NIS2 für E-Mail in DACH — NIS2UmsuCG, NISG 2026 und § 38 BSIG-neu

Das NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) ist als BGBl. 2025 I Nr. 301 am 6. Dezember 2025 in Kraft getreten — ohne Vacatio legis. Für Registrierung und Nachweise gelten gestaffelte Fristen (u. a. drei Monate für die Registrierung nach § 33 Abs. 1 BSIG). Betroffen sind nach der Gesetzesbegründung (BT-Drs. 21/1501) rund 8 250 besonders wichtige und rund 21 600 wichtige Einrichtungen, zusammen also rund 30 000 Einrichtungen (vorher etwa 4.500 unter KRITIS-Regime). Die Schwellen: besonders wichtige Einrichtungen ab 250 Mitarbeitern ODER 50 Mio. EUR Umsatz UND 43 Mio. EUR Bilanzsumme in 18 Sektoren (Energie, Verkehr, Gesundheit, Finanzen, Wasser, Digitale Infrastruktur etc.); wichtige Einrichtungen ab 50 Mitarbeitern ODER 10 Mio. EUR Umsatz UND 10 Mio. EUR Bilanzsumme. KRITIS-Betreiber sind unabhängig von der Größe erfasst. Aufsichtsbehörde ist das BSI; das Registrierungsportal portal.bsi.bund.de ist seit dem 6. Januar 2026 aktiv. Registrierungsfrist für besonders wichtige Einrichtungen: bis zum 6. März 2026.

§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagement-Maßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflicht schuldhaft, haftet sie der eigenen Einrichtung auf Schadensersatz (§ 38 Abs. 2 BSIG). Anspruchsinhaber ist damit die eigene Einrichtung. Eine unmittelbare Außenhaftung gegenüber Dritten oder dem Staat begründet die Norm nicht. Die Haftung folgt den Regeln des Gesellschaftsrechts, die auf die Rechtsform der Einrichtung anwendbar sind. Nach diesem Gesetz greift sie nur subsidiär, also nur dann, wenn das Gesellschaftsrecht keine eigene Haftungsregelung enthält. Der Höhe nach ist sie nicht gedeckelt. Operative Aufgaben können delegiert werden. Die Überwachungspflicht weist § 38 Abs. 1 BSIG dagegen der Geschäftsleitung zu. Ein ausdrückliches Delegationsverbot enthält das Gesetz nicht: Es stand im Referentenentwurf und wurde gestrichen. Außerdem muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Ein festes Intervall nennt das Gesetz nicht. Als letztes Mittel kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 Satz 2 Nr. 2 BSIG). Ein Beispiel mit E-Mail-Bezug: Eine Domain ohne DMARC-Enforcement wird für Phishing missbraucht und schädigt dadurch einen Kunden. Der geschädigte Kunde nimmt dann das Unternehmen in Anspruch. Geht der Vorfall auf eine schuldhafte Verletzung der Umsetzungs- und Überwachungspflicht zurück, kann das Unternehmen seinerseits Regress bei der Geschäftsleitung nehmen (§ 38 Abs. 2 BSIG in Verbindung mit dem Gesellschaftsrecht der jeweiligen Rechtsform). DMARC ist in BSI TR-03182 als verbindliche Anforderung ihres Prüfschemas geführt. Dieses Prüfschema ist freiwillig; eine gesetzliche DMARC-Pflicht folgt daraus nicht.

NIS2 Art. 21 Abs. 2 listet zehn Buchstaben (a) bis (j) als verpflichtende Risikomanagement-Maßnahmen: (a) Risikoanalyse-Konzepte und Sicherheit der Informationssysteme; (b) Bewältigung von Sicherheitsvorfällen; (c) Aufrechterhaltung des Betriebs mit Backup-Management und Wiederherstellung; (d) Sicherheit der Lieferkette; (e) Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen einschließlich Management und Offenlegung von Schwachstellen; (f) Konzepte und Verfahren zur Bewertung der Wirksamkeit; (g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen; (h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung; (i) Personalsicherheit, Zugriffskontrolle und Anlagenmanagement; (j) Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation. E-Mail-relevant sind insbesondere lit. a (E-Mail-Risikoanalyse, BIMI, ARC-SEG), lit. e (DKIM-Schlüsselrotation, DNSSEC, externe Anbieter-Wartung), lit. h (TLS, MTA-STS, DANE, S/MIME) und lit. j (MFA auf E-Mail-Konten). Die Aufzählung gibt die zehn Buchstaben verkürzt wieder. Quelle: buzer.de/21_NIS2.htm.

Das NISG 2026 wurde am 12. Dezember 2025 vom Nationalrat beschlossen und am 23. Dezember 2025 als BGBl. I Nr. 94/2025 publiziert. Es tritt am 1. Oktober 2026 in Kraft — etwa zehn Monate später als das deutsche NIS2UmsuCG. Eine amtliche Zahl der betroffenen Organisationen liegt für Österreich nicht vor. Zuständige Behörde ist das neu gegründete Bundesamt für Cybersicherheit (Cybersicherheitsbehörde, § 3a Abs. 1 NISG 2026) mit Sitz in Wien, das dem Bundesminister für Inneres nachgeordnet, aber organisatorisch außerhalb der Generaldirektion für öffentliche Sicherheit angesiedelt ist — analog zum BSI in Deutschland. Die Registrierungsfrist beträgt drei Monate nach Inkrafttreten — bis zum 31. Dezember 2026. Verwaltungsstrafen nach § 45 NISG 2026 richten sich gegen die Einrichtung: bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei wesentlichen, bis 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen, je nachdem, welcher Betrag höher ist; verhängt werden sie von den Bezirksverwaltungsbehörden (§ 44 Abs. 1 NISG 2026). Eine Haftungsregelung für Leitungsorgane enthält das NISG 2026 nicht; § 31 NISG 2026 begründet die Pflicht, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen sowie an Cybersicherheitsschulungen teilzunehmen. Inhaltlich übernimmt das NISG 2026 die NIS2-Richtlinie EU 2022/2555 weitgehend wortgleich — die zehn Buchstaben aus Art. 21 Abs. 2 gelten identisch.

§ 32 BSIG sieht für signifikante Vorfälle eine gestufte Meldekette vor: (1) frühe Erstmeldung binnen 24 Stunden ab Kenntnis — Erstinformation an das BSI über portal.bsi.bund.de mit Angabe, ob der Vorfall auf rechtswidriges Handeln zurückzuführen sein könnte und ob grenzüberschreitende Auswirkungen möglich sind; (2) Meldung über den Sicherheitsvorfall binnen 72 Stunden mit Schweregrad, betroffenen Diensten, Anzahl betroffener Nutzer und ergriffenen Gegenmaßnahmen — aktualisiert die frühe Erstmeldung; (3) Abschlussmeldung binnen eines Monats ab der 72-Stunden-Meldung mit detaillierter Beschreibung, Ursachenanalyse, ergriffenen Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen. Die Kette ist damit nicht abschließend: Das BSI kann zusätzlich eine Zwischenmeldung erbitten, und bei andauerndem Vorfall tritt eine Fortschrittsmeldung hinzu. Bei E-Mail-Vorfällen sind Meldepflicht-Trigger insbesondere BEC mit Datenverlust, DNS-Hijacking mit MX-Manipulation, großflächige Phishing-Kampagnen über die eigene Domain und Zertifikats-Notfälle mit MTA-STS-Enforce-Blockierung. Stellen Sie sicher, dass Ihr Incident Manager BSI-Portal-Zugangsdaten griffbereit hat und die Meldeformulare kennt.

Der Registrierungsprozess hat vier Schritte. Schritt 1: Mein Unternehmenskonto (MUK) auf mein-unternehmenskonto.de erstellen — MUK nutzt ELSTER-Organisationszertifikate zur Authentifizierung, ist aber ein eigenständiger Dienst. Die Freischaltung kann mehrere Werktage dauern. Schritt 2: Mit MUK-Konto am BSI-Portal portal.bsi.bund.de anmelden und den Registrierungsprozess für NIS2-Einrichtungen wählen. Schritt 3: Unternehmensdaten eingeben, Sektor-Zuordnung wählen und verantwortliche Kontaktpersonen benennen (mindestens eine Kontaktstelle für das BSI). Schritt 4: Funktionierenden Incident-Reporting-Kanal einrichten — die Meldekette muss 24/7 erreichbar sein, da die Erstmeldung innerhalb von 24 Stunden erfolgen muss. Das BSI bietet ein „NIS-2-Starterpaket“ mit detaillierter Schritt-für-Schritt-Anleitung unter bsi.bund.de/DE/Themen/Regulierung-und-Warnung/NIS-2-Regulierung an.

Ja, über die Supply-Chain-Indirektion. NIS2 Art. 21 Abs. 2 lit. d verlangt von EU-regulierten Unternehmen, dass sie die Sicherheit ihrer Lieferkette nachweisen — einschließlich Schweizer Auftragnehmer und IT-Dienstleister. Wenn ein EU-Auftraggeber NIS2-pflichtig ist, gibt er die Anforderungen vertraglich an seine Schweizer Lieferanten weiter. Das bedeutet faktisch: Schweizer Unternehmen mit EU-Kunden müssen die technischen Maßnahmen erfüllen, die ihre NIS2-pflichtigen EU-Auftraggeber aus der Lieferketten-Sicherheit (§ 30 BSIG) vertraglich weitergeben — in der Praxis SPF, DKIM, DMARC, TLS, MTA-STS und DANE, die das Gesetz selbst nicht namentlich nennt, auch wenn die Schweiz selbst kein EU-Mitglied ist und NIS2 nicht direkt anwendbar gilt. Zusätzlich gilt in der Schweiz das ISG (seit 1.1.2024) mit Meldepflicht-Bußen bis CHF 100.000, auf das Unternehmen gerichtet (seit 1.10.2025). Aufsichtsbehörde: BACS — Bundesamt für Cybersicherheit Schweiz unter ncsc.admin.ch.