{"id":688617,"date":"2026-09-28T17:38:14","date_gmt":"2026-09-28T15:38:14","guid":{"rendered":"https:\/\/blog.wiwo.de\/management\/?p=688617"},"modified":"2026-09-28T17:38:14","modified_gmt":"2026-09-28T15:38:14","slug":"cyber-management-dieses-gesetz-ist-neuland-fuer-top-manager-nis2-betrifft-rund-30-000-unternehmen","status":"publish","type":"post","link":"https:\/\/blog.wiwo.de\/management\/2026\/09\/28\/cyber-management-dieses-gesetz-ist-neuland-fuer-top-manager-nis2-betrifft-rund-30-000-unternehmen\/","title":{"rendered":"Cyber-Management: Dieses Gesetz ist Neuland f\u00fcr Top-Manager – NIS2 betrifft rund 30.000 Unternehmen"},"content":{"rendered":"
\n
<\/div>\n<\/header>\n
\n
\n
<\/div>\n<\/div>\n<\/div>\n
\n
\n
\n
\n
\n
\n
Dieses Gesetz ist Neuland f\u00fcr Top-Manager<\/span><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n
\n
\n
<\/div>\n
Die Chefs vieler Firmen mit sensiblen Daten haften neuerdings pers\u00f6nlich f\u00fcr IT-Sicherheitsl\u00fccken \u2013 und sollten sich daher schulen lassen.<\/p>\n
\n
(Zuerst erscheinen in der gedruckten WirtschaftsWoche am 28.07.2026)<\/div>\n
<\/div>\n
<\/div>\n<\/div>\n<\/div>\n<\/header>\n
\n
\"\"<\/p>\n
Foto: Ulf K.\/Sepia<\/span><\/div>\n<\/div>\n<\/div>\n
\n
\n
\n
<\/div>\n<\/div>\n<\/div>\n
\n
\n

Ausgerechnet der Sicherheitschef eines s\u00fcddeutschen Zulieferers mit 10.000 Mitarbeitern und seine Assistentin verschuldeten die Cyberattacke auf ihr \u00adUnternehmen. Ein Anrufer hatte sich gegen\u00fcber der Frau in Telefonaten und E-Mails als Mitarbeiter des IT-Supports ausgegeben und ihr die Log-in-Daten des Chefs entlockt; der Vorgesetzte hatte sie ihr gegeben f\u00fcr den Fall seiner Abwesenheit und die dringende Freigabe firmeninterner Tools.<\/p>\n

Das sollte nicht passieren, und schon gar nicht einem Sicherheitschef, sagt Christoph Werkmeister, IT- und Datenschutzanwalt bei der Kanzlei Freshfields. Doch so \u201eabstrus\u201c es auch klinge: \u201eSo etwas erlebe ich st\u00e4ndig.\u201c<\/p>\n<\/div>\n<\/div>\n

\n
\n

Der Mittelst\u00e4ndler geh\u00f6rt als Autozulieferer zu den besonders gef\u00e4hrdeten Betrieben, f\u00fcr die jetzt bei Cyberangriffen strengere Vorschriften gelten. Das Gesetz NIS2 ist seit Dezember 2025 in Kraft. Es setzt eine europ\u00e4ische Richtlinie um und betrifft rund 30.000 Unternehmen und Beh\u00f6rden aus den Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, digitale Infrastruktur, Abfallbewirtschaftung, Maschinenbau und Forschung \u2013 vorausgesetzt, sie besch\u00e4ftigen mehr als 50 Mitarbeiter und erwirtschaften mindestens zehn Millionen Euro Jahresumsatz.<\/p>\n<\/div>\n<\/div>\n

\n
\n

\u201eEtlichen Unternehmenslenkern ist noch nicht klar, dass sie betroffen sind\u201c, sagt Werkmeister; meist handle es sich um kleinere Betriebe ohne Rechtsabteilung. Ein Grund: Es gab keine Benachrichtigung einer Beh\u00f6rde. Stattdessen sollen die Unternehmen sich beim Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) registrieren.<\/p>\n<\/div>\n<\/div>\n

\n
Die Frist f\u00fcr die Registrierung lief am 6. M\u00e4rz ab. Doch bis dahin haben sich aber erst rund 11.000 Unternehmen und kritische Einrichtungen registriert. Den Unt\u00e4tigen drohen nun empfindliche Geldbu\u00dfen zwischen 100.000 und zwei Millionen Euro, sagt Susanne Werry, Cyberanw\u00e4ltin bei Skadden.<\/div>\n<\/div>\n
\n

Wer muss liefern? Schlimmstenfalls m\u00fcssen das Rechtsgutachten beantworten<\/strong><\/p>\n<\/div>\n

\n
\n
Das Problem: Zwar sollen Betroffene auf der BSI-Webseite checken k\u00f6nnen, ob sie zum Kreis derer geh\u00f6ren, die die strengeren Regeln einhalten m\u00fcssen. Dennoch r\u00e4tseln manche, ob sie tats\u00e4chlich gemeint sind. \u201eGerade bei produzierenden Unter\u00adnehmen wie Gro\u00dfb\u00e4ckern oder Molkereien steht das Thema Cybersicherheit kaum immer ganz oben auf der Priorit\u00e4tenliste\u201c, sagt Werkmeister. Andere Unternehmen d\u00fcrften Grenzf\u00e4lle sein. F\u00fcr sie k\u00e4me ein Rechtsgutachten infrage.<\/div>\n<\/div>\n<\/div>\n
\n

Doch abwarten und sich vorerst nicht registrieren \u2013 das ist riskant. Nicht nur, weil im Angriffsfall jetzt zus\u00e4tzliche Eile vorgeschrieben ist: Opfer von Cyber\u00adattacken m\u00fcssen einen Vorfall in den ersten 24 Stunden an die Beh\u00f6rden melden, damit diese die Lage schnell einsch\u00e4tzen k\u00f6nnen. Und innerhalb der ersten 72 Stunden muss die erste Meldung erg\u00e4nzt werden mit Detailinfos, ersten Ursachenanalysen, betroffenen Systemen und potenziellen Auswirkungen.<\/p>\n<\/div>\n

\n

Und noch eine dritte Frist ist einzuhalten: Sp\u00e4testens nach einem Monat muss das Management einen Abschlussbericht mit Ma\u00dfnahmen zur Schadensbegrenzung, einer vertieften Analyse des Vorfalls und abgeleiteten Pr\u00e4ventionsma\u00dfnahmen abliefern, erl\u00e4utert Philip Radlanski, IT-Anwalt bei Greenberg Traurig Welche Anw\u00e4lte f\u00fcr IT und Datenschutz renommieren, zeigt das Ranking der WirtschaftsWoche-Top-Anw\u00e4lte 2026. NIS2 besorgt diesen Experten, zu denen Werkmeister und Radlanski geh\u00f6ren, viel neue Arbeit \u2013 und eine neue Zielgruppe f\u00fcr ihre Schulungen in Unternehmen.<\/p>\n

„Davon verstehe ich nichts“ hilft nicht mehr\u00a0<\/strong><\/p>\n<\/div>\n

\n

Damit NIS2 greift, sind strenge Haftungsregeln eingebaut. Das Gesetz treibt daher nicht nur die Kosten f\u00fcr IT-Sicherheit, es beschert Unternehmenslenkern auch ein neues pers\u00f6nliches Haftungsrisiko: Firmen k\u00f6nnen Manager nach NIS2 auf Schadensersatz verklagen, wenn sie fahrl\u00e4ssig Einfallstore ge\u00f6ffnet haben. Sie d\u00fcrfen auch nicht mehr, wie es bisher Praxis war, Cyberaufgaben an ihren IT-Chef delegieren nach dem Motto: \u201eDavon verstehe ich nichts.\u201c Die meisten Top-Manager m\u00fcssen sich das Neuland IT-Sicherheit nun also erschlie\u00dfen, sagt Werkmeister, m\u00fcssen sich laufend \u00fcber die Cyberrisiken \u00adihrer Unternehmen informieren, sich von fachlich qualifizierten Mitarbeitern unterrichten lassen, m\u00fcssen Verantwortlichkeiten f\u00fcrs Risikomanagement, Lieferketten, Meldewesen, technische Sicherheit und Schulungen klar zuordnen, sagt Radlanski. Regelm\u00e4\u00dfige Schulungen sind Pflicht.<\/p>\n

Sparen zu wollen, gilt nicht als Argument gegen\u00fcber Beh\u00f6rden<\/strong><\/p>\n<\/div>\n

\n
\n
Auch welche Budgetentscheidungen sie treffen und warum sie auf eine zus\u00e4tzliche Sicherheitssoft\u00adware verzichten, m\u00fcssen sie dokumentieren. \u201eManager werden sich k\u00fcnftig zweimal \u00fcberlegen, wann sie wo sparen\u201c, sagt Werkmeister: \u201eSparwille ist gegen\u00fcber den Beh\u00f6rden kein Argument.\u201c<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/article>\n
<\/div>\n
<\/div>\n
\n

\"\"<\/a><\/p>\n

\n
\n
\n
\n
\n

 <\/p>\n

 <\/p>\n

\"\"<\/a><\/p>\n

 <\/p>\n

Copyright: @Claudia T\u00f6dtmann. Alle Rechte vorbehalten.\u00a0<\/strong><\/p>\n

Kontakt f\u00fcr Nutzungsrechte: claudia.toedtmann@wiwo.de<\/strong><\/p>\n

Alle inhaltlichen Rechte des Management-Blogs von Claudia T\u00f6dtmann liegen bei der Blog-Inhaberin. Jegliche Nutzung der Inhalte bedarf der ausdr\u00fccklichen Genehmigung.<\/strong><\/p>\n<\/div>\n

Um den Lesefluss nicht zu behindern, wird in Management-Blog-Texten nur die m\u00e4nnliche Form genannt, aber immer sind die weibliche und andere Formen gleicherma\u00dfen mit gemeint.\u00a0<\/strong><\/p>\n<\/article>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n

<\/div>\n
<\/div>\n
<\/div>\n","protected":false},"excerpt":{"rendered":"

Dieses Gesetz ist Neuland f\u00fcr Top-Manager Die Chefs vieler Firmen mit sensiblen Daten haften neuerdings pers\u00f6nlich f\u00fcr IT-Sicherheitsl\u00fccken \u2013 und sollten sich daher schulen lassen. (Zuerst erscheinen in der gedruckten WirtschaftsWoche am 28.07.2026) Foto: Ulf K.\/Sepia Ausgerechnet der Sicherheitschef eines … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":19,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[10859,415,4816,12598,12851,12853,12852],"class_list":["post-688617","post","type-post","status-publish","format-standard","hentry","category-allgemein","tag-christoph-werkmeister","tag-freshfields","tag-greenberg-traurig","tag-nis2","tag-philip-radlanski","tag-skadden","tag-susanne-werry"],"_links":{"self":[{"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/posts\/688617","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/users\/19"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/comments?post=688617"}],"version-history":[{"count":2,"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/posts\/688617\/revisions"}],"predecessor-version":[{"id":688620,"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/posts\/688617\/revisions\/688620"}],"wp:attachment":[{"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/media?parent=688617"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/categories?post=688617"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.wiwo.de\/management\/wp-json\/wp\/v2\/tags?post=688617"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}