IT-Recht · Serie Digitalrecht, Teil 3 | Teil 1: Produkthaftung für Software | Teil 2: Cyber Resilience Act · Stand: Oktober 2026
Ein Ransomware-Angriff legt Ihre SaaS-Plattform für einen halben Tag lahm, 400 Kunden kommen nicht an ihre Daten. Nach dem Cyber Resilience Act müssen Sie das womöglich gar nicht melden, denn Ihr gehostetes Backend ist kein Produkt. Nach NIS-2 dagegen sehr wahrscheinlich: Das deutsche BSI-Gesetz erwartet binnen 24 Stunden eine erste Meldung. Außerdem fragt es später, ob Ihre Geschäftsleitung die Sicherheitsmaßnahmen gebilligt und überwacht hat.
Im zweiten Teil unserer Serie haben wir gezeigt, dass reines SaaS oft aus dem CRA herausfällt. Dieser Beitrag schließt deshalb die Lücke. Sie erfahren, wann Ihr Software-Unternehmen unter NIS-2 fällt, welche Pflichten seit Dezember 2025 gelten, wie die Meldung an das BSI abläuft und warum NIS-2 Sie auch dann betrifft, wenn Sie selbst gar nicht erfasst sind.
Kurz beantwortet: NIS-2 gilt in Deutschland seit dem 6. Dezember 2025 über das neu gefasste BSI-Gesetz. Erfasst sind Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme in bestimmten Sektoren. Für Software-Unternehmen zählt vor allem der Sektor Informationstechnik mit Cloud-Computing-Diensten, Rechenzentren und Managed Service Providern. Betroffene müssen sich außerdem beim BSI registrieren, Risikomanagement betreiben und erhebliche Vorfälle binnen 24 Stunden melden.
Das Wichtigste in Kürze
- NIS-2 regelt das Unternehmen, nicht das Produkt. Es geht also um die Sicherheit Ihres Betriebs und Ihrer Dienste.
- SaaS ist Cloud-Computing. Viele SaaS-Anbieter fallen deshalb unter NIS-2, auch wenn sie der CRA nicht erfasst.
- Die Größe entscheidet mit: Ab mittlerer Unternehmensgröße sind Sie daher im Regelfall dabei.
- Drei Meldestufen: 24 Stunden, 72 Stunden, ein Monat. Gemeldet wird dabei an das BSI.
- Die Geschäftsleitung haftet für die Umsetzung und muss sich regelmäßig schulen lassen.
Was ist NIS-2?
Die NIS-2-Richtlinie (EU) 2022/2555, kurz NIS2, ist die zweite Generation des europäischen Cybersicherheitsrechts für Unternehmen. Anders als der Cyber Resilience Act ist sie jedoch eine Richtlinie und musste daher in nationales Recht umgesetzt werden. Deutschland hat das mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) getan, das das BSI-Gesetz (BSIG) komplett neu fasst. Es ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist für die materiellen Pflichten.
Der Kreis der Betroffenen ist dadurch stark gewachsen. Früher betraf das BSI-Gesetz im Kern die Betreiber kritischer Infrastrukturen. Nach Schätzungen der Bundesregierung sind dagegen heute rund 29.500 Unternehmen erfasst, viele davon zum ersten Mal.
NIS-2, CRA und Produkthaftung im Zusammenspiel
| Regelwerk | Schützt | Typische Pflicht für Software-Unternehmen |
|---|---|---|
| NIS-2 / BSI-Gesetz | den Betrieb Ihres Unternehmens und Ihrer Dienste | Risikomanagement, Meldung erheblicher Vorfälle an das BSI |
| Cyber Resilience Act | die Produkte, die Sie ausliefern | Security by Design, Updates, Meldung ausgenutzter Schwachstellen über die ENISA-Plattform |
| Produkthaftungsgesetz (neu) | Geschädigte | verschuldensunabhängiger Schadensersatz bei fehlerhafter Software |
Ein SaaS-Anbieter mit Desktop-Client kann also für den Client nach dem Cyber Resilience Act und für die Plattform nach NIS-2 meldepflichtig sein. Das bedeutet folglich zwei Meldewege, zwei Empfänger und unterschiedliche Auslöser.
Fällt Ihr Software-Unternehmen unter NIS-2?
Ob Sie betroffen sind, prüfen Sie in zwei Schritten: Gehören Sie zu einem erfassten Sektor, und erreichen Sie die Größenschwelle? Das Gesetz stellt dabei auf die Tätigkeit ab, nicht auf die Branche, in der Sie sich selbst verorten.
Schritt 1: Die relevanten Tätigkeiten
Für Software-Unternehmen sind vor allem diese Einrichtungsarten wichtig:
- Anbieter von Cloud-Computing-Diensten: Dazu zählen nach der Richtlinie ausdrücklich auch SaaS-, PaaS- und IaaS-Angebote.
- Managed Service Provider (MSP): IT-Dienstleister, die Netze, Infrastruktur, Anwendungen oder andere IT-Systeme ihrer Kunden betreuen oder verwalten, etwa per Fernwartung.
- Managed Security Service Provider (MSSP): Anbieter, die das Sicherheitsmanagement für Kunden übernehmen, zum Beispiel SOC-Dienste.
- Rechenzentrumsdienste und Content-Delivery-Netzwerke
- Digitale Dienste: Online-Marktplätze, Online-Suchmaschinen und Plattformen für soziale Netzwerke
- Hersteller von Datenverarbeitungsgeräten und elektronischen Erzeugnissen im verarbeitenden Gewerbe
Reine Softwareentwicklung im Kundenauftrag ist hingegen für sich genommen keine erfasste Tätigkeit. Das ändert sich, sobald Sie die Software anschließend für den Kunden betreiben oder warten. Dann sind Sie schnell Managed Service Provider.
Schritt 2: Die Größenschwellen
| Kategorie | Schwelle (Regelfall) | Bußgeldrahmen |
|---|---|---|
| Besonders wichtige Einrichtung | ab 250 Beschäftigten oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme | bis 10 Mio. Euro oder 2 % des Jahresumsatzes |
| Wichtige Einrichtung | ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme | bis 7 Mio. Euro oder 1,4 % des Jahresumsatzes |
| Nicht erfasst | Kleinst- und Kleinunternehmen unterhalb dieser Werte | – |
Einige Anbieter sind unabhängig von ihrer Größe erfasst (§ 28 BSIG), etwa qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter und Registries für Top-Level-Domains. Prüfen Sie außerdem die Konzernzurechnung: Denn bei verbundenen Unternehmen können Beschäftigte und Umsätze zusammengerechnet werden.
Praxisbeispiel: Ein HR-Software-Anbieter mit 80 Beschäftigten betreibt seine Plattform für 1.200 Kunden in einer Public Cloud. Er bietet somit einen Cloud-Computing-Dienst an und überschreitet die Schwelle für mittlere Unternehmen. Er ist damit wichtige Einrichtung, auch wenn er selbst nie von sich sagen würde, er sei im IT-Sektor tätig.
Sonderregeln für digitale Anbieter
Für Cloud-Anbieter, Rechenzentren, MSP, MSSP und digitale Dienste gilt eine Besonderheit: Zuständig ist der Mitgliedstaat Ihrer Hauptniederlassung in der EU. Sie unterliegen also nur einer nationalen Aufsicht, in Deutschland dem BSI. Welche Sicherheitsmaßnahmen diese Anbieter konkret umsetzen müssen, beschreibt die EU-Durchführungsverordnung (EU) 2024/2690 sehr detailliert. Zudem ist sie für diese Gruppe unmittelbar verbindlich.
Welche Pflichten haben betroffene Unternehmen?
Registrierung beim BSI
Betroffene Einrichtungen müssen sich binnen drei Monaten beim BSI registrieren (§ 33 BSIG). Für Unternehmen, die schon mit Inkrafttreten erfasst waren, lief diese Frist folglich Anfang März 2026 ab. Wer die Registrierung versäumt hat, sollte sie deshalb unverzüglich nachholen. Die Registrierungspflicht hängt außerdem nicht davon ab, ob das BSI Sie anschreibt: Sie müssen Ihre Betroffenheit selbst prüfen.
Risikomanagementmaßnahmen
Kern von NIS-2 sind geeignete, verhältnismäßige und wirksame Maßnahmen nach dem Stand der Technik (§ 30 BSIG). Das Gesetz nennt dafür zehn Bereiche als Mindeststandard:
- Risikoanalyse und Sicherheitskonzepte für Ihre Informationssysteme
- Bewältigung von Sicherheitsvorfällen mit klaren Abläufen
- Betriebskontinuität: Backups, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette, einschließlich Ihrer Dienstleister und Softwarelieferanten
- Sicherheit bei Entwicklung, Beschaffung und Wartung, inklusive Schwachstellenmanagement
- Wirksamkeitskontrolle der getroffenen Maßnahmen
- Cyberhygiene und Schulungen für alle Beschäftigten
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Asset-Management
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation, auch für Notfälle
Für Software-Unternehmen ist insbesondere der Punkt Entwicklung besonders relevant. Denn ein sicherer Entwicklungsprozess, dokumentierte Code-Reviews und ein Schwachstellenmanagement erfüllen hier gleichzeitig Anforderungen des CRA. Wer beides zusammen aufsetzt, spart somit doppelte Arbeit.
Meldepflichten an das BSI
Erhebliche Sicherheitsvorfälle müssen Sie dem BSI melden (§ 32 BSIG). Erheblich ist ein Vorfall, wenn er schwere Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen erheblich schädigt. Für Cloud-Anbieter und MSP konkretisiert außerdem die Durchführungsverordnung (EU) 2024/2690 die Schwellen, etwa nach Dauer und Zahl der betroffenen Nutzer.
| Frist | Meldung |
|---|---|
| 24 Stunden ab Kenntnis | Frühe Erstmeldung, ob ein rechtswidriger Angriff vermutet wird |
| 72 Stunden ab Kenntnis | Meldung mit erster Bewertung, Schweregrad und Kompromittierungsindikatoren |
| auf Anfrage des BSI | Zwischenmeldung zum aktuellen Stand |
| 1 Monat nach der Meldung | Abschlussmeldung mit Ursache und Abhilfemaßnahmen |
Zusätzlich müssen Sie unter Umständen Ihre Kunden informieren, wenn der Vorfall deren Dienste beeinträchtigen kann. Parallel können die DSGVO-Meldung binnen 72 Stunden (Art. 33 DSGVO) und, für ausgelieferte Produkte, die CRA-Meldung fällig werden.
Praxistipp
Bauen Sie einen gemeinsamen Ablaufplan für alle drei Meldewege. Dabei entscheidet eine Person in den ersten Stunden, welche Meldung ausgelöst wird. Zudem liegen Vorlagen für BSI, ENISA-Plattform und Datenschutzaufsicht fertig bereit.
Pflichten der Geschäftsleitung
NIS-2 macht Cybersicherheit ausdrücklich zur Chefsache (§ 38 BSIG). Geschäftsleiter müssen deshalb die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Verletzen sie diese Pflicht, haften sie der Gesellschaft für den entstandenen Schaden. Außerdem müssen sie regelmäßig an Schulungen teilnehmen, damit sie Risiken erkennen und Maßnahmen beurteilen können. Delegieren lässt sich zwar die Umsetzung, die Verantwortung jedoch nicht.
Nicht selbst betroffen? NIS-2 kommt über Ihre Kunden
Auch wenn Ihr Unternehmen unter den Schwellen bleibt, spüren Sie trotzdem NIS-2. Ihre Kunden müssen die Sicherheit ihrer Lieferkette gewährleisten. Sie geben diese Anforderungen deshalb vertraglich an ihre Software- und IT-Lieferanten weiter. Rechnen Sie mit:
- Sicherheitsfragebögen und Audits im Vertrieb und bei Vertragsverlängerungen
- Vertragsklauseln zu Meldepflichten, oft mit Fristen unter 24 Stunden
- Nachweisen wie ISO 27001, BSI C5 für Cloud-Dienste oder TISAX in der Automobilindustrie
- Anforderungen an Unterauftragnehmer, Zugriffsrechte und Fernwartungszugänge
Wer diese Nachweise schnell liefern kann, gewinnt im Wettbewerb um Kunden, die selbst unter NIS-2 fallen. Wer sie dagegen nicht liefern kann, verliert Ausschreibungen.
Handlungsempfehlungen: 7 Schritte zur NIS-2-Compliance
- Betroffenheit prüfen: Ordnen Sie jede Geschäftstätigkeit einer Einrichtungsart zu und prüfen Sie die Größenschwellen, auch auf Konzernebene. Dokumentieren Sie das Ergebnis, auch wenn es negativ ausfällt.
- Registrierung nachholen: Ist die Frist verstrichen, registrieren Sie sich umgehend beim BSI.
- Geschäftsleitung einbinden: Lassen Sie die Maßnahmen formell billigen, legen Sie Berichtswege fest und planen Sie die Schulungen der Geschäftsführung.
- Gap-Analyse durchführen: Gleichen Sie Ihre bestehenden Maßnahmen mit den zehn Mindestbereichen und, für digitale Anbieter, mit der Durchführungsverordnung (EU) 2024/2690 ab.
- Meldeprozess aufbauen: Definieren Sie, wann ein Vorfall erheblich ist, wer entscheidet und wer meldet. Üben Sie den Ablauf anschließend mit einem Planspiel.
- Lieferkette steuern: Erfassen Sie Ihre kritischen Dienstleister und passen Sie die Verträge an Melde- und Nachweispflichten an.
- Mit CRA und Produkthaftung verzahnen: Nutzen Sie ein gemeinsames Anforderungsregister für Betrieb und Produkt. Dieselbe Dokumentation hilft dann bei der Aufsicht, bei der Konformitätsbewertung und im Haftungsprozess.
Fazit: NIS-2 schließt die SaaS-Lücke des CRA
Mit NIS-2 gibt es für Software-Unternehmen kaum noch einen regulierungsfreien Raum. Drei Punkte sollten Sie deshalb mitnehmen:
- SaaS ist kein Schlupfloch. Was der CRA als Dienst ausklammert, erfasst NIS-2 dagegen häufig als Cloud-Computing-Dienst.
- Die Pflichten gelten schon. Registrierung, Risikomanagement und Meldepflichten laufen seit Dezember 2025.
- Verantwortung liegt oben. Die Geschäftsleitung muss billigen, überwachen und sich schulen lassen.
Mit dieser Serie haben Sie die drei Bausteine im Blick: Die Produkthaftung regelt, wer zahlt. Der CRA regelt, wie sicher Ihr Produkt sein muss. NIS-2 regelt, wie sicher Ihr Betrieb sein muss. Wer alle drei zusammen plant, arbeitet daher effizienter und ist im Ernstfall besser verteidigt.
Sie möchten wissen, ob Ihr Unternehmen unter NIS-2 fällt? Vereinbaren Sie ein unverbindliches Erstgespräch – wir prüfen Ihre Betroffenheit, Ihre Meldeprozesse und Ihre Lieferverträge.
Jetzt Erstgespräch anfragenFAQ: Häufige Fragen zu NIS-2 für Software-Unternehmen
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Dabei hat es das BSI-Gesetz neu gefasst. Die Pflichten gelten seitdem ohne Übergangsfrist, nur für die Registrierung beim BSI gab es drei Monate Zeit.
Häufig ja. SaaS zählt zu den Cloud-Computing-Diensten, die im Sektor Informationstechnik und Telekommunikation erfasst sind. Betroffen sind Anbieter ab mittlerer Unternehmensgröße, also ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme.
NIS-2 regelt die Sicherheit des Unternehmens und seines Betriebs. Der Cyber Resilience Act regelt die Sicherheit von Produkten, die auf den Markt kommen. Ein Software-Unternehmen kann beiden Regelwerken gleichzeitig unterliegen.
Erhebliche Sicherheitsvorfälle sind dem BSI in drei Stufen zu melden: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung.
Ja. Geschäftsleiter müssen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Verletzen sie diese Pflicht, haften sie der Gesellschaft für den Schaden. Außerdem müssen sie regelmäßig an Schulungen teilnehmen.
Besonders wichtigen Einrichtungen drohen Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis 7 Mio. Euro oder 1,4 %. Das BSI kann zudem Anordnungen treffen und Nachweise verlangen.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Stand: Oktober 2026. Paragrafenangaben beziehen sich auf das BSI-Gesetz in der Fassung des NIS2UmsuCG.
