durch Datendiebstahl, Spionage und Sabotage ein Schaden von mindestens 211 Milliarden Euro. Rund 76 Prozent davon gehen auf Cyberangriffe zurück, und 58 Prozent der befragten Unternehmen berichteten von Schäden durch Cyberattacken in den vergangenen zwölf Monaten.
Für dich als Führungskraft heißt das: Ein erfolgreicher Angriff ist kein IT-Problem, sondern ein Geschäftsrisiko. Produktionsanlagen stehen still, Kundendaten fließen ab, Lieferketten reißen. Die Folgen treffen Umsatz, Reputation und Liquidität gleichzeitig.
Deshalb gehört Cybersecurity auf dieselbe Ebene wie Finanzplanung oder Vertrieb. Sie braucht ein Budget, klare Verantwortliche und einen festen Platz in deinem Management-Reporting. Wer das Thema nur technisch denkt, übersieht die organisatorischen Lücken, durch die die meisten Angreifer tatsächlich eindringen.
NIS2 in Deutschland: Wer betroffen ist und was gilt
Die europäische NIS2-Richtlinie hat der Gesetzgeber mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in deutsches Recht übertragen. Das Gesetz ist im Dezember 2025 in Kraft getreten und hat das BSI-Gesetz (BSIG) umfassend neu gefasst. Damit fallen nicht mehr nur klassische Betreiber kritischer Infrastrukturen unter die Regulierung, sondern auch viele mittelständische Unternehmen.
Schwellenwerte und Sektoren
Das Gesetz unterscheidet zwei Gruppen. Entscheidend sind Branche und Unternehmensgröße:
- Besonders wichtige Einrichtungen: in der Regel ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme, in Sektoren wie Energie, Transport, Gesundheit, Wasser oder digitale Infrastruktur.
- Wichtige Einrichtungen: in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme, auch in Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und verarbeitendes Gewerbe.
- Verarbeitendes Gewerbe: Dazu zählen etwa Hersteller von Maschinen, elektrischen Ausrüstungen, Fahrzeugen und Medizinprodukten. Gerade hier sind viele Mittelständler betroffen, ohne es zu wissen.
Ob dein Unternehmen darunterfällt, klärst du am besten mit der Betroffenheitsprüfung, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf seiner NIS-2-Themenseite anbietet. Dokumentiere das Ergebnis schriftlich, auch wenn es negativ ausfällt.
Registrierung und Meldepflichten
Betroffene Unternehmen müssen sich beim BSI registrieren. Für alle, die schon bei Inkrafttreten unter das Gesetz fielen, ist die gesetzliche Frist im März 2026 abgelaufen. Wer erst später über die Schwellenwerte wächst, hat dafür drei Monate Zeit. Die Registrierung läuft über das BSI-Portal und setzt ein ELSTER-Organisationszertifikat voraus.
Noch wichtiger für den Ernstfall sind die Meldepflichten bei erheblichen Sicherheitsvorfällen:
- Frühe Erstmeldung an das BSI spätestens 24 Stunden nach Kenntnis des Vorfalls
- Ausführlichere Meldung mit erster Bewertung spätestens nach 72 Stunden
- Zwischenmeldungen auf Anforderung des BSI
- Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung
Diese Fristen sind nur einzuhalten, wenn Zuständigkeiten und Abläufe vorher feststehen. Im Krisenmodus hat niemand Zeit, erst zu klären, wer die Meldung schreibt und freigibt.
Geschäftsführerhaftung: Was die NIS2-Regeln für dich bedeuten
Der Kern für dich als Geschäftsführer steht in Paragraf 38 des BSI-Gesetzes. Danach muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflichten, haftet sie der Gesellschaft für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts, bei der GmbH also nach dem GmbH-Gesetz.
Hinzu kommt eine persönliche Schulungspflicht: Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken der Informationssicherheit selbst bewerten zu können. Ein Zertifikat für die IT-Leitung reicht dafür nicht aus.
Du kannst die operative Umsetzung delegieren, etwa an einen Informationssicherheitsbeauftragten oder einen externen Dienstleister. Die Verantwortung bleibt aber bei dir. Wie die allgemeine Organhaftung funktioniert und wie du dich absicherst, liest du in unserem Beitrag zur Geschäftsführerhaftung in der GmbH.
Auch die Bußgelder sind empfindlich. Die NIS2-Richtlinie der EU sieht für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Maßgeblich ist jeweils der höhere Betrag.
Cybersecurity-Strategie: Sieben Schritte für die Geschäftsleitung
Gesetzliche Pflichten sind das Minimum. Eine wirksame Cybersecurity-Strategie schützt dein Unternehmen auch dann, wenn es formal gar nicht unter NIS2 fällt. Die folgenden sieben Schritte orientieren sich an den Anforderungen des Gesetzes und am Alltag mittelständischer Betriebe.
1. Verantwortung klar zuordnen
Benenne eine verantwortliche Person für Informationssicherheit mit direktem Zugang zur Geschäftsführung. Lege fest, wer im Vorfall entscheidet, wer meldet und wer kommuniziert. Halte diese Rollen schriftlich fest.
2. Risiken systematisch analysieren
Welche Systeme sind geschäftskritisch? Welche Daten wären bei einem Abfluss existenzbedrohend? Eine strukturierte Risikoanalyse beantwortet diese Fragen und priorisiert dein Budget. Wiederhole sie mindestens jährlich und nach größeren Veränderungen.
3. Grundschutz technisch absichern
Viele Angriffe scheitern an einfachen Maßnahmen. Diese Basics sollten in jedem Unternehmen Standard sein:
- Multi-Faktor-Authentifizierung für alle Fernzugänge, E-Mail-Konten und Administratorrechte
- Zeitnahes Patch-Management für Betriebssysteme, Anwendungen und Firewalls
- Regelmäßige, vom Netz getrennte Backups mit getesteter Wiederherstellung
- Minimale Zugriffsrechte nach dem Need-to-know-Prinzip
- Verschlüsselung sensibler Daten auf Endgeräten und bei der Übertragung
4. Lieferkette einbeziehen
Angreifer nutzen gezielt Dienstleister, Softwarelieferanten und Wartungszugänge als Einfallstor. Prüfe deshalb die Sicherheitsstandards deiner wichtigsten Partner und verankere Mindestanforderungen in Verträgen. NIS2 nennt die Sicherheit der Lieferkette ausdrücklich als Teil des Risikomanagements.
5. Wirksamkeit messen
Was du nicht misst, kannst du nicht steuern. Definiere wenige aussagekräftige Kennzahlen, etwa die Quote eingespielter kritischer Updates, die Abdeckung mit Multi-Faktor-Authentifizierung oder die Ergebnisse von Phishing-Simulationen. Lass dir diese Werte quartalsweise berichten.
6. Mitarbeitende schulen
Regelmäßige, kurze Trainings wirken besser als eine jährliche Pflichtveranstaltung. Mehr dazu liest du weiter unten im Abschnitt zur Sicherheitskultur.
7. Den Ernstfall üben
Ein Notfallplan, den niemand kennt, hilft im Angriff nicht. Plane deshalb mindestens einmal im Jahr eine Übung mit Geschäftsführung, IT und Kommunikation. Wie das konkret aussieht, zeigt der Abschnitt zum Notfallplan.
Externe Cybersecurity-Dienstleister gezielt einbinden
Kaum ein mittelständisches Unternehmen kann ein eigenes Sicherheitsteam rund um die Uhr besetzen. Das ist auch nicht nötig. Entscheidend ist, dass du weißt, welche Aufgaben du intern abdeckst und wo du gezielt Unterstützung einkaufst.
Typische Leistungen, die Mittelständler auslagern:
- Security Operations Center (SOC): Überwachung von Netzwerk und Endgeräten rund um die Uhr, inklusive Alarmierung bei Auffälligkeiten
- Penetrationstests: kontrollierte Angriffe, die Schwachstellen aufdecken, bevor echte Angreifer sie finden
- Incident Response: vertraglich gesicherte Forensik- und Wiederherstellungshilfe, die im Ernstfall binnen Stunden verfügbar ist
- Externer Informationssicherheitsbeauftragter: fachliche Begleitung beim Aufbau von Richtlinien und Risikomanagement
Achte bei der Auswahl auf nachvollziehbare Qualifikationen, klare Reaktionszeiten und einen Ansprechpartner, der eure Systeme kennt. Schließe einen Incident-Response-Vertrag ab, bevor du ihn brauchst. Mitten im Angriff einen Dienstleister zu suchen, kostet wertvolle Zeit.
Wichtig bleibt: Auch wenn Cybersecurity-Leistungen extern erbracht werden, liegt die Überwachungspflicht bei der Geschäftsleitung. Lass dir deshalb regelmäßig berichten, welche Vorfälle erkannt wurden, wie schnell reagiert wurde und welche Schwachstellen noch offen sind. So wird Cybersecurity zu einer steuerbaren Größe statt zu einer Blackbox.
Der Notfallplan: Vorbereitet sein, bevor es brennt
Ein Ransomware-Angriff beginnt häufig nachts oder am Wochenende. Dann zählt jede Stunde. Ein guter Notfallplan beantwortet die entscheidenden Fragen, bevor der Ernstfall eintritt, und liegt auch offline vor, denn verschlüsselte Server geben ihn nicht mehr heraus.
Diese Bausteine gehören hinein:
- Alarmierungskette: Wer wird wann informiert, mit privaten Telefonnummern und Vertretungsregeln?
- Krisenstab: Geschäftsführung, IT, Recht, Kommunikation und bei Bedarf externe Forensiker.
- Sofortmaßnahmen: Systeme isolieren, Beweise sichern, keine voreiligen Neuinstallationen.
- Meldewege: BSI, Datenschutzaufsicht bei Personendaten, Polizei und Cyberversicherung.
- Kommunikation: vorbereitete Texte für Belegschaft, Kunden, Lieferanten und Presse.
- Wiederanlauf: Reihenfolge der Systeme nach Geschäftskritikalität.
Ein Cyberangriff ist eine Unternehmenskrise im vollen Sinn. Wie du in solchen Situationen handlungsfähig bleibst und dein Team stabil hältst, beschreibt unser Beitrag Führen in der Krise.
Cybersecurity-Kultur: Mitarbeitende als Schutzschild
Technik allein schützt nicht. Ein Großteil erfolgreicher Angriffe beginnt mit einer manipulierten E-Mail, einem gefälschten Anruf oder einem täuschend echten Video. Mit generativer KI werden solche Täuschungen immer überzeugender, bis hin zu gefälschten Stimmen von Vorgesetzten.
Deine Aufgabe als Führungskraft ist es, eine Sicherheitskultur zu schaffen, in der Mitarbeitende Auffälligkeiten sofort melden, ohne Angst vor Schuldzuweisungen. Wer einen falschen Klick zugibt, hilft dem Unternehmen mehr als jemand, der ihn aus Scham verschweigt.
Bewährt haben sich diese Ansätze:
- Kurze, regelmäßige Lerneinheiten statt seltener Pflichtschulungen
- Realistische Phishing-Simulationen mit sofortigem, wertschätzendem Feedback
- Ein klarer, einfacher Meldeweg für verdächtige Vorgänge
- Verbindliche Rückrufregeln bei ungewöhnlichen Zahlungsanweisungen
- Sichtbares Vorbild der Geschäftsführung, die selbst an Trainings teilnimmt
Wer zusätzlich KI-Werkzeuge einführt, sollte Cybersecurity und KI-Regulierung zusammen denken. Welche Pflichten die europäische KI-Verordnung mit sich bringt, erklärt unser Überblick zum AI Act in der Praxis.
Cybersecurity als Chefsache: Deine Agenda für die nächsten 90 Tage
Du musst nicht alles auf einmal lösen. Entscheidend ist, dass du strukturiert beginnst und Fortschritte sichtbar machst. Diese Agenda hilft dir beim Einstieg:
- Woche 1 bis 2: NIS2-Betroffenheit prüfen, Ergebnis dokumentieren und bei Bedarf die Registrierung beim BSI nachholen.
- Woche 3 bis 4: Verantwortliche benennen, eigene Schulung als Geschäftsleitung terminieren.
- Monat 2: Risikoanalyse durchführen, kritische Systeme und Daten identifizieren, Basismaßnahmen wie Multi-Faktor-Authentifizierung und Backups prüfen.
- Monat 3: Notfallplan erstellen, offline ablegen und in einer ersten Übung testen.
- Dauerhaft: Cybersecurity als festen Punkt in jede Geschäftsführungsrunde aufnehmen und Kennzahlen quartalsweise berichten lassen.
Sicherheit hängt eng mit der Qualität und Ordnung deiner Daten zusammen. Wer weiß, welche Daten er besitzt und wo sie liegen, kann sie auch besser schützen. Den passenden Rahmen dafür liefert eine durchdachte Datenstrategie für den Mittelstand.
Häufige Fragen zur Cybersecurity
Gilt NIS2 auch für kleine Unternehmen?
In der Regel greift NIS2 ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in den gesetzlich genannten Sektoren. Für einige Dienste wie bestimmte digitale Infrastrukturen gelten Ausnahmen unabhängig von der Größe. Kleinere Unternehmen sind oft indirekt betroffen, weil regulierte Kunden Sicherheitsanforderungen an ihre Lieferanten weitergeben.
Haftet der Geschäftsführer persönlich für Cyberangriffe?
Nicht für den Angriff selbst, aber für Pflichtverletzungen. Wer die gesetzlich geforderten Risikomanagementmaßnahmen nicht umsetzt oder nicht überwacht, haftet der Gesellschaft für daraus entstandene Schäden nach dem Gesellschaftsrecht. Eine dokumentierte, regelmäßig überprüfte Sicherheitsorganisation ist deshalb dein bester Schutz.
Wie schnell muss ein Sicherheitsvorfall gemeldet werden?
Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden nach Kenntnis mit einer Erstmeldung beim BSI angezeigt werden. Nach 72 Stunden folgt eine ausführlichere Meldung, spätestens einen Monat danach die Abschlussmeldung. Bei personenbezogenen Daten kommt zusätzlich die Meldepflicht an die Datenschutzaufsicht hinzu.
Was kostet gute Cybersecurity im Mittelstand?
Eine pauschale Summe gibt es nicht, weil Branche, Größe und IT-Landschaft stark variieren. Viele wirksame Basismaßnahmen wie Multi-Faktor-Authentifizierung, Patch-Management und Schulungen sind vergleichsweise günstig. Stelle die Kosten immer den möglichen Schäden durch Betriebsunterbrechung, Datenverlust und Bußgelder gegenüber.
Ersetzt eine Cyberversicherung eigene Sicherheitsmaßnahmen?
Nein. Versicherer verlangen in der Regel einen Mindeststandard wie Backups und Multi-Faktor-Authentifizierung und können bei groben Versäumnissen die Leistung kürzen. Eine Cyberversicherung ergänzt dein Sicherheitskonzept um finanzielle Absicherung und Krisenhilfe, ersetzt es aber nicht.
