E-Mail-Compliance 2026 — NIS2, DSGVO, BSI und DORA in der DACH-Praxis

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist die deutsche Umsetzung der NIS2-Richtlinie EU 2022/2555. Es ist am 6. Dezember 2025 als BGBl. 2025 I Nr. 301 ohne Vacatio legis in Kraft getreten; für Registrierung und Nachweise gelten gestaffelte Fristen (u. a. drei Monate für die Registrierung nach § 33 Abs. 1 BSIG). Betroffen sind rund 8.250 besonders wichtige und rund 21.600 wichtige Einrichtungen (BT-Drs. 21/1501), zusammen also rund 30.000. Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Registrierungsportal portal.bsi.bund.de ist seit dem 6. Januar 2026 aktiv. Besonders wichtige Einrichtungen müssen sich bis zum 6. März 2026 registrieren. Bußgelder nach § 65 BSIG richten sich gegen die Einrichtung: bis 10 Mio. EUR bei besonders wichtigen, bis 7 Mio. EUR bei wichtigen Einrichtungen. Die Umsatzvarianten (2 % bzw. 1,4 %) greifen erst ab einem Gesamtumsatz von mehr als 500 Mio. EUR.

Die Geschäftsleitung muss die Risikomanagement-Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht schuldhaft, haftet sie der eigenen Einrichtung auf Schadensersatz (§ 38 Abs. 2 BSIG). Die Haftung folgt den Regeln des Gesellschaftsrechts, die auf die Rechtsform der Einrichtung anwendbar sind. Nach dem BSIG selbst greift sie nur dann, wenn das Gesellschaftsrecht keine eigene Haftungsregelung enthält. Der Höhe nach ist diese Innenhaftung nicht begrenzt. Operative Aufgaben können delegiert werden. Die Überwachungspflicht weist § 38 Abs. 1 BSIG dagegen der Geschäftsleitung zu. Ein ausdrückliches Delegationsverbot enthält das Gesetz nicht: Es stand im Referentenentwurf und wurde gestrichen. Zusätzlich muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Ein festes Intervall nennt das Gesetz nicht. Unmittelbar gegen die Person wirkt das vorübergehende Tätigkeitsverbot: Als letztes Mittel kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 Satz 2 Nr. 2 BSIG). Ein Beispiel: Eine fehlende DMARC-Konfiguration ermöglicht einen Phishing-Angriff auf Kunden. Der geschädigte Kunde nimmt dann das Unternehmen in Anspruch. Geht der Vorfall auf eine schuldhafte Verletzung der Umsetzungs- und Überwachungspflicht zurück, kann das Unternehmen seinerseits Regress bei der Geschäftsleitung nehmen. Eine dokumentierte E-Mail-Sicherheitsstrategie ist daher kein reines IT-Thema, sondern eine Frage der Geschäftsleitungs-Verantwortung.

Das österreichische NISG 2026 wurde am 12. Dezember 2025 vom Nationalrat beschlossen und am 23. Dezember 2025 als BGBl. I Nr. 94/2025 publiziert. Es tritt am 1. Oktober 2026 in Kraft. Eine amtliche Zahl der betroffenen Organisationen liegt für Österreich nicht vor. Das neu gegründete Bundesamt für Cybersicherheit (Cybersicherheitsbehörde) mit Sitz in Wien übernimmt die Aufsichtsfunktion analog zum BSI in Deutschland. Die Registrierungsfrist beträgt drei Monate nach Inkrafttreten — bis zum 31. Dezember 2026. Das NISG 2026 enthält keine Haftungsregelung für Leitungsorgane; § 31 NISG 2026 begründet die Pflicht, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen sowie an Cybersicherheitsschulungen teilzunehmen. Verwaltungsstrafen nach § 45 NISG 2026 richten sich gegen die Einrichtung: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei wesentlichen und bis 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen, je nachdem, welcher Betrag höher ist; verhängt werden sie von den Bezirksverwaltungsbehörden.

Art. 32 (Sicherheit der Verarbeitung) verlangt technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten — SPF, DKIM, DMARC und TLS gehören zum Mindeststandard. Art. 32 Abs. 1 lit. a-d konkretisiert: (a) Pseudonymisierung und Verschlüsselung, (b) Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, (c) Wiederherstellbarkeit, (d) regelmäßige Überprüfung. Art. 5 Abs. 2 etabliert die Rechenschaftspflicht — Sie müssen die Einhaltung nicht nur umsetzen, sondern nachweisen können. Art. 33 verlangt die Meldung von Datenschutzverletzungen unverzüglich und möglichst binnen 72 Stunden. Art. 34 regelt die Benachrichtigung der Betroffenen bei hohem Risiko. Verstöße können gegenüber dem Verantwortlichen mit bis zu 10 Mio. EUR oder 2 % des Jahresumsatzes geahndet werden — bei besonders schweren Verstößen bis zu 20 Mio. EUR oder 4 %.

BSI TR-03108 normiert den sicheren E-Mail-Transport: TLS-Verschlüsselung, DANE, MTA-STS, STARTTLS, TLS-RPT und Zertifikatsanforderungen. BSI TR-03182 — publiziert im Februar 2024 — adressiert die E-Mail-Authentifizierung: SPF mit Hard Fail, DKIM mit RSA 2048 Bit Minimum und quartalsweiser Schlüsselrotation, DMARC mit Enforcement und Aggregate-Reporting. Die beiden Richtlinien sind komplementär, nicht überlappend. Achten Sie bei Audits auf die korrekte Zuordnung — SPF/DKIM/DMARC werden ausdrücklich in TR-03182 behandelt, nicht in TR-03108. Beide zusammen bilden die technische Grundlage für die NIS2-Compliance im Bereich E-Mail.

Der Digital Operational Resilience Act (EU 2022/2554) ist seit dem 17. Januar 2025 verbindlich anwendbar und regelt die IT-Sicherheit im EU-Finanzsektor. Rund 22.000 Finanzunternehmen sind betroffen, plus deren kritische IKT-Drittdienstleister. Art. 5-15 regeln das IKT-Risikomanagement, Art. 9 die Verschlüsselungskonzepte, Art. 17-23 das Incident-Reporting (4-Stunden-Erstmeldung bei schwerwiegenden Vorfällen), und Art. 28-44 das Drittanbieter-Management mit Register of Information und Exit-Strategien. Microsoft Ireland Operations Limited ist seit dem 18. November 2025 als kritischer IKT-Drittdienstleister (CTPP) gelistet. DORA hat BAIT, VAIT, ZAIT und KAIT für DORA-pflichtige Institute seit dem 17. Januar 2025 abgelöst; BAIT bleibt nur für Nicht-DORA-Institute bis zum 31. Dezember 2026 gültig.

Die NIS2-Richtlinie gilt für die Schweiz nicht direkt — die Schweiz ist kein EU-Mitglied. Stattdessen gilt das schweizerische Informationssicherheitsgesetz (ISG), das seit dem 1. Januar 2024 in Kraft ist. Seit dem 1. April 2025 besteht eine 24-Stunden-Meldepflicht für Cyberangriffe an das Bundesamt für Cybersicherheit BACS; seit dem 1. Oktober 2025 drohen Bußen bis CHF 100.000 bei Verstoß gegen die Meldepflicht. Indirekt sind Schweizer Unternehmen mit EU-Kunden über die NIS2-Supply-Chain-Anforderungen (Art. 21 Abs. 2 lit. d) faktisch mitbetroffen — EU-regulierte Auftraggeber müssen die Sicherheit ihrer Lieferanten nachweisen. Datenschutzrechtlich gilt das revDSG (offiziell DSG, Stand 1. September 2023) mit Bußen bis CHF 250.000 auf natürliche Personen.

Der Wolf-Agents Email Security Scanner prüft Ihre Domain auf 165 Punkte und liefert ein zeitgestempeltes Scan-Ergebnis. Diese Scan-Historie kann Ihre eigene Dokumentation zur DSGVO-Rechenschaftspflicht (Art. 5 Abs. 2) ergänzen — Sie können Auditoren nicht nur den aktuellen Zustand zeigen, sondern eine nachvollziehbare Verbesserungs-Zeitreihe. Geprüft wird an den etablierten Standards SPF, DKIM, DMARC, MTA-STS, DANE und TLS-RPT, die das BSI zur E-Mail-Sicherheit empfiehlt. Eine Note A oder besser dokumentiert, dass die geprüften extern sichtbaren Kontrollen gesetzt und unverändert aktiv sind. Das Ergebnis ist eine Momentaufnahme und keine Konformitäts- oder Betroffenheitsfeststellung. Für NIS2-pflichtige Unternehmen liefert der Scanner damit Bausteine für die eigene Dokumentation — Vorher-Nachher-Vergleiche bei Konfigurationsänderungen, Quartals-Scans als Wartungsplan-Beleg und die Cross-Welle-Mapping-Tabelle dieses Kapitels für die Audit-Vorbereitung.