NIS2 ist in Kraft: Welche Security-Rollen Unternehmen jetzt besetzen müssen
Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 — ohne Übergangsfrist. Die Pflichten treffen rund 29.500 Unternehmen, und die Verantwortung liegt ausdrücklich bei der Geschäftsleitung. Damit ist NIS2 kein IT-Projekt, sondern eine Personalfrage.
Lesezeit ca. 7 Minuten · Stand August 2026
Was jetzt gilt
Der Bundestag hat das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) am 13. November 2025 beschlossen, der Bundesrat hat es am 20. November 2025 passieren lassen. In Kraft ist es seit dem 6. Dezember 2025 — und zwar ohne Übergangsfrist. Wer betroffen ist, ist seit diesem Datum in der Pflicht.
Praktisch relevant ist die Registrierung: Das Registrierungsportal des BSI ist seit dem 6. Januar 2026 geöffnet, die Frist für die Erstregistrierung lief am 6. März 2026 ab. Unternehmen, die betroffen sind und sich nicht registriert haben, riskieren ein Bußgeld — und tragen zusätzlich die Beweislast, warum sie sich für nicht betroffen hielten.
Die zentralen Paragraphen im Überblick: § 28 Betroffenheit, § 30 Risikomanagement, § 32 Meldepflichten, § 38 Pflichten der Geschäftsleitung, § 65 Bußgelder von bis zu 10 Mio. €.
Wer betroffen ist
Rund 29.500 Unternehmen in 18 Sektoren fallen unter das Gesetz. Der entscheidende Unterschied zur alten Rechtslage: Es geht nicht mehr nur um klassische kritische Infrastruktur. Erfasst sind unter anderem Fertigung und Maschinenbau — also genau der industrielle Mittelstand, der sich bisher außerhalb der Regulierung sah.
Dazu kommt der indirekte Effekt über die Lieferkette: Wer als Zulieferer für ein betroffenes Unternehmen arbeitet, wird vertraglich in dieselben Anforderungen hineingezogen, ohne selbst unter § 28 zu fallen. Für die Personalplanung ist das die relevantere Zahl — betroffen im weiteren Sinne sind deutlich mehr als 29.500 Unternehmen.
Warum NIS2 ein Personalthema ist, kein IT-Projekt
Nach § 38 liegt die Verantwortung für Risikomanagement, Umsetzung und Überwachung bei der Geschäftsleitung. Das BSI stellt das ausdrücklich klar. Diese Verantwortung lässt sich delegieren, aber nicht abgeben — und sie ist nicht erfüllbar, wenn niemand im Haus die fachliche Übersetzung leistet.
Daraus folgen drei Rollenbedarfe, die in vielen Mittelständlern heute nicht sauber belegt sind:
- Informationssicherheitsbeauftragter oder CISO: hält das Risikomanagement nach § 30 aufrecht und ist der Gegenpart der Geschäftsleitung — nicht deren Verlängerung in die IT
- Risk & Compliance: übersetzt regulatorische Anforderungen in Nachweise, führt Register, Verträge und Lieferantenanforderungen
- Incident-Response-Verantwortung: stellt die Meldefähigkeit nach § 32 sicher — inklusive Fristen, Eskalationsweg und Kommunikation gegenüber Behörde und Kunden
Der häufigste Fehler ist die Bündelung aller drei Aufgaben beim IT-Leiter. Das ist nicht nur eine Überlastung, es ist ein struktureller Interessenkonflikt: Wer den Betrieb verantwortet, kann nicht unabhängig bewerten, welches Betriebsrisiko akzeptabel ist.
Rollenprofile kompakt
| Rolle | Kernauftrag unter NIS2 | Bezug |
|---|---|---|
| ISB / CISO | Risikomanagement etablieren, Maßnahmen priorisieren, Restrisiken der Geschäftsleitung zur Entscheidung vorlegen | § 30, § 38 |
| Risk & Compliance Manager | Betroffenheitsanalyse, Registrierung, Nachweisführung, Lieferantenanforderungen | § 28, § 30 |
| Incident-Response-Verantwortung | Meldeprozesse, Fristen, Übungen, Forensik-Anbindung, Krisenkommunikation | § 32 |
| Geschäftsleitung | Genehmigung, Überwachung, Schulung — persönlich in der Pflicht | § 38, § 65 |
Die Paragraphenzuordnung folgt dem NIS2UmsuCG. Ob die Rollen als Vollzeitstellen, in Teilzeit oder kombiniert besetzt werden, hängt von Sektor, Größe und Auditlast ab — nicht von der Mitarbeiterzahl allein.
Interim oder feste Besetzung?
Die Antwort hängt am Zeitdruck, nicht am Budget. Wer heute noch keine belastbare Betroffenheitsanalyse und keine Meldeprozesse hat, braucht innerhalb von Wochen Handlungsfähigkeit — und eine feste CISO-Besetzung dauert im Markt regelmäßig drei bis sechs Monate.
| Situation | Empfohlenes Modell |
|---|---|
| Registrierung und Nachweise offen, Auditdruck akut | Interim-ISB/CISO sofort, parallel Festbesetzung suchen |
| Grundstruktur steht, dauerhafte Linienverantwortung fehlt | Festbesetzung mit klarem 180-Tage-Auftrag |
| Kleinere Organisation, moderate Auditlast | Mandatierte Teilzeitrolle plus externe Prüfkapazität |
Ein Interim-Mandat ist pro Tag teurer und pro Fehlentscheidung deutlich billiger. Entscheidend ist ein definiertes Übergabekonzept an die spätere Festbesetzung.
Was Sie in den nächsten 30 Tagen klären sollten
- Betroffenheit nach § 28 dokumentiert — mit Begründung, auch im Negativfall.
- Registrierung beim BSI erfolgt oder Versäumnis aktiv aufgearbeitet.
- Namentlich benannte Verantwortung für Risikomanagement und Meldewege.
- Meldefähigkeit nach § 32 einmal geprobt, nicht nur beschrieben.
- Beschluss der Geschäftsleitung, wie die Rollen besetzt werden — interim, fest oder kombiniert.
Wenn Sie beim letzten Punkt hängen: genau dort setzen wir an. Wir evaluieren die Rolle inhaltlich, bevor gesucht wird — damit im Interview überprüfbar wird, ob eine Kandidatin Risiken auf Geschäftsleitungsebene verhandeln und gleichzeitig mit dem Security-Engineering mithalten kann.
Nächster Schritt
NIS2-Rollen besetzen, bevor der Auditor fragt.
Im Erstgespräch klären wir, welche der drei Rollen bei Ihnen wirklich fehlt — und ob Interim oder Festbesetzung der schnellere Weg ist.
Direkt: rafael@iox.partners