Das Bundesamt für Sicherheit in der Informationstechnik will seine Aufsicht verschärfen. Nach einem Medienbericht vom 8. Oktober 2026 sollen zunächst versäumte Registrierungen aufgegriffen werden. Ab Anfang 2027 sind gezielte Sicherheitsprüfungen geplant. Für betroffene Unternehmen wird damit eine Frage immer wichtiger: Können sie belegen, dass ihre Sicherheitsmaßnahmen auch im Alltag funktionieren?
In vielen Unternehmen ist in den vergangenen Jahren einiges für die IT-Sicherheit getan worden. Neue Firewalls, Multifaktor-Authentifizierung, überarbeitete Backup-Konzepte, externe Sicherheitsprüfungen. Auch an Richtlinien mangelt es selten. Doch zwischen einer dokumentierten Sicherheitsmaßnahme und der Gewissheit, dass sie tatsächlich funktioniert, liegt manchmal ein beträchtlicher Unterschied.
Genau dieser Unterschied könnte bald stärker in den Blick der Aufsichtsbehörden geraten.
Wie ChannelPartner am 8. Oktober 2026 unter Berufung auf den Tagesspiegel berichtete, bereitet das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine sogenannte Durchsetzungsinitiative vor. Nach Aussagen von BSI-Abteilungsleiter Timo Hauschild sollen noch im vierten Quartal 2026 Unternehmen angesprochen werden, die ihrer Registrierungspflicht bislang offenbar nicht nachgekommen sind. Ab dem ersten Quartal 2027 sind für ausgewählte Einrichtungen angeordnete IT-Sicherheitsprüfungen vorgesehen.
Das ist zunächst eine angekündigte Planung. Einen allgemeinen Audittermin für alle NIS-2-pflichtigen Unternehmen gibt es nicht. Die zugrunde liegenden gesetzlichen Pflichten sind allerdings bereits seit dem 6. Dezember 2025 in Kraft.
Wer betroffen ist, muss also nicht erst auf ein Schreiben des BSI warten.
Die eigentliche Frage ist nicht, ob eine Richtlinie existiert
Am Anfang steht die richtige Einordnung des Unternehmens. § 28 des BSI-Gesetzes unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Ausschlaggebend sind unter anderem die tatsächliche Geschäftstätigkeit, Unternehmensgröße und gesetzliche Sonderregelungen.
Das klingt überschaubar. Bei Unternehmensgruppen, gemischten Geschäftsfeldern oder international aufgestellten Organisationen ist die Zuordnung jedoch nicht immer eindeutig. Umso wichtiger ist es, die Entscheidung nachvollziehbar festzuhalten. Eine unterbliebene Registrierung ändert nichts an einer bereits bestehenden gesetzlichen Betroffenheit.
Der anspruchsvollere Teil folgt anschließend.
§ 30 BSIG verlangt angemessene und wirksame technische und organisatorische Risikomanagementmaßnahmen. Zehn Mindestmaßnahmenfelder werden ausdrücklich genannt, darunter Risikoanalysen, Sicherheitsvorfälle, Notfallplanung, Lieferkettensicherheit, Zugriffskontrollen und die regelmäßige Überprüfung der Wirksamkeit.
Entscheidend ist dabei eine Formulierung, die leicht überlesen wird: Die Einhaltung dieser Verpflichtungen muss dokumentiert werden.
Nehmen wir ein Unternehmen, das über ein funktionierendes Patch-Management verfügt. Die meisten Systeme werden regelmäßig aktualisiert. Einige kritische Anwendungen sind davon ausgenommen, weil ihre Hersteller keine aktuellen Updates bereitstellen. Die IT-Abteilung kennt das Problem, der Betrieb läuft seit Jahren ohne größere Zwischenfälle.
Aber wer hat das Risiko bewertet? Welche Ersatzmaßnahmen wurden beschlossen? Wer trägt die Entscheidung, diese Systeme weiterhin zu betreiben?
Spätestens hier zeigt sich, weshalb eine Liste installierter Updates noch kein belastbarer Sicherheitsnachweis ist.
Ähnlich verhält es sich mit Notfallplänen, Wiederherstellungsverfahren oder externen Dienstleistern. Was auf dem Papier schlüssig erscheint, muss im täglichen Betrieb nicht zwangsläufig Bestand haben. Eine Richtlinie erklärt, wie etwas funktionieren soll. Erst die tatsächliche Umsetzung und ihre Überprüfung zeigen, ob sie trägt.
Die Geschäftsleitung kann Verantwortung nicht einfach delegieren
Mit NIS-2 wird Informationssicherheit noch deutlicher zur Führungsaufgabe. § 38 BSIG verpflichtet die Geschäftsleitungen betroffener Einrichtungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
Das bedeutet nicht, dass Geschäftsführer jede technische Konfiguration kennen müssen. Sie sollten aber wissen, welche Risiken für den Geschäftsbetrieb wesentlich sind, welche Maßnahmen vorgesehen wurden und wo weiterhin Schwachstellen bestehen. Auch die regelmäßige Schulung der Geschäftsleitung ist gesetzlich vorgesehen.
Gerade an dieser Schnittstelle zwischen IT, Unternehmensführung und operativem Geschäft entstehen häufig Schwierigkeiten. Technische Risiken werden erkannt, aber nicht in unternehmerische Entscheidungen übersetzt. Maßnahmen werden angestoßen, ohne Verantwortlichkeiten oder Prioritäten verbindlich festzulegen. Manchmal fehlt schlicht der Überblick darüber, welche Nachweise bereits vorliegen und welche noch fehlen.
Hinzu kommt die mögliche aufsichtsrechtliche Konsequenz. Nach § 61 Abs. 1 BSIG kann das BSI gegenüber einzelnen besonders wichtigen Einrichtungen unabhängige Audits, Prüfungen oder Zertifizierungen anordnen. Andere, in § 61 Abs. 3 geregelte Nachweisanforderungen unterliegen dagegen besonderen zeitlichen Grenzen, grundsätzlich frühestens ab Dezember 2028. Für zugelassene Krankenhäuser gilt insoweit eine abweichende Regelung. Auch wichtige Einrichtungen können unter den Voraussetzungen des § 62 BSIG Gegenstand aufsichtsrechtlicher Maßnahmen werden.
Die unterschiedlichen Fristen sind kein Aufschub für die bestehenden Sicherheits- und Dokumentationspflichten.
Dass der Gesetzgeber deren Einhaltung ernst nimmt, zeigt § 65 BSIG. Fehlende oder unvollständige Dokumentation kann bereits einen eigenen Bußgeldtatbestand erfüllen. Für einschlägige Verstöße reichen die gesetzlichen Höchstrahmen bis zu zehn Millionen Euro bei besonders wichtigen und sieben Millionen Euro bei wichtigen Einrichtungen. Bei entsprechend hohen weltweiten Unternehmensumsätzen können stattdessen umsatzbezogene Grenzen gelten. Ob und in welcher Höhe eine Geldbuße verhängt wird, hängt selbstverständlich vom jeweiligen Einzelfall ab.
Die bloße Höhe möglicher Sanktionen sollte dennoch nicht den Blick auf das Wesentliche verstellen. Ein Unternehmen, das seine Sicherheitsrisiken nicht nachvollziehbar beherrscht, hat ein Problem, lange bevor eine Behörde danach fragt.
Was jetzt sinnvoll ist
Die Vorbereitung auf mögliche Prüfungen muss nicht zwangsläufig mit einem neuen Compliance-Großprojekt beginnen. In vielen Organisationen sind wesentliche Grundlagen längst vorhanden. Sie liegen nur in verschiedenen Abteilungen, Systemen und Verantwortungsbereichen.
Ein vernünftiger Anfang ist daher die Bestandsaufnahme: Ist die gesetzliche Einstufung geklärt und dokumentiert? Wurde eine erforderliche Registrierung vorgenommen? Welche der Maßnahmen nach § 30 BSIG sind tatsächlich umgesetzt, und womit lässt sich das belegen?
Anschließend lohnt ein genauer Blick auf offene Risiken. Nicht jede Abweichung lässt sich sofort beseitigen. Entscheidend ist, dass sie erkannt, angemessen bewertet und mit einer nachvollziehbaren Entscheidung verbunden wird.
Und schließlich gehört das Thema regelmäßig auf den Tisch der Geschäftsleitung. Nicht in Form seitenlanger technischer Berichte, sondern mit einer verständlichen Darstellung wesentlicher Risiken, offener Maßnahmen und der Entscheidungen, die getroffen werden müssen.
Bestehende Zertifizierungen oder etablierte Sicherheitsstandards können dabei eine gute Grundlage sein. Sie ersetzen jedoch nicht die Prüfung, ob sämtliche für das Unternehmen geltenden gesetzlichen Anforderungen tatsächlich erfüllt sind.
Die angekündigte Initiative des BSI ist deshalb weniger Anlass für hektische Betriebsamkeit als eine Gelegenheit, die eigene Sicherheitsorganisation kritisch zu betrachten.
Denn bei einer Prüfung wird nicht allein interessieren, welche Schutzmaßnahmen ein Unternehmen einmal eingeführt hat. Es wird auch darum gehen, ob diese Maßnahmen weiterhin angemessen sind, regelmäßig überprüft werden und ihre Wirksamkeit nachvollziehbar ist.
Wer seine Risiken kennt, Entscheidungen dokumentiert und die Umsetzung seiner Sicherheitsmaßnahmen belegen kann, ist nicht nur auf eine mögliche Prüfung besser vorbereitet. Er führt sein Unternehmen auch sicherer.
Das sollte der eigentliche Maßstab sein. Unabhängig davon, ob das BSI 2027 anklopft oder nicht.
Artefaktum | Cyber Security & Regulatory Readiness
Artefaktum unterstützt Unternehmen bei der Einordnung regulatorischer Sicherheitsanforderungen, der Bewertung vorhandener Schutzmaßnahmen und dem Aufbau belastbarer Nachweisprozesse. Dabei verbinden wir technische Sicherheitskompetenz mit organisatorischer und operativer Erfahrung – unabhängig, diskret und mit Blick auf das, was im Unternehmensalltag tatsächlich funktioniert.
Quellen und rechtliche Grundlagen
ChannelPartner, 8. Oktober 2026 – BSI will bei NIS2 Ernst machen
