Juli 2026 - SAVISCON GmbH

Welche NIS2 Maßnahmen für Ihr Unternehmen gelten, ist für viele Verantwortliche aktuell die drängendste Frage. Die Registrierung beim BSI ist dabei nur der erste Schritt. Der eigentliche Kern der Regulierung liegt in §30 BSIG: Dort definiert der Gesetzgeber zehn Risikomanagementmaßnahmen, die besonders wichtige und wichtige Einrichtungen umsetzen müssen. Diese beiden Kategorien ergeben sich aus einer Kombination von Branche und Unternehmensgröße und betreffen damit auch zahlreiche mittelständische Unternehmen, etwa aus den Bereichen Finanzwesen, Gesundheitswesen, verarbeitendes Gewerbe oder Logistik. Seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 gelten diese Maßnahmen ohne Übergangsfrist.

In diesem Beitrag erklären wir Ihnen die zehn Pflichtmaßnahmen einfach und verständlich, damit Sie wissen, wo Sie in Ihrem Unternehmen ansetzen müssen, denn die NIS2 Anforderungen betreffen praktisch jeden Unternehmensbereich. Einen kompakten Sofort-Überblick über die ersten Schritte, gibt Ihnen zusätzlich unsere NIS2 Checkliste.

Welche NIS2 Maßnahmen gelten für Ihr Unternehmen?

§30 Absatz 1 BSIG verpflichtet betroffene Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Die konkreten NIS2 Maßnahmen folgen dabei einem gefahrenübergreifenden Ansatz: Es geht nicht nur um Cyberangriffe, sondern auch um physische Risiken wie Stromausfälle oder Naturereignisse. Ziel ist es, Störungen zu vermeiden und die Auswirkungen von Sicherheitsvorfällen zu minimieren.

Darüber hinaus verlangt §30 BSIG ausdrücklich, dass die Umsetzung und Einhaltung der Risikomanagementmaßnahmen dokumentiert wird. Unternehmen müssen daher Nachweise über ihre Sicherheitsmaßnahmen führen, beispielsweise in Form von Richtlinien, Verfahrensanweisungen, Schulungsnachweisen, Auditberichten oder Risikobewertungen.

Die Umsetzung orientiert sich am Stand der Technik und kann an bestehenden Standards wie ISO 27001 oder dem IT-Grundschutz des BSI ansetzen. Wichtig zu wissen: Die Anforderungen beschränken sich nicht nur auf produktionsnahe oder kritische Systeme. Laut Gesetzesbegründung sind grundsätzlich sämtliche informationstechnischen Systeme, Komponenten und Prozesse betroffen, die für die Erbringung der Dienste des Unternehmens genutzt werden. Dazu kann ausdrücklich auch die Büro-IT gehören. Für die Geschäftsführung fassen wir die wichtigsten Punkte zusätzlich in unserem NIS2 GF-Briefing kompakt zusammen.

Die 10 NIS2 Pflichtmaßnahmen nach §30 BSIG einfach erklärt

Die folgenden zehn Bereiche bilden den Kern der NIS2 Maßnahmen und sind für jede betroffene Einrichtung verpflichtend umzusetzen.

1.
Risikoanalyse und Sicherheitskonzepte
Bevor Sie Maßnahmen umsetzen, müssen Sie wissen, welchen Risiken Ihr Unternehmen ausgesetzt ist. Die Risikoanalyse bildet die Grundlage für alle weiteren Schritte und kann sich beispielsweise am BSI-Standard 200-3 orientieren.
2.
Bewältigung von Sicherheitsvorfällen (Incident Response)
Wenn es zu einem Sicherheitsvorfall kommt, muss klar sein, wer was tut. §30 BSIG verlangt dafür dokumentierte Incident-Response-Prozesse mit klaren Verantwortlichkeiten. Bei signifikanten Vorfällen kommt zusätzlich die gesonderte Meldepflicht nach §32 BSIG mit einer 24-Stunden-Frist zum Tragen.
3.
Aufrechterhaltung des Betriebs (Business Continuity Management)
Backup-Management, Notfallwiederherstellung und Krisenmanagement sorgen dafür, dass Ihr Unternehmen auch nach einem Vorfall handlungsfähig bleibt.
4.
Sicherheit der Lieferkette
Unternehmen müssen Sicherheitsrisiken entlang ihrer Liefer- und Dienstleisterkette bewerten und angemessen steuern. Dabei sind insbesondere sicherheitsrelevante Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern zu berücksichtigen.
5.
Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
Beim Einkauf und der Entwicklung neuer Systeme müssen Sicherheitsaspekte von Anfang an mitgedacht werden, inklusive dem Umgang mit und der Offenlegung von Schwachstellen.
6.
Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
Maßnahmen umzusetzen reicht nicht aus. Sie müssen regelmäßig prüfen, ob diese auch wirken, und das dokumentieren.
7.
Grundlegende Schulungen und Sensibilisierungsmaßnahmen
Ein großer Teil der Sicherheitsvorfälle entsteht durch menschliches Fehlverhalten. §30 BSIG verlangt deshalb grundlegende Schulungs- und Sensibilisierungsmaßnahmen im Bereich der IT-Sicherheit, damit Mitarbeitende Risiken wie Phishing erkennen und sich sicher verhalten.
8.
Kryptografie und Verschlüsselung
Konzepte für den Einsatz von Verschlüsselung schützen Daten sowohl bei der Speicherung als auch bei der Übertragung.
9.
Personalsicherheit, Zugriffskontrolle und Verwaltung von IT-Systemen
Wer darf auf welche Systeme zugreifen, und wie werden IKT-Systeme, -Produkte und -Prozesse verwaltet? Diese Maßnahme umfasst Konzepte für die Sicherheit des Personals sowie Berechtigungs- und Zugriffskontrollkonzepte.
10.
Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Der Einsatz von Multi-Faktor-Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation runden den Maßnahmenkatalog ab, ebenso wie gesicherte Notfallkommunikationssysteme.

Die Geschäftsleitung steht in der Verantwortung

Die Umsetzung der NIS2 Anforderungen ist keine reine IT-Aufgabe. Nach §38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Die Gesetzesbegründung stellt klar, dass sie die Maßnahmen aktiv verantworten und kontinuierlich überwachen muss. Diese Pflicht ist nicht delegierbar, auch bei Einschaltung von Hilfspersonen bleibt die Geschäftsleitung letztverantwortlich. Zusätzlich müssen Geschäftsführerinnen und Geschäftsführer regelmäßig an Cybersicherheitsschulungen teilnehmen, nach der Gesetzesbegründung gelten dabei Schulungen als regelmäßig, die mindestens alle drei Jahre erfolgen. Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie persönlich gegenüber dem eigenen Unternehmen.

Weitere Hintergründe zu Chancen und Pflichten rund um NIS2 finden Sie in unserem aktualisierten NIS2 Whitepaper.

Strukturiert umsetzen statt einzeln abarbeiten

Zehn Maßnahmenbereiche auf einmal wirken zunächst umfangreich, und auch die NIS2 Anforderungen insgesamt erscheinen auf den ersten Blick komplex. In der Praxis lassen sie sich jedoch in überschaubare Arbeitspakete zerlegen, priorisiert nach Risiko und Aufwand. Tools wie das SAVISCON GRC-COCKPIT unterstützten Sie dabei, Risikomanagement, Compliance und Informationssicherheit strukturiert und nachvollziehbar an einem Ort zu steuern, von der Risikoanalyse bis zur Nachweisdokumentation.

Wer die Registrierungsfrist bereits verpasst hat oder noch nicht strukturiert gestartet ist, kann mit dem NIS2 Kickstart sofort loslegen: ein vorkonfiguriertes NIS2-System im GRC-COCKPIT, inklusive einem Monat kostenfreiem Sparring.

Fazit

Die NIS2 Anforderungen enden nicht mit der Registrierung beim BSI. Wer die zehn Maßnahmen nach §30 BSIG jetzt strukturiert angeht, schafft nicht nur Rechtssicherheit, sondern auch eine solide Basis für Informationssicherheit im gesamten Unternehmen.

Für bestimmte Einrichtungen können zusätzlich europäische Durchführungsrechtsakte konkrete technische und methodische Mindestanforderungen an einzelne Maßnahmen vorgeben. Unternehmen sollten daher neben dem BSIG auch die sektorbezogenen Vorgaben der Europäischen Union im Blick behalten.

Jetzt kostenlos und unverbindlich einen Beratungstermin buchen

Oder den NIS2 Kickstart anfordern

Künstliche Intelligenz verändert die Art, wie Unternehmen arbeiten. Texte werden schneller erstellt, Daten effizienter ausgewertet, Routineaufgaben automatisiert. Die Frage lautet heute nicht mehr, ob KI in Unternehmen eingesetzt wird, sondern wie. Und genau an dieser Stelle kommt für viele Entscheider eine essenzielle Folgefrage auf: Wie lässt sich der Einsatz von KI mit dem Datenschutz vereinbaren?

Die gute Nachricht: KI und Datenschutz sind kein Widerspruch. Sie erfordern jedoch eine strukturierte Vorgehensweise, klare interne Regeln und ein Verständnis der geltenden Rechtslage. Mit dem EU AI Act ist seit 2024 ein europäisches Regelwerk in Kraft, das den Einsatz von intelligenten Systemen verbindlich rahmt, während die Datenschutz-Grundverordnung (DSGVO) beim Umgang mit personenbezogenen Daten weiterhin vollumfänglich gilt. Dieser Beitrag gibt Ihnen einen praxisnahen Überblick, was beide Themen konkret bedeuten und wie Unternehmen diese Technologien intern sicher, rechtssicher und verantwortungsvoll einführen können.

Was der EU AI Act für Unternehmen bedeutet

Der EU AI Act (Verordnung EU 2024/1689), zu Deutsch KI-Verordnung bzw. KI-VO, ist die weltweit erste umfassende Regulierung für den Einsatz von künstlicher Intelligenz. Sie trat am 1. August 2024 in Kraft und wird schrittweise wirksam.

Zeitplan und Pflichten im Überblick

Die Verordnung folgt einem gestaffelten Zeitplan:

Seit 2. Februar 2025: Verbote für Systeme mit inakzeptablem Risiko gelten unmittelbar. Gleichzeitig ist die Schulungspflicht nach Art. 4 in Kraft: Unternehmen müssen sicherstellen, dass ihre Mitarbeitenden nachweislich ausreichende Kompetenz im Umgang mit diesen Technologien besitzen.
Seit 2. August 2025: Dokumentations- und Informationspflichten für Anbieter von Systemen mit allgemeinem Verwendungszweck (GPAI-Systeme) treten in Kraft.
Ab 2. August 2026: Transparenzpflichten für generative Sprachmodelle werden wirksam, unter anderem die Kennzeichnungspflicht für maschinell generierte Inhalte.
Ab 2. August 2027: Die vollständigen Anforderungen für Hochrisiko-Systeme nach Anhang I der Verordnung gelten.

Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Risikostufen nach der KI-Verordnung

Der AI Act ordnet intelligente Systeme in vier Risikostufen ein:

Inakzeptables Risiko: Diese Anwendungen sind verboten, etwa Social Scoring durch Behörden oder bestimmte Formen biometrischer Echtzeit-Fernidentifizierung.
Hohes Risiko: Automatisierte Systeme in sensiblen Bereichen wie HR, Kreditvergabe oder kritischer Infrastruktur. Sie unterliegen strengen Auflagen zu Transparenz, menschlicher Aufsicht und Dokumentation.
Begrenztes Risiko: Anwendungen wie Chatbots, bei denen Transparenzpflichten gelten.
Minimales Risiko: Der Großteil der heute eingesetzten Tools, etwa textgenerierende Anwendungen für interne Zwecke. Hier gelten keine zwingenden Zusatzpflichten aus der Verordnung.

Für die meisten Unternehmen, die KI im Büroalltag einsetzen, fallen die genutzten Systeme überwiegend in die Kategorien begrenztes oder minimales Risiko. Die Schulungspflicht nach Art. 4 gilt dennoch für alle.

DSGVO und KI-VO: zwei Regelwerke, ein Ziel

Ein häufiger Irrtum in der Praxis: Unternehmen glauben, entweder die DSGVO oder die KI-VO im Blick haben zu müssen. Tatsächlich laufen beide Regelwerke gleichzeitig und ergänzen sich.

Was die DSGVO beim KI-Einsatz verlangt

Sobald künstliche Intelligenz personenbezogene Daten verarbeitet, greift die DSGVO in vollem Umfang. Das ist schnell der Fall: Wer Kundendaten, E-Mail-Adressen oder CRM-Inhalte in ein solches Tool eingibt, betritt sofort den Anwendungsbereich der DSGVO. Die zentralen Anforderungen lauten:

Rechtmäßigkeit: Jede automatisierte Datenverarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO.
Zweckbindung: Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden.
Datenminimierung: Es sind so wenig Daten wie möglich zu verwenden.
Transparenz: Betroffene Personen müssen informiert werden, wenn ihre Daten von automatisierten Systemen verarbeitet werden.
Richtigkeit: Falsche personenbezogene Daten, die ein solches System erzeugt, müssen korrigiert werden können.

Darüber hinaus kann beim Einsatz von künstlicher Intelligenz eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich sein. Die deutschen Datenschutzaufsichtsbehörden haben klargestellt, dass dies in diesem Kontext vielfach der Fall sein wird. Für Unternehmen, die hierbei Unterstützung suchen, bietet SAVISCON Datenschutz-Beratung und die Leistung des externen Datenschutzbeauftragten an.

Wichtig ist auch die Frage der vertraglichen Absicherung: Wird ein externes Tool eines Drittanbieters genutzt, ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen.

Die DSK-Orientierungshilfen als praktischer Kompass

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat seit 2024 mehrere Orientierungshilfen veröffentlicht, die konkrete Hinweise zur datenschutzkonformen Nutzung und Entwicklung intelligenter Systeme geben.

Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Mai 2024) richtet sich an Verantwortliche und gibt Leitlinien zur Konzeption, Implementierung und Nutzung entsprechender Systeme. Besonders hervorgehoben wird: Unternehmen sind auch für die Folgen eines fehlerhaft trainierten externen Systems verantwortlich, wenn sie es als Verantwortliche einsetzen.

Die Orientierungshilfe „Empfohlene technische und organisatorische Maßnahmen bei der Entwicklung und beim Betrieb von KI-Systemen“ (Juni 2025) konkretisiert die Anforderungen entlang von sieben Gewährleistungszielen: Datenminimierung, Transparenz, Vertraulichkeit, Integrität, Verfügbarkeit, Intervenierbarkeit und Nichtverkettung. Diese Ziele sind entlang des gesamten Lebenszyklus umzusetzen, von der Planungsphase bis zum laufenden Betrieb.

Grundprinzipien beider Dokumente sind „data protection by design“ – Datenschutz ist von Anfang an in die Konzeption einzubeziehen, nicht erst im Nachhinein – und „data protection by default“: Datenschutz durch datenschutzfreundliche Voreinstellungen.

Die größten Datenschutzrisiken beim KI-Einsatz

Das BSI hat in seinen aktualisierten Empfehlungen für den sicheren Einsatz generativer KI (2025) darauf hingewiesen, dass sich die Bedrohungslage durch sicherheitsrelevante Vorfälle gegenüber dem Vorjahr verdoppelt hat. Drei Risikobereiche verdienen besondere Aufmerksamkeit:

Shadow AI: unkontrollierter KI-Einsatz

Studien zeigen, dass mehr als 70 Prozent der Mitarbeitenden privat Tools wie ChatGPT oder ähnliche Anwendungen nutzen, darunter auch mit Firmendaten. Unternehmen, die keine offizielle Strategie und keine freigegebenen Tools bereitstellen, verlieren die Kontrolle darüber, welche Informationen nach außen gelangen. Dieses Phänomen wird als „Shadow AI“ (Schatten-KI) bezeichnet und stellt das Pendant zur klassischen Schatten-IT dar.

Das BSI empfiehlt ausdrücklich: Keine vertraulichen oder personenbezogenen Daten in nicht geprüfte, offene Systeme eingeben. Unternehmen, die ihren Mitarbeitenden keine sichere Alternative anbieten, riskieren unkontrollierten Datenabfluss.

Dateneingabe, Datenschutz-Folgenabschätzung und Auftragsverarbeitung

Das BSI weist darauf hin, dass Eingaben an automatisierte Systeme grundsätzlich weiterverarbeitet werden können. Bei vielen frei zugänglichen Anwendungen werden Eingaben für das Training des Modells genutzt. Eine einmal eingegebene E-Mail-Adresse oder ein Name kann in Trainingsdaten eingehen und durch gezielte Angriffe abfließen.

Unternehmen sollten daher vor der Nutzung externer Lösungen klären: Welche Lizenz wird genutzt? Welche Datenschutzzusagen macht der Anbieter? Ist ein Auftragsverarbeitungsvertrag (AVV) vorhanden? Und ist für den geplanten Einsatzfall eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?

Hinzu kommt ein weiteres Risiko, das BSI und DSK gleichermaßen thematisieren: Solche Systeme können falsche Informationen über Personen erzeugen (sogenannte Halluzinationen). Das stellt ein Risiko im Hinblick auf das Recht auf Richtigkeit und das Recht auf Berichtigung nach DSGVO dar.

In fünf Schritten zur datenschutzkonformen KI-Einführung

Aus den Empfehlungen von BSI und DSK sowie den Vorgaben der KI-VO lassen sich fünf praktische Schritte ableiten, mit denen Unternehmen KI sicher und rechtssicher einführen:

Schritt 1: KI-Bestandsaufnahme

Welche intelligenten Systeme werden im Unternehmen bereits genutzt, auch informell? Eine strukturierte Bestandsaufnahme ist der erste Schritt, um Schatten-IT aufzudecken und den Handlungsbedarf zu ermitteln.

Schritt 2: Risikoklassifizierung nach KI-VO

Für jedes eingesetzte oder geplante System ist zu prüfen, welcher Risikostufe es nach der Verordnung zuzuordnen ist. Davon hängen die weiteren Compliance-Anforderungen ab. Dies können Sie am besten über ein GRC-Management-System abbilden.

Schritt 3: DSGVO-Prüfung und Datenschutz-Folgenabschätzung

Sobald personenbezogene Daten verarbeitet werden, sind Rechtsgrundlage, Zweckbindung, AVV und gegebenenfalls eine DSFA zu prüfen. Technisch geschlossene Systeme sind aus datenschutzrechtlicher Sicht vorzuziehen. Unterstützung bietet SAVISCON mit dem Datenschutz-Management-System.

Schritt 4: Interne KI-Richtlinie erstellen

Die DSK empfiehlt für alle Unternehmen, die entsprechende Technologien einsetzen, interne Richtlinien zu entwickeln: Wer darf welche Werkzeuge für welche Zwecke nutzen? Welche Daten dürfen eingesetzt werden? Wie werden Ergebnisse auf ihre Richtigkeit geprüft? Eine solche Unternehmensrichtlinie schafft Klarheit für Mitarbeitende und schützt das Unternehmen vor unkontrolliertem Dateneinsatz.

Schritt 5: Mitarbeitende nachweislich schulen

Seit dem 2. Februar 2025 ist die Schulungspflicht nach Art. 4 KI-VO in Kraft. Unternehmen müssen sicherstellen und dokumentieren, dass ihre Mitarbeitenden ausreichende Kompetenz im Umgang mit diesen Technologien besitzen. Inhaltlich empfehlen BSI und DSK, dass Schulungen mindestens die Abgrenzung zwischen DSGVO und KI-VO, praktische Regeln für die Dateneingabe, die Pflicht zur menschlichen Prüfung von Ergebnissen sowie einen klaren Eskalationsweg bei Unsicherheiten abdecken. SAVISCON bietet hierzu Schulungen für Unternehmen an, die sowohl die rechtlichen Grundlagen als auch den sicheren praktischen Umgang mit diesen Technologien im Berufsalltag vermitteln.

Fazit: KI und Datenschutz als gemeinsames Fundament

Wer KI verantwortungsvoll einführt, gewinnt auf mehreren Ebenen: Effizienz im Arbeitsalltag, Compliance-Sicherheit gegenüber Behörden und Vertrauen bei Kunden und Mitarbeitenden. BSI und DSK haben mit ihren aktuellen Empfehlungen und Orientierungshilfen das notwendige Werkzeug bereitgestellt, es kommt auf die strukturierte Umsetzung im Unternehmen an.

Bei SAVISCON begleiten wir unsere Kunden seit Jahren beim strukturierten Aufbau von Managementsystemen für IT-Sicherheit, Datenschutz und Compliance. Und wir entwickeln diese Kompetenz stetig intern weiter, denn auch wir erproben den Einsatz intelligenter Technologien in unseren eigenen Arbeitsprozessen und lernen dabei täglich dazu.

Sie möchten KI in Ihrem Unternehmen einführen und dabei Datenschutz und Verordnungs-Konformität von Anfang an mitdenken? Ob Schulung für Ihr Team, externer Datenschutzbeauftragter oder die Einbindung in Ihr GRC-Management: Sprechen Sie uns an.