NIS2-Richtlinie: 29.500 Unternehmen müssen IT-Sicherheit nachweisen
Veröffentlicht: 18.07.2026 um 19:13 Uhr, Redaktion boerse-global.de
Gleichzeitig plant die Bundesregierung Entlastungen für kleinere Firmen.
Kontrollrechte und Informationspflichten nach Art. 28 DSGVO
Auftragsverarbeiter müssen dem Verantwortlichen alle nötigen Informationen zum Nachweis der Einhaltung gesetzlicher Pflichten bereitstellen. Artikel 28 der DSGVO verlangt, dass Dienstleister Überprüfungen und Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer ermöglichen.
Die Prüfungen können vor Ort oder aus der Ferne stattfinden. Die Entscheidung über den Prüfer liegt beim Verantwortlichen, der Dienstleister darf aber Vorschläge unterbreiten. Branchenexperten raten dazu, Details wie Kontrollhäufigkeit, Informationsaustausch und Sicherheitsmaßnahmen vorab vertraglich zu klären. Zur Kostenfrage schweigt die DSGVO – allerdings sollten Gebühren für Audits nicht unangemessen hoch ausfallen.
NIS2-Richtlinie verschärft Anforderungen an die Lieferkette
Über den Datenschutz hinaus rücken IT-Sicherheitsaspekte in den Fokus. Die NIS2-Richtlinie gilt in Deutschland seit dem 6. Dezember 2025 ohne Übergangsfrist. Schätzungsweise 29.500 Einrichtungen in 18 Sektoren sind betroffen. Die Sicherheit der Lieferkette inklusive Netzanbindungen ist jetzt regulatorische Pflicht.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) darf auch kleinere Anbieter prüfen. Unternehmen müssen binnen drei Jahren Nachweise über die Sicherheit ihrer Trassen und Provider-Abhängigkeiten erbringen. Artikel 21 der Richtlinie verlangt zudem Maßnahmen zur Personalsicherheit – von Sicherheitsüberprüfungen vor der Einstellung bis zu fortlaufenden Integritätsprüfungen. Diese Pflichten gelten auch für Auftragsverarbeiter und Zulieferer. In Österreich wird die Umsetzung ab 2026 verpflichtend.
Die rechtssichere Gestaltung von Verträgen mit Dienstleistern ist durch die verschärften Kontrollpflichten komplexer geworden. Dieses Gratis-E-Book bietet Ihnen fertige Vorlagen und Checklisten, um die Anforderungen an die Auftragsdatenverarbeitung ohne teure Rechtsberatung umzusetzen. Gratis E-Book mit fertigen Vorlagen und Checklisten zum sofortigen Einsatz
Geplante Lockerungen bei Datenschutzbeauftragten
Die Bundesregierung plant Entlastungen für kleine und mittlere Unternehmen. Laut einem Programm vom 2. Juli 2026 soll die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten nach § 38 BDSG reformiert werden. Die Grenze steigt von bisher 20 Beschäftigten.
Juristen warnen jedoch: Die unionsrechtliche Pflicht nach Artikel 37 DSGVO bleibt unberührt. Unternehmen, deren Kerntätigkeit in der umfangreichen Überwachung von Personen oder der Verarbeitung sensibler Daten besteht, müssen weiterhin einen Datenschutzbeauftragten bestellen – unabhängig von der Mitarbeiterzahl. Die Gesamtverantwortung trägt ohnehin die Geschäftsführung. Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.
KI-Compliance als neue Herausforderung
Die Integration von Künstlicher Intelligenz stellt die Auftragsverarbeitung vor neue Aufgaben. Laut einer Bitkom-Studie von 2026 nutzen bereits 41 Prozent der deutschen Unternehmen KI-Tools. Analysen des Anbieters Cyberhaven deuten darauf hin, dass rund ein Drittel der in solche Systeme eingegebenen Daten sensible Informationen enthält.
Mit dem flächendeckenden Einsatz von KI-Tools entstehen neue rechtliche Risiken und Dokumentationspflichten für Unternehmen. Der kostenlose Umsetzungsleitfaden zum EU AI Act verschafft Ihnen und Ihrer IT-Abteilung den nötigen Überblick über alle relevanten Fristen und Risikoklassen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Seit Februar 2025 verpflichtet die EU-KI-Verordnung Unternehmen zu Schulungsmaßnahmen. Seit Mitte Juli 2026 stehen vermehrt kostenfreie Vorlagen für unternehmensinterne KI-Richtlinien zur Verfügung. In der rechtlichen Analyse zeigt sich: Eine angemessene IT-Infrastruktur und ein hohes Schutzniveau sind unabdingbar – auch wenn keine vollständige technische Isolation vom Arbeitgeber verlangt wird.
Parallel arbeitet die Deutsche Gesetzliche Unfallversicherung (DGUV) an praxisnäheren Vorschriften zur Prüfung elektrischer Anlagen. Das Schutzniveau für die jährlich etwa 2.500 Betroffenen von Stromunfällen soll dabei nicht sinken.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
