Meldungen nach § 32 BSIG
Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine erste Meldung innerhalb von 24 Stunden nach Kenntnis, eine Folgemeldung innerhalb von 72 Stunden, eine Abschlussmeldung nach einem Monat.
BSIG
Cybersecurity Act 2: Compliance-Pflichten und persönliche Haftung
Management Summary
Der Cybersecurity Act 2 ist ein Gesetzgebungsvorschlag, kein geltendes Recht. Die Kommission hat ihn am 20. Januar 2026 vorgelegt; er soll die Verordnung (EU) 2019/881 ersetzen und erstmals einen horizontalen Rahmen für die Sicherheit von IKT-Lieferketten schaffen. Begleitet wird er von einem Änderungsvorschlag zur NIS-2-Richtlinie. Beide Texte befinden sich im ordentlichen Gesetzgebungsverfahren.
Die Mechanik des Entwurfs verläuft in vier Schritten: koordinierte Risikobewertung auf Unionsebene, Identifizierung wichtiger IKT-Assets anhand von Kritikalität, Störungsrisiko und Anbieterabhängigkeit (Art. 100, 102), Risikominderungsmaßnahmen durch Durchführungsrechtsakte (Art. 103) und Einstufung von Hochrisikoanbietern anhand von Niederlassung sowie Eigentums- und Kontrollstruktur (Art. 104). Für mobile, feste und satellitengestützte Kommunikationsnetze sieht der Entwurf eine Ausphasung von höchstens 36 Monaten vor (Art. 110, 111).
Der Handlungsbedarf entsteht nicht erst mit diesem Entwurf. Das neue BSIG gilt seit dem 6. Dezember 2025 mit Risikomanagement (§ 30), Meldefristen von 24 und 72 Stunden (§ 32), Registrierung (§ 33) und Geschäftsleitungspflichten (§ 38). Für Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA gilt eine wichtige Einschränkung: Nach § 28 Abs. 6 Nr. 1 BSIG sind die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG auf sie nicht anwendbar – IKT-Risikomanagement und Vorfallmeldung laufen über DORA und die BaFin, die Registrierungspflicht nach § 33 BSIG bleibt.
Eine eigene Haftungsnorm für Organmitglieder enthält der Entwurf nicht. Die persönliche Haftung folgt aus dem bestehenden Recht: aus § 38 Abs. 2 BSIG für Einrichtungen im Anwendungsbereich des BSIG, im Finanzsektor aus Art. 5 Abs. 2 DORA in Verbindung mit § 25a KWG und den gesellschaftsrechtlichen Regeln, insbesondere § 43 GmbHG und § 93 AktG. Sinnvoll sind deshalb No-Regret-Maßnahmen zu Asset- und Lieferantentransparenz, Austauschfähigkeit und dokumentierter Managementbefassung.
Regulatory Governance und IKT-Lieferkette
Cybersecurity Act 2: Pflichten, Nachweise und persönliche Haftung
Management Summary
Der Cybersecurity Act 2 ist ein Vorschlag, kein geltendes Recht. Die Europäische Kommission hat ihn im Januar 2026 als COM(2026) 11 final vorgelegt; er soll die Verordnung (EU) 2019/881 ersetzen. Im Europäischen Parlament läuft das Verfahren unter 2026/0011(COD) im Ausschuss für Industrie, Forschung und Energie und steht im August 2026 auf dem Stand der Ausschussberatung. Parallel wird mit COM(2026) 13 eine Änderung der NIS2-Richtlinie verhandelt. Für dein Haus bedeutet das: keine neue Pflicht aus dem Entwurf, aber eine erkennbare Richtung.
Neu ist der horizontale Rahmen für IKT-Lieferketten. Der Entwurf will nicht-technische Risiken adressieren, also Herkunft, Eigentums- und Kontrollstrukturen, Drittstaatenbezug und Abhängigkeiten von wenigen Anbietern. Die Kommission soll Drittstaaten mit Cybersicherheitsbedenken bestimmen und Anbieter als Hochrisiko-Lieferanten einstufen können, mit Nutzungsbeschränkungen bis hin zum Rückbau eingesetzter Komponenten.
Der Handlungsdruck entsteht heute aus anderer Quelle. Das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes gilt seit Dezember 2025 unmittelbar, für Finanzunternehmen gelten stattdessen weitgehend die Vorgaben der DORA. Beide verlangen dokumentiertes IKT-Risikomanagement, gesteuerte Drittparteienbeziehungen und eine Geschäftsleitung, die Maßnahmen nicht nur zur Kenntnis nimmt, sondern nachweisbar überwacht.
Daraus folgt die Haftungsfrage. Persönliche Haftung entsteht nicht aus dem Cybersecurity Act 2, sondern aus der Verletzung bestehender Organpflichten. § 38 Abs. 2 BSIG verweist dafür ausdrücklich auf die gesellschaftsrechtlichen Regeln, also auf § 43 GmbHG und § 93 AktG. Entscheidend ist deshalb, ob deine Entscheidungen über Lieferanten, Abhängigkeiten und Maßnahmen dokumentiert sind, nicht ob sie sich im Nachhinein als richtig erweisen.
Was der Cybersecurity Act 2 regeln soll
Der bisherige Cybersecurity Act aus dem Jahr 2019 schuf im Wesentlichen einen freiwilligen europäischen Zertifizierungsrahmen und gab der ENISA ein dauerhaftes Mandat. Unternehmenspflichten zur Lieferkette enthielt er nicht. Der Entwurf verschiebt diesen Schwerpunkt: Neben ENISA-Mandat und Zertifizierung tritt ein horizontaler Rahmen für die Sicherheit von IKT-Lieferketten, der auf unionsweit koordinierte Eingriffe zielt.
Bewertet werden sollen ausdrücklich nicht-technische Risiken. Nach Art. 100 CSA-2-E soll die Kommission Drittstaaten bestimmen können, die Cybersicherheitsbedenken aufwerfen; maßgeblich ist dafür ein Katalog nicht-technischer Kriterien. Hersteller mit Bezug zu diesen Ländern, auch vermittelt über Eigentum oder Kontrolle, sollen nach Art. 104 CSA-2-E durch Durchführungsrechtsakt als Hochrisiko-Lieferanten bestimmt werden können. Art. 105 CSA-2-E sieht eine Ausnahme vor, deren Schwelle hoch liegt: Der Lieferant muss mit eindeutigen Beweisen wirksame Abhilfemaßnahmen belegen.
An die Einstufung knüpfen Rechtsfolgen an, von Ausschlüssen aus der Zertifizierung bis zu Nutzungsverboten über Durchführungsrechtsakte. Für elektronische Kommunikationsnetze wird der Entwurf konkret: Komponenten von Hochrisiko-Lieferanten sollen aus den in Annex II bestimmten Schlüsselfunktionen zurückgebaut werden, für mobile Netze innerhalb von höchstens 36 Monaten ab Veröffentlichung der maßgeblichen Liste. Art. 103 CSA-2-E enthält den Katalog möglicher Risikominderungsmaßnahmen.
Für dein Haus ist die Systematik wichtiger als der Einzelfall. Die Kriterien, die über eine Einstufung entscheiden, sind genau die Angaben, die in klassischen Lieferantenakten häufig fehlen: Wo ist der Anbieter niedergelassen, wer kontrolliert ihn mittelbar, aus welchen Ländern wird auf Systeme zugegriffen, welche Unterauftragnehmer sind beteiligt und ließe sich die Komponente überhaupt ersetzen. Diese Fragen beantwortest du nicht kurzfristig, sondern nur aus einem gepflegten Bestand.
Offen ist die Kompetenzfrage. Der Entwurf stützt sich auf Art. 114 AEUV, adressiert aber weit überwiegend geopolitische Risiken; Art. 1 Abs. 4 CSA-2-E stellt klar, dass die Zuständigkeit der Mitgliedstaaten für die nationale Sicherheit unberührt bleiben soll. Wie tragfähig diese Konstruktion ist, wird auch das beim Gerichtshof der Europäischen Union anhängige Verfahren C-354/24 beeinflussen. Die Schlussanträge der Generalanwältin aus dem März 2026 halten fest, dass eine Risikobewertung nicht auf einem Generalverdacht gegenüber einem Drittstaat beruhen darf, sondern Funktion, Standort und Bedeutung der konkreten Hard- und Software bewerten muss.
Fristen und Zeitpunkte
Aus dem Entwurf folgen heute keine allgemeinen Compliance-Fristen. Fristgebunden bist du bereits nach geltendem Recht. Die folgende Trennung hilft, beides in der internen Kommunikation nicht zu vermischen.
1
Januar 2026
Die Kommission legt COM(2026) 11 final vor, begleitet von der NIS2-Änderungsrichtlinie COM(2026) 13 und dem Folgenabschätzungsbericht.
2
Erstes Halbjahr 2026
Überweisung an den Ausschuss für Industrie, Forschung und Energie, Benennung der Berichterstattung, Stellungnahmen von Wirtschafts- und Sozialausschuss und nationalen Parlamenten.
3
Stand August 2026
Das Verfahren steht auf Ausschussberatung. Weder Parlaments- noch Ratsposition liegen vor, ein Termin für das Inkrafttreten ist nicht absehbar.
4
Nach Verabschiedung
Erst die finalen Rechtsakte bestimmen Anwendungsbeginn und Übergangsregeln. Für den Rückbau in mobilen Netzen nennt der Entwurf höchstens 36 Monate.
Was heute schon fristgebunden ist
Diese Pflichten gelten unabhängig vom weiteren Verlauf des Verfahrens. Prüfe zuerst, welches Regime für dein Haus einschlägig ist.
Meldungen nach Art. 19 DORA
Finanzunternehmen melden schwerwiegende IKT-bezogene Vorfälle gestuft als Erst-, Zwischen- und Abschlussmeldung an die zuständige Behörde. Die Fristen laufen unabhängig von Wochenenden.
DORA
Register und Nachweise
Das Informationsregister nach Art. 28 Abs. 3 DORA ist laufend zu pflegen und der Aufsicht vorzulegen. Nach dem BSIG bestehen Registrierungs-, Nachweis- und Mitwirkungspflichten gegenüber dem BSI.
Laufend
Pflichten nach Funktion getrennt
Ein einheitlicher neuer Pflichtenkatalog entsteht durch den Entwurf heute nicht. Was entsteht, ist ein zusätzlicher Bewertungsgegenstand für Funktionen, die ohnehin liefern müssen. Die folgende Aufteilung entspricht der Rollenverteilung, die Prüfer erwarten.
Erste Linie
Informationssicherheit und IKT-Betrieb
Bestand, Technik und Wirksamkeit der Maßnahmen.
- Kritische IKT-Assets erfassen und Lieferanten, Komponenten und Abhängigkeiten zuordnen
- Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, darunter die Sicherheit der Lieferkette nach § 30 Abs. 2 BSIG
- Verarbeitungs- und Zugriffsorte je Dienst dokumentieren, einschließlich Unterauftragnehmern
- Wirksamkeit der Maßnahmen prüfen und Ergebnisse nachvollziehbar festhalten
- Meldefähigkeit technisch sicherstellen, damit die 24-Stunden-Frist nicht an der Datenlage scheitert
Zweite Linie
Compliance, Legal und Risk
Bewertung, Vertragslage und Nachweisführung.
- Betroffenheit klären: BSIG, DORA oder beides, abgegrenzt nach Rechtseinheit
- Lieferantenbewertung um Herkunft sowie Eigentums- und Kontrollstrukturen erweitern
- Verträge auf Informations-, Audit-, Subunternehmer-, Incident- und Exit-Rechte prüfen, für Finanzunternehmen entlang Art. 30 DORA
- Dokumentationspflichten nach § 30 BSIG erfüllen; Verstöße dagegen sind nach § 65 BSIG bußgeldbewehrt
- Entscheidungsvorlagen so aufbereiten, dass Alternativen und Abwägung erkennbar bleiben
Leitung
Geschäftsleitung und Überwachungsorgan
Billigung, Überwachung, Eskalation.
- Risikomanagementmaßnahmen nach § 38 Abs. 1 BSIG umsetzen und ihre Umsetzung überwachen
- Für Finanzunternehmen: Letztverantwortung des Leitungsorgans nach Art. 5 Abs. 2 DORA wahrnehmen
- Regelmäßig an Schulungen nach § 38 Abs. 3 BSIG teilnehmen und die Teilnahme belegen
- Strategie für Drittparteienrisiken beschließen und regelmäßig überprüfen
- Berichtswege festlegen, damit das Überwachungsorgan IKT-Risiken beurteilen kann
Wann droht persönliche Haftung
Die verbreitete Formel vom Durchgriff auf das Privatvermögen trifft die Rechtslage nicht. § 38 Abs. 2 Satz 1 BSIG regelt eine Innenhaftung: Geschäftsleitungen, die ihre Pflichten aus Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts. Nach Satz 2 haften sie nach dem BSIG selbst nur dann, wenn die gesellschaftsrechtlichen Bestimmungen keine solche Haftungsregelung enthalten.
Damit bleibt der bekannte Maßstab bestehen. Für die GmbH ist das § 43 GmbHG, für die Aktiengesellschaft § 93 AktG mit der Business Judgement Rule. Deren Kern ist verfahrensbezogen: Wer auf Grundlage angemessener Information zum Wohl der Gesellschaft entscheidet, handelt pflichtgemäß, auch wenn sich die Entscheidung später als nachteilig erweist. Angemessene Information heißt bei IKT-Lieferketten, dass Abhängigkeiten, Alternativen und Wechselkosten bekannt und bewertet waren.
Für BaFin-regulierte Häuser tritt der aufsichtsrechtliche Maßstab hinzu. § 25a KWG verlangt eine ordnungsgemäße Geschäftsorganisation und weist die Verantwortung dafür ausdrücklich den Geschäftsleitern zu; für Auslagerungen gilt § 25b KWG. Auf der Ebene des Unternehmens kommen Bußgeldrisiken hinzu: § 65 BSIG staffelt den Rahmen nach Art des Verstoßes und Einstufung der Einrichtung, Aufsichtspflichtverletzungen können zudem nach § 130 OWiG geahndet werden.
Praktisch entscheidet deshalb nicht die Kenntnis des Entwurfs, sondern die Beweislage. Nachvollziehbar sein muss, welches Risiko bekannt war, wie es bewertet wurde, welche Alternativen bestanden, wer entschieden hat und wie die Umsetzung überwacht wurde. Fehlt diese Kette, ist die Entlastung schwer zu führen, unabhängig davon, wie gut die Technik tatsächlich war. Diese Einordnung ersetzt keine Rechtsberatung im Einzelfall.
Verantwortungsabgrenzung: Wer bereitet vor, wer entscheidet
Auch bei IKT- und Lieferkettenthemen gibt es Entscheidungen, die nicht delegierbar sind. Wir halten die Trennung zwischen Vorbereitung und Entscheidung in jedem Arbeitspaket sichtbar und dokumentieren sie in deinem Nachweispfad.
S+P Compliance bereitet vor und dokumentiert
- Aufnahme kritischer IKT-Assets, Lieferanten und Abhängigkeiten je Rechtseinheit
- Entwurf von Vorfallmeldungen nach § 32 BSIG oder Art. 19 DORA einschließlich Begründung und Anlagen
- Aufbereitung von Lieferantenbewertungen mit Sachverhalt, Bewertung und Entscheidungsvorschlag
- Prüfung der Vertragslage auf Informations-, Audit-, Subunternehmer- und Exit-Rechte
- Pflege des Informationsregisters nach Art. 28 Abs. 3 DORA und Vorbereitung der Einreichung
- Fristenüberwachung, Protokollierung und revisionsfeste Ablage aller Arbeitsschritte
Dein Unternehmen entscheidet
- Abgabe oder Nichtabgabe einer Vorfallmeldung an BSI oder Aufsicht
- Billigung und Freigabe der Risikomanagementmaßnahmen
- Einstufung, Fortführung, Migration oder Kündigung eines kritischen Lieferanten
- Freigabe von Schwellenwerten, Kritikalitätsstufen und Testumfang
- Umfang und Inhalt der Kommunikation gegenüber Behörden und Aufsicht
- Bestellung und Mandat der Funktionsträger sowie Eskalation an die Geschäftsleitung
Die Auslagerung verlagert die Aufgabe, nicht die aufsichtsrechtliche Verantwortung; sie bleibt in deinem Institut. Ausgelagert wird die Bearbeitung, nicht die Entscheidung und nicht die Haftung.
Acht Pain Points mit Normbezug
Die folgenden Muster begegnen uns regelmäßig, unabhängig von Größe und Geschäftsmodell. Sie sind kein Ersatz für die Einzelfallprüfung in deinem Haus.
Kein durchgängiges Asset-Lieferanten-Mapping
Kritische IKT-Assets lassen sich nicht eindeutig Lieferanten, Komponenten und Abhängigkeiten zuordnen, weil Vertragsakte, CMDB und Auslagerungsverzeichnis getrennt geführt werden. Die Lieferkettensicherheit ist nach § 30 Abs. 2 BSIG bereits heute Maßnahmenbereich, und das Informationsregister nach Art. 28 Abs. 3 DORA verlangt genau diese Verknüpfung.
§ 30 BSIG, Art. 28 DORA
Eigentum und Kontrolle sind nicht erfasst
Vendor-Due-Diligence prüft Zertifikate und Finanzkennzahlen, selten aber mittelbare Kontrollverhältnisse. Genau daran knüpft der Entwurf an: Nach Art. 104 CSA-2-E soll eine Einstufung als Hochrisiko-Lieferant auch über Eigentum oder Kontrolle durch Personen aus bestimmten Drittstaaten möglich sein.
Art. 104 CSA-2-E
Drittstaatenbezug und Fernzugriff bleiben unklar
Bei Cloud-, SaaS- und Managed-Service-Modellen ist oft nicht dokumentiert, wo Daten verarbeitet werden und von wo aus Support auf Systeme zugreift. Art. 30 DORA verlangt für Finanzunternehmen bereits die Angabe der Verarbeitungsorte; der Entwurf setzt in Art. 103 CSA-2-E auf Risikominderungsmaßnahmen, die an solche Bezüge anknüpfen können.
Art. 30 DORA, Art. 103 CSA-2-E
Single-Source-Lagen sind nicht bewertet
Abhängigkeit von wenigen Anbietern gilt technisch oft als beherrschbar und wird deshalb nicht als Risiko geführt. Regulatorisch ist sie ein eigenständiger Faktor: Der Entwurf berücksichtigt sie bei der Bestimmung von Schlüsselassets, und Art. 28 DORA verlangt eine Strategie für Drittparteienrisiken samt Ausstiegsstrategien.
Art. 28 DORA
Austauschfähigkeit ist nie getestet worden
Exit-Konzepte existieren als Dokument, nicht als belastbare Schätzung von Wechselzeit, Kosten und Betriebsrisiko. Wird der Rückbau einer Komponente einmal verbindlich, zählt allein diese Schätzung: Für mobile Kommunikationsnetze nennt der Entwurf höchstens 36 Monate.
Annex II CSA-2-E
Verträge geben keine Steuerungsrechte her
Altverträge enthalten häufig keine ausreichenden Rechte für Informationsbeschaffung, Audits, Subunternehmerkontrolle, Transition und Kündigung aus regulatorischem Anlass. Für Finanzunternehmen sind die Mindestinhalte in Art. 30 DORA vorgegeben; ohne sie ist eine kurzfristige Reaktion vertraglich nicht durchsetzbar.
Art. 30 DORA
Auskunftsfähigkeit gegenüber Behörden fehlt
Informationen zu Lieferanten, Komponenten und Kontrollstrukturen liegen verteilt vor und müssten im Anfragefall erst zusammengetragen werden. Nach dem BSIG bestehen Mitwirkungs- und Nachweispflichten gegenüber dem BSI, nach der DORA ist das Informationsregister auf Verlangen vorzulegen.
BSIG, Art. 28 DORA
Fehlannahme: Der Entwurf verpflichtet schon heute
Wird der Cybersecurity Act 2 intern als geltendes Recht kommuniziert, entstehen falsche Erwartungen und schwer begründbare Budgets. Umgekehrt ist die Aussage, es bestehe kein Handlungsbedarf, ebenso falsch: Governance-, Risiko- und Dokumentationspflichten bestehen bereits nach BSIG oder DORA.
Kommunikation
Quick-Check für die nächste Sitzung
Acht Prüffragen, die sich ohne Projektaufwand beantworten lassen. Wo die Antwort unklar bleibt, liegt der Handlungsbedarf.
| Prüffeld | Prüffrage | Normbezug | Typischer Befund |
|---|---|---|---|
| Betroffenheit | Ist je Rechtseinheit dokumentiert, ob BSIG, DORA oder beides gilt? | § 28 BSIG, Art. 2 DORA | Konzernweite Annahme statt Prüfung je Einheit |
| Asset-Mapping | Lässt sich zu jedem kritischen IKT-Asset der Lieferant und die Abhängigkeit benennen? | § 30 BSIG, Art. 28 DORA | Daten verteilt auf CMDB, Vertragsakte und Register |
| Eigentum und Kontrolle | Ist bei kritischen Lieferanten bekannt, wer sie mittelbar kontrolliert? | Art. 104 CSA-2-E | Angabe fehlt oder stammt aus der Selbstauskunft |
| Verarbeitungsorte | Ist je Dienst dokumentiert, wo verarbeitet und von wo zugegriffen wird? | Art. 30 DORA | Nur Hauptstandort erfasst, Support-Zugriff offen |
| Exit und Austausch | Gibt es je kritischem Anbieter eine belastbare Schätzung von Wechselzeit und Kosten? | Art. 28 DORA | Exit-Konzept vorhanden, aber nie durchgerechnet |
| Vertragsrechte | Enthalten Altverträge Audit-, Subunternehmer- und Transition-Rechte? | Art. 30 DORA, § 25b KWG | Nachverhandlung bei Bestandsverträgen offen |
| Meldefähigkeit | Ist die Erstmeldung innerhalb von 24 Stunden mit benannten Rollen geprobt? | § 32 BSIG, Art. 19 DORA | Meldeweg beschrieben, Ernstfall nicht getestet |
| Leitungsnachweis | Sind Billigung, Überwachung und Schulung der Geschäftsleitung dokumentiert? | § 38 BSIG, Art. 5 DORA | Kenntnisnahme im Protokoll, keine Billigung |
Sechs No-Regret-Maßnahmen
Die folgenden Maßnahmen sind keine vorgezogene Umsetzung künftiger Pflichten. Sie sichern bestehende Anforderungen ab und wirken unabhängig davon, in welcher Fassung der Cybersecurity Act 2 in Kraft tritt.
Maßnahme 01
Kritische IKT-Assets und Lieferanten zusammenführen
Eine Sicht, in der Asset, Lieferant, Funktion und Abhängigkeit zusammenstehen.
- Kritikalität je Asset definieren und die unterstützte Geschäftsfunktion benennen
- Vertrag, Registerzeile und technische Zuordnung auf denselben Datenstand bringen
- Unterauftragnehmer mindestens bis zur zweiten Ebene erfassen
- Lücken mit Verantwortlichkeit und Nachlieferfrist kennzeichnen
Maßnahme 02
Lieferantenbewertung um nicht-technische Kriterien erweitern
Herkunft, Eigentum und Kontrolle als reguläre Felder, nicht als Sonderrecherche.
- Niederlassung, Konzernmutter und mittelbare Kontrolle je kritischem Anbieter erheben
- Belegquellen festlegen und Selbstauskünfte gegen Register abgleichen
- Bewertungsmaßstab und Schwellen dokumentieren, damit Ergebnisse vergleichbar bleiben
- Turnus für die Aktualisierung festlegen und einhalten
Maßnahme 03
Austauschfähigkeit durchrechnen statt beschreiben
Für die Anbieter, deren Ausfall oder Wegfall den Betrieb trifft.
- Alternative Anbieter je kritischer Komponente benennen und ihre Eignung bewerten
- Wechselzeit, Migrationsaufwand und Betriebsrisiko in Zahlen schätzen
- Abhängigkeiten benennen, die eine Migration technisch blockieren
- Ergebnis als Entscheidungsvorlage für die Geschäftsleitung aufbereiten
Maßnahme 04
Verträge auf regulatorische Steuerungsfähigkeit prüfen
Rechte, die du im Ernstfall tatsächlich ausüben kannst.
- Informations-, Audit- und Subunternehmerrechte je kritischem Vertrag prüfen
- Incident-, Transition- und Kündigungsrechte gegen Art. 30 DORA abgleichen
- Nachverhandlungsbedarf priorisieren und mit dem Einkauf terminieren
- Ergebnis je Vertrag revisionsfest festhalten, auch wenn keine Änderung erreichbar war
Maßnahme 05
Meldefähigkeit unter Zeitdruck testen
Die 24-Stunden-Frist scheitert selten am Willen, meist an der Datenlage.
- Eskalationspfad mit benannten Rollen, Vertretung und Erreichbarkeit festlegen
- Meldevorlagen vorbereiten und Zugänge zum Meldeportal vorab einrichten
- Ein Szenario an einem realen System durchspielen und die Zeit messen
- Die Abgabe der Meldung entscheidet dein Unternehmen, nicht S+P Compliance
Maßnahme 06
Governance und Nachweisführung stärken
Der Teil, der im Haftungsfall zählt.
- Verantwortlichkeiten von Geschäftsleitung, Compliance, Legal, Einkauf, Risk und IT festlegen
- Billigung der Risikomanagementmaßnahmen als dokumentierten Beschluss fassen
- Schulung der Geschäftsleitung nach § 38 Abs. 3 BSIG planen und die Teilnahme belegen
- Risikoanalysen, Alternativen, Entscheidungen und Eskalationen an einer Stelle ablegen
Fazit: Cybersecurity Act 2 als Vorlauf nutzen
Der Cybersecurity Act 2 begründet heute keine Pflicht. Er zeigt aber, welche Angaben künftig entscheidungserheblich werden: Herkunft, Eigentum und Kontrolle, Drittstaatenbezug, Abhängigkeit von wenigen Anbietern und die Fähigkeit, eine Komponente in vertretbarer Zeit zu ersetzen. Genau diese Angaben verlangen BSIG und DORA in ihrem jeweiligen Anwendungsbereich bereits jetzt in Teilen.
Persönliche Haftung entsteht nicht aus einem Entwurf, sondern aus der Verletzung bestehender Organpflichten. § 38 Abs. 2 BSIG verweist dafür auf das Gesellschaftsrecht; für BaFin-regulierte Häuser kommt der Maßstab der ordnungsgemäßen Geschäftsorganisation hinzu. Wer Risiko, Bewertung, Alternativen und Entscheidung dokumentiert, verbessert seine Lage unabhängig vom Ausgang des Gesetzgebungsverfahrens.
Der pragmatische Weg führt deshalb nicht über ein CSA-2-Projekt, sondern über die Datengrundlage: ein belastbares Mapping kritischer IKT-Assets, geprüfte Vertragsrechte, eine getestete Meldekette und ein dokumentierter Leitungsnachweis. S+P Compliance baut diese Grundlage mit dir auf, dokumentiert jeden Schritt und hält die Entscheidungen dort, wo sie hingehören: in deinem Unternehmen.
Häufige Fragen zum Cybersecurity Act 2
Die Antworten beziehen sich auf den Stand August 2026 und ersetzen keine Rechtsberatung im Einzelfall.
Gilt der Cybersecurity Act 2 bereits?
Nein. Die Europäische Kommission hat den Vorschlag im Januar 2026 als COM(2026) 11 final vorgelegt. Im Europäischen Parlament wird er unter dem Verfahren 2026/0011(COD) im Ausschuss für Industrie, Forschung und Energie behandelt und steht im August 2026 auf dem Stand der Ausschussberatung. Ein Anwendungsbeginn ist damit nicht absehbar. Bestehende Pflichten nach dem BSIG oder der DORA bleiben davon unberührt.
Was soll sich für IKT-Lieferketten ändern?
Der Entwurf schafft einen horizontalen Rahmen für nicht-technische Risiken in IKT-Lieferketten. Nach Art. 100 CSA-2-E soll die Kommission Drittstaaten mit Cybersicherheitsbedenken bestimmen können, nach Art. 104 CSA-2-E Anbieter als Hochrisiko-Lieferanten. Art. 103 CSA-2-E enthält den Katalog möglicher Risikominderungsmaßnahmen, die bis zu Nutzungsbeschränkungen reichen. Für Schlüsselfunktionen mobiler Kommunikationsnetze nennt der Entwurf einen Rückbau innerhalb von höchstens 36 Monaten.
Wann droht der Geschäftsleitung persönliche Haftung?
Nicht aus dem Cybersecurity Act 2, sondern aus der Verletzung bestehender Organpflichten. § 38 Abs. 1 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. § 38 Abs. 2 BSIG regelt dafür eine Innenhaftung gegenüber der eigenen Einrichtung nach den Regeln des Gesellschaftsrechts, also nach § 43 GmbHG oder § 93 AktG. Entscheidend ist deshalb, ob Risiko, Bewertung, Alternativen und Entscheidung dokumentiert sind.
Gilt das BSIG auch für BaFin-regulierte Institute?
Für Finanzunternehmen im Anwendungsbereich der DORA gehen deren Vorgaben weitgehend vor; Art. 4 der NIS2-Richtlinie regelt das Verhältnis zu sektorspezifischen Rechtsakten. Statt § 30 BSIG ist dann der IKT-Risikomanagementrahmen der DORA maßgeblich, statt § 32 BSIG die Meldung nach Art. 19 DORA. Die Abgrenzung ist je Rechtseinheit zu prüfen, weil Konzerne Einheiten in beiden Regimen haben können.
Welche Fristen gelten heute schon?
Nach § 32 BSIG sind erhebliche Sicherheitsvorfälle gestuft zu melden: eine erste Meldung innerhalb von 24 Stunden nach Kenntnis, eine Folgemeldung innerhalb von 72 Stunden und eine Abschlussmeldung nach einem Monat. Für Finanzunternehmen gilt die gestufte Meldung nach Art. 19 DORA. Hinzu kommen laufende Pflichten wie die Pflege und Vorlage des Informationsregisters nach Art. 28 Abs. 3 DORA.
Übernimmt S+P Compliance Meldungen oder Lieferantenentscheidungen?
Nein. S+P Compliance bereitet vor und dokumentiert: Sachverhalte werden aufbereitet, Entwürfe erstellt, Fristen überwacht und Entscheidungen nachvollziehbar festgehalten. Die Abgabe einer Vorfallmeldung nach § 32 BSIG oder Art. 19 DORA, die Billigung der Risikomanagementmaßnahmen, die Einstufung oder Kündigung eines kritischen Lieferanten und die Kommunikation gegenüber Behörden bleiben Entscheidungen deines Unternehmens. Die Auslagerung verlagert die Aufgabe, nicht die aufsichtsrechtliche Verantwortung; sie bleibt in deinem Institut.
Quellen und weiterführende Dokumente
Alle Aussagen lassen sich an den folgenden Quellen nachvollziehen. Amtliche Dokumente stehen an erster Stelle, Einordnungen der Rechtsberufe ergänzen.
Europäisches Recht und Gesetzgebungsverfahren
- Europäische Kommission: Vorschlag für eine Verordnung zum EU-Rechtsakt zur CybersicherheitÜbersichtsseite zu COM(2026) 11 mit Vorschlag und Anhängen zum Herunterladen.digital-strategy.ec.europa.eu
- Europäisches Parlament: Verfahrensakte 2026/0011(COD)Maßgeblich für den Verfahrensstand, die Zuständigkeit des Ausschusses für Industrie, Forschung und Energie sowie die Stellungnahmen der nationalen Parlamente.oeil.europarl.europa.eu
- Europäisches Parlament: Verfahrensakte 2026/0012(COD)Begleitende Änderung der NIS2-Richtlinie, COM(2026) 13, ebenfalls im Stadium der Ausschussberatung.oeil.europarl.europa.eu
- Wissenschaftlicher Dienst des Europäischen Parlaments: Briefing zur Revision des Cybersecurity ActEinordnung des Vorhabens im Rahmen der Reihe EU Legislation in Progress, Stand Juni 2026. PDF und Onlinefassung.europarl.europa.eu
Nationales Recht
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, § 38 BSIGUmsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitungen einschließlich der Haftungsregelung in Absatz 2.gesetze-im-internet.de
- Bundesministerium des Innern: Gesetzgebungsverfahren NIS2-Umsetzungs- und CybersicherheitsstärkungsgesetzGrundlage der Neufassung des BSIG mit den §§ 30, 32, 33, 38, 39 und 65; in Kraft seit Dezember 2025.gesetze-im-internet.de
Hinweis zum Rechtsstand: Dieser Beitrag beruht in Teilen auf einem Gesetzgebungsvorschlag und ersetzt keine Rechtsberatung im Einzelfall. Gleiche sämtliche Angaben zu Normen, Anwendungsbereichen, Übergangsfristen, Bußgeldern und Inkrafttretenszeitpunkten gegen die jeweils aktuelle amtliche Fassung und nach Abschluss des Gesetzgebungsverfahrens gegen den verkündeten Rechtsakt ab.
Verwandte Leistungen und Programme
Diese Bausteine schließen an die im Beitrag beschriebenen Maßnahmen an.
DORA Register Operations
Aufbau und Pflege des Informationsregisters nach Art. 28 Abs. 3 DORA, einschließlich Datenqualität, Fristen und Vorbereitung der Einreichung.
Compliance Technology Services
Anbieterneutrale Unterstützung bei Datenhaushalt, Schnittstellen und Auswertbarkeit der Systemlandschaft, ohne Bindung an ein Produkt.
1st Line Services
Operative Bearbeitung datenintensiver und fristgebundener Fachprozesse nach deinen Vorgaben, mit klarer Entscheidungsgrenze zum Unternehmen.
Three Lines Modell
Rollenverteilung zwischen erster Linie, Beauftragtenfunktionen und Interner Revision, als Grundlage für einen belastbaren Nachweispfad.
S+P Compliance Cockpit
Governance-, Maßnahmen- und Evidenzregister an einem Ort, in deiner bestehenden Microsoft- oder SharePoint-Umgebung.
Auslagerung Interne Revision
Prüfung der Wirksamkeit von IKT-Risikomanagement und Auslagerungssteuerung durch eine unabhängige dritte Linie.
Seminare DORA und NIS-2
Fachseminare zu IKT-Risikomanagement, Drittparteienrisiken und Meldepflichten, mit Zertifikat als Fortbildungsnachweis.
Seminare Aufsichtsrat und Vorstand
Programme für Leitungs- und Überwachungsorgane, unter anderem zur Schulungspflicht nach § 38 Abs. 3 BSIG.
C-Level Compliance Seminare
Kompaktformate für Geschäftsleitung und C-Level zu Governance, Nachweisführung und regulatorischen Schwerpunkten.
