Das Cybersicherheitsrecht als Herausforderung für Unternehmen und Betreiber Kritischer Infrastrukturen

BSI – Kritische Infrastrukturen (KRITIS)

Die fortschreitende Digitalisierung von Wirtschaft, Verwaltung und Gesellschaft hat zu einer bislang unbekannten Abhängigkeit von funktionierenden Informations- und Kommunikationstechnologien geführt. Während Cyberangriffe früher überwiegend als IT-technisches Problem betrachtet wurden, haben die Angriffe auf Krankenhäuser, Energieversorger, Wasserwerke, Kommunen oder Telekommunikationsunternehmen der vergangenen Jahre verdeutlicht, dass Cybersicherheit heute eine Frage der öffentlichen Sicherheit, der wirtschaftlichen Stabilität und der staatlichen Daseinsvorsorge ist. Der Gesetzgeber hat auf diese Entwicklung sowohl auf europäischer als auch auf nationaler Ebene mit einer grundlegenden Neuausrichtung des Cybersicherheitsrechts reagiert. Maßgeblich sind hierbei insbesondere die europäische NIS-2-Richtlinie, das BSI-Gesetz sowie das im März 2026 in Kraft getretene KRITIS-Dachgesetz. Gemeinsam bilden diese Regelwerke den neuen Rechtsrahmen für den Schutz Kritischer Infrastrukturen und zahlreicher weiterer Unternehmen.

Unter dem Begriff der Kritischen Infrastrukturen (KRITIS) versteht das Bundesamt für Sicherheit in der Informationstechnik (BSI) Organisationen und Einrichtungen, die von wesentlicher Bedeutung für das Funktionieren des Gemeinwesens sind. Ein Ausfall oder eine erhebliche Beeinträchtigung dieser Einrichtungen hätte nachhaltige Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere schwerwiegende Folgen für Staat, Wirtschaft und Bevölkerung zur Folge. Hierzu gehören insbesondere Unternehmen und Einrichtungen der Energieversorgung, der Wasserversorgung, des Gesundheitswesens, der Informationstechnik und Telekommunikation, des Finanz- und Versicherungswesens, des Verkehrs, der Ernährung sowie staatliche Einrichtungen und Teile der öffentlichen Verwaltung. Die Besonderheit besteht darin, dass sich ein erheblicher Teil dieser kritischen Infrastruktur nicht in staatlicher, sondern in privater Hand befindet. Damit wird der Schutz wesentlicher gesellschaftlicher Funktionen zunehmend auch zur Verantwortung privater Unternehmen.

Die steigende Zahl professionell organisierter Cyberangriffe hat die Bedeutung dieses Schutzes erheblich verstärkt. Ransomware-Angriffe, Sabotage industrieller Steuerungsanlagen, Angriffe auf Lieferketten, Datendiebstahl und hybride Cyberoperationen staatlicher Akteure stellen mittlerweile reale Gefährdungen der wirtschaftlichen Leistungsfähigkeit und der öffentlichen Sicherheit dar. Insbesondere seit Beginn geopolitischer Spannungen in Europa ist deutlich geworden, dass Cyberangriffe gezielt eingesetzt werden können, um die Funktionsfähigkeit ganzer Staaten oder kritischer Wirtschaftsbereiche zu beeinträchtigen. Die Europäische Union hat deshalb mit der Richtlinie (EU) 2022/2555 – der sogenannten NIS-2-Richtlinie – einen deutlich erweiterten europäischen Rechtsrahmen geschaffen, der die bisherige NIS-Richtlinie aus dem Jahr 2016 ersetzt und die Anforderungen an die Cybersicherheit erheblich verschärft.

Die NIS-2-Richtlinie verfolgt das Ziel, innerhalb der Europäischen Union ein einheitlich hohes Sicherheitsniveau für Netz- und Informationssysteme zu gewährleisten. Im Unterschied zur bisherigen Rechtslage beschränkt sich ihr Anwendungsbereich nicht mehr auf klassische Betreiber Kritischer Infrastrukturen. Vielmehr werden künftig auch zahlreiche mittelständische und große Unternehmen aus einer Vielzahl von Wirtschaftsbereichen erfasst. Hierzu zählen unter anderem Krankenhäuser, Labore, Hersteller kritischer Produkte, Cloud-Anbieter, Rechenzentren, Telekommunikationsunternehmen, Logistikunternehmen, Wasser- und Abwasserbetriebe sowie zahlreiche Einrichtungen der öffentlichen Verwaltung. Maßgeblich für die Anwendbarkeit sind insbesondere die Unternehmensgröße, die wirtschaftliche Bedeutung sowie die Zuordnung zu den in der Richtlinie aufgeführten besonders wichtigen oder wichtigen Einrichtungen. Schätzungen gehen davon aus, dass künftig rund 30.000 Unternehmen und Organisationen in Deutschland den Vorgaben der NIS-2-Regelungen unterliegen werden und damit ein Vielfaches der bislang nach dem KRITIS-Regime verpflichteten Betreiber erfasst wird.

Mit der Erweiterung des Anwendungsbereichs gehen umfangreiche rechtliche Pflichten einher. Die Anforderungen beschränken sich dabei ausdrücklich nicht auf technische Schutzmaßnahmen. Vielmehr verpflichtet NIS-2 Unternehmen zu einem umfassenden Risikomanagement für ihre Netz- und Informationssysteme. Hierzu gehört zunächst die systematische Identifikation, Bewertung und Behandlung von Sicherheitsrisiken durch geeignete organisatorische und technische Maßnahmen. Unternehmen müssen darüber hinaus Konzepte zur Erkennung, Bewältigung und Dokumentation von Sicherheitsvorfällen entwickeln. Erhebliche Cybervorfälle sind innerhalb der gesetzlich vorgesehenen Fristen den zuständigen Behörden zu melden. Damit verbunden sind umfangreiche Dokumentations- und Nachweispflichten.

Ein weiterer Schwerpunkt der NIS-2-Regelungen liegt auf der Gewährleistung der betrieblichen Resilienz. Unternehmen müssen geeignete Notfallkonzepte entwickeln, Wiederanlaufpläne erstellen, Backup-Strategien implementieren und Krisenmanagementstrukturen etablieren. Die Erfahrungen aus den vergangenen Jahren haben gezeigt, dass der wirtschaftliche Schaden eines Cyberangriffs häufig nicht allein durch den eigentlichen Angriff, sondern vor allem durch unzureichende Notfallvorsorge entsteht. Ebenso neu ist die ausdrückliche Einbeziehung der Lieferkette. Unternehmen sind künftig verpflichtet, Sicherheitsrisiken ihrer Dienstleister, Softwareanbieter und Cloud-Anbieter in ihr eigenes Sicherheitsmanagement einzubeziehen. Damit wird Cybersicherheit zu einer unternehmensübergreifenden Compliance-Aufgabe.

Zu den weiteren gesetzlichen Anforderungen gehören ein kontinuierliches Schwachstellen- und Patchmanagement, der Einsatz geeigneter Authentifizierungsverfahren, die Verschlüsselung sensibler Daten sowie ein wirksames Identitäts- und Zugriffsmanagement. Ergänzend verlangt der europäische Gesetzgeber regelmäßige Schulungen und Sensibilisierungsmaßnahmen für Beschäftigte. Informationssicherheit soll nicht mehr ausschließlich Aufgabe der IT-Abteilung sein, sondern als Bestandteil der Unternehmenskultur verstanden werden.

Von besonderer rechtlicher Bedeutung ist die ausdrückliche Einbindung der Unternehmensleitung. Die NIS-2-Richtlinie weist der Geschäftsführung eine unmittelbare Verantwortung für die Cybersicherheit des Unternehmens zu. Die Unternehmensleitung hat die Sicherheitsmaßnahmen zu genehmigen, deren Umsetzung zu überwachen und sicherzustellen, dass hierfür ausreichende personelle, organisatorische und finanzielle Ressourcen bereitgestellt werden. Cybersicherheit wird damit Bestandteil einer ordnungsgemäßen Unternehmensorganisation und der Corporate Governance. Die Verantwortung kann zwar im operativen Bereich delegiert werden; die Überwachungs- und Organisationsverantwortung verbleibt jedoch bei der Geschäftsleitung. Hieraus können sich im Schadensfall sowohl haftungsrechtliche als auch bußgeldrechtliche Konsequenzen ergeben.

Neben den IT-bezogenen Anforderungen ergänzt das seit dem 17. März 2026 geltende KRITIS-Dachgesetz den Schutz Kritischer Infrastrukturen um eine weitere Dimension. Während das BSI-Gesetz und die NIS-2-Regelungen in erster Linie auf die Cybersicherheit abzielen, regelt das KRITIS-Dachgesetz den physischen Schutz kritischer Einrichtungen. Es verpflichtet Betreiber unter anderem dazu, geeignete Maßnahmen gegen Sabotage, Terroranschläge, Naturkatastrophen oder andere außergewöhnliche Gefahrenlagen zu treffen. Ziel ist die Erhöhung der Resilienz kritischer Einrichtungen gegenüber sämtlichen Gefahren – unabhängig davon, ob diese digital oder physisch verursacht werden.

Die Einhaltung der gesetzlichen Anforderungen wird durch umfangreiche Kontroll- und Sanktionsmöglichkeiten abgesichert. Je nach Art und Schwere des Verstoßes können erhebliche Bußgelder, behördliche Anordnungen, Prüfungen durch das Bundesamt für Sicherheit in der Informationstechnik sowie erhebliche Reputationsschäden drohen. Hinzu treten mögliche zivilrechtliche Haftungsrisiken sowie eine persönliche Organhaftung der Unternehmensleitung, wenn gesetzliche Organisationspflichten verletzt werden. Cybersicherheit entwickelt sich damit zunehmend zu einem zentralen Bestandteil der unternehmerischen Compliance.

Für Unternehmen ergibt sich daraus ein erheblicher Handlungsbedarf. Zunächst ist zu prüfen, ob das Unternehmen überhaupt unter den persönlichen Anwendungsbereich der NIS-2-Regelungen oder der KRITIS-Vorschriften fällt. Sodann müssen bestehende Informationssicherheitsstrukturen, Verträge mit IT-Dienstleistern, Notfallkonzepte sowie interne Melde- und Dokumentationsprozesse überprüft und gegebenenfalls angepasst werden. Ebenso erforderlich sind regelmäßige Schulungen der Beschäftigten und insbesondere der Unternehmensleitung, da diese künftig eine eigenständige rechtliche Verantwortung für die Umsetzung der gesetzlichen Anforderungen trägt.

Zusammenfassend markieren KRITIS und NIS-2 einen grundlegenden Paradigmenwechsel im deutschen und europäischen Sicherheitsrecht. Informationssicherheit ist nicht länger ausschließlich eine technische Fragestellung, sondern eine rechtliche Leitungsaufgabe und integraler Bestandteil einer ordnungsgemäßen Unternehmensorganisation. Die gesetzlichen Anforderungen gehen weit über klassische IT-Sicherheitsmaßnahmen hinaus und verlangen ein umfassendes Risikomanagement, eine belastbare Notfallvorsorge, die Einbeziehung der Lieferkette sowie eine aktive Verantwortung der Unternehmensleitung. Unternehmen, die diese Anforderungen frühzeitig umsetzen, reduzieren nicht nur ihre Haftungs- und Bußgeldrisiken, sondern stärken zugleich ihre wirtschaftliche Widerstandsfähigkeit und ihre Fähigkeit, auch unter außergewöhnlichen Krisenbedingungen handlungsfähig zu bleiben. Gerade vor dem Hintergrund einer zunehmenden Professionalisierung von Cyberangriffen und wachsender geopolitischer Risiken wird die Umsetzung der neuen Sicherheitsanforderungen damit zu einem wesentlichen Bestandteil verantwortungsvoller Unternehmensführung.