NIS-2 ist ein IT-Gesetz. Zwei seiner zehn Pflichten stehen trotzdem an Ihrer Tür.

Seit dem 6. Dezember 2025 gilt in Deutschland das novellierte BSI-Gesetz. Es setzt die europäische NIS-2-Richtlinie um, ist ohne Übergangsfrist in Kraft getreten, und sein Anwendungsbereich ist erheblich gewachsen: Statt rund 4.000 sind nach übereinstimmenden Einschätzungen der Beratungspraxis nun mehr als 29.000 Unternehmen betroffen. [Marktindikation, keine amtliche Zahl]

Wer in einem der geregelten Sektoren tätig ist und mindestens 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz erreicht, sollte prüfen, ob er darunter fällt. Diese Prüfung ist keine Sicherheitsfrage, sondern eine Rechtsfrage — sie gehört zu einer Kanzlei oder einer spezialisierten Beratung, nicht zu uns.

Um diese Prüfung geht es hier auch nicht.

Was in § 30 BSIG tatsächlich steht

Absatz 1 verlangt „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen", um „Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme" zu vermeiden.

Das ist eindeutig, und man sollte es nicht verbiegen: Der Gegenstand des Absatzes sind informationstechnische Systeme. Von Zäunen, Türen, Serverraumtüren oder Schließanlagen steht dort nichts. Wer NIS-2 als verstecktes Gesetz über physische Sicherheit verkauft, überdehnt den Wortlaut.

Absatz 2 zählt dann zehn Maßnahmen auf, die diese Pflicht ausfüllen. Acht davon sind unstreitig IT: Risikoanalysekonzepte, Bewältigung von Sicherheitsvorfällen, Lieferkettensicherheit, Sicherheit bei Erwerb und Entwicklung von IT-Systemen, Wirksamkeitsbewertung, Kryptografie, Multi-Faktor-Authentifizierung, gesicherte Kommunikation.

Zwei nicht ganz.

Nummer 9: „Sicherheit des Personals, die Zugriffskontrolle"

Der Wortlaut von § 30 Abs. 2 Nr. 9 BSIG lautet:

„Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen"

Ein IT-Dienstleister liest „Zugriffskontrolle" als das, was er kann: ein Berechtigungskonzept, Rollen, Rechtevergabe, Entzug beim Austritt. Das ist richtig und notwendig.

Nur endet die Zugriffskontrolle nicht am Benutzerkonto. Sie hat eine zweite Hälfte, und die besteht aus Türen:

Wer betritt den Serverraum, und wer weiß, dass er drin war?
Wo hängt der Schlüssel für die Technikräume, und wer hat ihn zuletzt gehabt?
Wird ein externer Techniker begleitet — und wenn ja, von wem um zwei Uhr nachts?
Was passiert mit dem Zutrittsausweis eines Beschäftigten am Tag der Kündigung? Das Benutzerkonto wird meist zuverlässig gesperrt. Die Karte für das Nebentor oft nicht.

„Sicherheit des Personals" im selben Satz meint dabei nicht die Arbeitssicherheit, sondern die Frage, wer überhaupt Zugang zu welchen Bereichen erhalten darf — Zuverlässigkeit, Einweisung, Kontrolle beim Ein- und Austritt.

Nummer 3: Betrieb aufrechterhalten, und zwar geübt

Der Wortlaut von § 30 Abs. 2 Nr. 3 BSIG:

„Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement"

Backup und Wiederherstellung sind IT. Krisenmanagement ist es nicht. Ein Krisenstab, der auf dem Papier existiert und nie zusammengetreten ist, ist eine Aufstellung von Namen — keine Organisation. Wer nachts merkt, dass etwas schiefläuft, muss wissen, wen er anruft, wer entscheidet und was auf keinen Fall passieren darf, bevor jemand entschieden hat.

Das ist dieselbe Arbeit wie ein Alarm- und Eskalationsplan für ein Objekt, nur auf einen anderen Auslöser gedreht.

Die Lücke, die dabei entsteht

Die Erfahrung aus dem laufenden Betrieb ist eindeutig: Wenn eine Pflicht zwei Hälften hat und nur eine Seite einen Zuständigen, bleibt die andere liegen.

Der IT-Dienstleister setzt die Zugriffskontrolle im System um. Die Frage, wer den Schlüssel zum Technikraum hat, ist für ihn außerhalb des Auftrags. Der Facility-Bereich verwaltet Schlüssel, hat aber mit NIS-2 nichts zu tun und erfährt oft gar nicht, dass es die Pflicht gibt. Zwischen beiden liegt keine Schwachstelle in einem System, sondern eine Zuständigkeitslücke.

Genau dort — und nur dort — liegt unser Teil. Wir beraten nicht zu Informationssicherheit, wir führen kein Managementsystem ein und wir prüfen nicht, ob Sie unter das Gesetz fallen. Wir sehen uns an, ob die physische Seite der Zugriffskontrolle und die Alarmorganisation im Ernstfall tragen.

Und wenn Sie KRITIS sind, gilt zusätzlich etwas anderes

NIS-2 ist nicht das einzige neue Gesetz. Das KRITIS-Dachgesetz gilt seit dem 17. März 2026 und ist, anders als das BSIG, ausdrücklich ein Gesetz über physische Resilienz: § 13 Abs. 3 nennt Liegenschaftsabgrenzung, Zugangskontrolle, Detektion und Übungen, und in Nummer 2 Buchstabe a steht wörtlich das Wort Objektschutz. Wer unter beide Gesetze fällt, sollte sie nicht in einem Projekt vermengen — sie haben unterschiedliche Adressaten, Fristen und Aufsichtsbehörden.

Dazu haben wir einen eigenen Beitrag geschrieben: KRITIS-Dachgesetz: Warum im Gesetz wörtlich „Objektschutz" steht.

Was das für Sie heißt

Klären Sie zuerst, ob Sie überhaupt betroffen sind — bei einer Kanzlei oder einer Beratung für Informationssicherheit. Das ist eine Rechtsfrage.
Fragen Sie danach, wer Nummer 9 und Nummer 3 tatsächlich umsetzt. Wenn die Antwort für die physische Hälfte „das macht die IT mit" lautet, ist sie mit hoher Wahrscheinlichkeit nicht umgesetzt.
Prüfen Sie die Übergabepunkte, nicht die Systeme: Schlüssel, Ausweise, Begleitung von Fremdpersonal, Austrittsprozess, Alarmierungskette am Wochenende.

Wenn Sie bei Punkt 3 unsicher sind, sehen wir uns das an. Wenn Ihre Zuständigkeiten dort sauber geregelt sind, sagen wir Ihnen das ebenfalls — und Sie haben eine Sorge weniger.

Dieser Beitrag gibt den Stand vom 8. August 2026 wieder und ersetzt keine Rechtsberatung. Ob und in welchem Umfang eine Einrichtung unter das BSIG fällt, ist im Einzelfall zu prüfen.