NIS2-Pflichten und Geschäftsführer-Haftung: was die Leitung persönlich verantworten muss.

Betroffene Unternehmen müssen rund zehn verbindliche Risikomanagement-Maßnahmenbereiche umsetzen, sich beim BSI registrieren, erhebliche Vorfälle melden (Erstmeldung binnen rund 24 Stunden) und die Leitung schulen. Die Geschäftsführung trägt dabei eine persönliche Verantwortung: Sie muss die Maßnahmen billigen und ihre Umsetzung überwachen. Das ersetzt keine Rechtsberatung; ob und wie Ihr Unternehmen betroffen ist, ist ein Einzelfall.

NIS2 sieht eine persönliche Verantwortung der Leitung vor: Sie muss die Risikomanagement-Maßnahmen billigen und deren Umsetzung überwachen. Bei Verstößen drohen dem Unternehmen Bußgelder bis rund 10 Mio EUR oder rund 2 % des weltweiten Jahresumsatzes. Wie weit eine persönliche Inanspruchnahme im Einzelfall reicht, ist eine Rechtsfrage , diese Seite ersetzt keine Rechtsberatung und keine individuelle Prüfung Ihrer Betroffenheit.

NIS2 verlangt rund zehn Risikomanagement-Maßnahmenbereiche , dazu zählen etwa Risikoanalyse und Sicherheitskonzepte, Bewältigung von Vorfällen, Backup- und Notfallmanagement, Lieferketten-Sicherheit, sichere Beschaffung und Entwicklung, Verfahren zur Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Mehrere davon haben einen technischen Kern, den TULPAR durch Schwachstellen- und Angriffspfad-Analyse abdeckt und dokumentiert.

Deutscher Referenzrahmen: NIS2 sieht eine gestufte Meldepflicht vor: Eine Erstmeldung erheblicher Sicherheitsvorfälle muss in der Regel binnen rund 24 Stunden beim BSI erfolgen, gefolgt von weiteren Meldungen. Zusätzlich besteht eine Registrierungspflicht beim BSI. Das NIS2-Umsetzungsgesetz ist in Deutschland in Kraft getreten (rund Dezember 2025), ohne Übergangsfrist; die Registrierungsfrist lief ca. Anfang März 2026 ab. Die konkreten Fristen für Ihren Fall klären Sie rechtlich.

NIS2 betrifft in Deutschland eine Größenordnung von rund 29.500 Unternehmen in 18 regulierten Sektoren. Maßgeblich sind grundsätzlich Schwelle und Sektor: in der Regel ab rund 50 Mitarbeitenden oder über 10 Mio EUR Umsatz, als besonders wichtige Einrichtung ab rund 250 Mitarbeitenden oder über 50 Mio EUR. Ob Sie tatsächlich erfasst sind, hängt vom Einzelfall ab und ist eine Rechtsfrage , das ersetzt keine Rechtsberatung.

Deutscher Referenzrahmen: Nein. TULPAR macht Sie nicht NIS2-konform und ist keine Zertifizierung und keine Rechtsberatung. TULPAR deckt den technischen Teil der NIS2-Maßnahmen ab: Es identifiziert Schwachstellen, zeigt den Angriffspfad und liefert dokumentierte technische Evidenz, die in Ihr Risikomanagement und in Nachweise einfließen kann. Organisatorische, rechtliche und prozessuale Pflichten bleiben bei Ihnen. Ob und wie Sie betroffen sind, ist ein Einzelfall.

TULPAR adressiert die technischen Kernbereiche: Es prüft das eigene Netzwerk automatisch auf Schwachstellen, zeigt den zusammenhängenden Angriffspfad und benennt im Klartext mit Schulnote und Ampel, was zuerst zu beheben ist. Das unterstützt unter anderem Risikoanalyse, Wirksamkeitsbewertung und Cyberhygiene und liefert dokumentierte Evidenz für das Risikomanagement. Auch die Anforderung der DSGVO an die regelmäßige Überprüfung der Wirksamkeit technischer Maßnahmen wird so technisch belegt.

Für den Einsatz in Österreich vereinbaren wir zuerst Systeme, Prüfungsgrenzen, Zugänge, Betriebsfenster und die Behandlung der Ergebnisse. Nur ausdrücklich freigegebene Systeme werden geprüft. Verfügbarkeit, Offline-Betrieb und Datenwege sind vor Beauftragung zu bestätigen.