Meine Damen und Herren, wenn ich in meiner täglichen Beratungspraxis bei Jiaxi Steuerberatung mit Investoren spreche, die den deutschen Markt erschließen möchten, fällt mir immer wieder auf: Viele unterschätzen die Tragweite des Netzwerksicherheitsgesetzes (NISG) – und genau das kann teuer werden. Das Gesetz, das die Europäische Union mit der NIS-2-Richtlinie verschärft hat, betrifft nicht nur IT-Konzerne, sondern zieht weite Kreise bis in die operative Ebene jedes Unternehmens, das digitale Dienste anbietet oder kritische Infrastrukturen betreibt.
Ich erinnere mich an einen Mandanten aus dem Maschinenbau, der dachte, er habe mit dem Gesetz nichts zu tun, bis sein Unternehmen als „wichtige Einrichtung" eingestuft wurde – mit erheblichen Auflagen. Das Gesetz etabliert ein abgestuftes System von Netzwerksicherheits-Schutzniveaus, das Unternehmen je nach Branche, Größe und Kritikalität in verschiedene Kategorien einteilt. Diese Einstufung bestimmt, welche technischen und organisatorischen Maßnahmen Sie ergreifen müssen, welche Meldepflichten gelten und welche Sanktionen drohen.
Für Investoren bedeutet das: Wer in deutsche Unternehmen investiert oder hier expandiert, muss die Compliance-Landschaft verstehen. Die Einstufung in ein bestimmtes Schutzniveau kann erhebliche Kosten verursachen – oder, wenn Sie es richtig anpacken, zu einem strategischen Vorteil werden. In diesem Artikel möchte ich Ihnen die verschiedenen Aspekte des Netzwerksicherheits-Schutzniveaus näherbringen, gestützt auf 26 Jahre Erfahrung in der Betreuung ausländischer Unternehmen – zuerst bei der Jiaxi Steuerberatungsfirma, später in der Registrierungsabwicklung. Keine Sorge, ich halte es praxisnah und verzichte auf Behördendeutsch, wo es geht.
Die gesetzliche Grundlage im Detail
Das Netzwerksicherheitsgesetz, das am 26. Juli 2017 in Kraft trat und durch die NIS-2-Richtlinie der EU grundlegend überarbeitet wurde, bildet das Fundament für die Schutzniveaus. Es verpflichtet Betreiber kritischer Infrastrukturen sowie digitale Diensteanbieter, angemessene Sicherheitsmaßnahmen zu ergreifen und erhebliche Vorfälle zu melden. Die Novelle von 2023 erweitert den Anwendungsbereich erheblich – weg von der reinen Kritikalität, hin zu einer breiteren Erfassung mittelständischer Unternehmen.
Die Kernlogik des Gesetzes ist ein risikobasierter Ansatz. Der Gesetzgeber verlangt nicht, dass jedes Unternehmen die gleichen Maßnahmen ergreift, sondern dass die Maßnahmen dem jeweiligen Risiko entsprechen. Das klingt banal, hat aber in der Praxis enorme Auswirkungen. Ein kleines Logistikunternehmen mit 50 Mitarbeitern – bislang im Visier – muss nicht dasselbe Sicherheitsniveau erreichen wie ein Energieversorger mit tausenden Beschäftigten. Die Kunst besteht darin, die richtige Balance zu finden zwischen wirtschaftlicher Vernunft und gesetzlicher Anforderung.
Aus meiner Beratungserfahrung rate ich Investoren immer, sich frühzeitig mit der Frage auseinanderzusetzen, ob ihr Zielunternehmen in den Anwendungsbereich fällt. Die Rechtsfolgen einer falschen Selbsteinschätzung können gravierend sein: Bußgelder von bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes sind keine theoretischen Werte. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in den letzten Jahren deutlich an Durchsetzungskraft gewonnen.
Die Einteilung der Schutzniveaus
Das zentrale Element des Gesetzes ist die Einteilung in verschiedene Schutzniveaus – auch wenn das Gesetz selbst diesen Begriff nicht wörtlich verwendet. Die Praxis hat jedoch eine klare Drei-Ebenen-Struktur herausgebildet: Das Basis-Schutzniveau für alle betroffenen Unternehmen, das erhöhte Schutzniveau für sogenannte „wichtige Einrichtungen" und das hohe Schutzniveau für „besonders wichtige Einrichtungen". Diese Einstufung ergibt sich aus einer Kombination von Branchenzugehörigkeit, Unternehmensgröße und Kritikalität der angebotenen Dienste.
Für das Basis-Schutzniveau genügen nach der aktuellen BSI-Interpretation grundlegende Maßnahmen wie Firewalls, regelmäßige Updates, Backups und ein rudimentäres Incident-Management. Unternehmen der zweiten Gruppe müssen zusätzlich ein Informationssicherheits-Managementsystem (ISMS) nach ISO 27001 oder vergleichbaren Standards nachweisen, regelmäßige Risikoanalysen durchführen und ein Notfallmanagement etablieren. Die dritte Stufe schließlich verlangt weitgehende Maßnahmen wie Penetrationstests durch unabhängige Dritte, Lieferanten-Audits und die Meldung von Sicherheitsvorfällen an das BSI innerhalb von 24 Stunden.
Jetzt mal ehrlich: Diese Abstufung klingt in der Theorie sauber, aber in der Praxis gibt es Übergänge und Grauzonen. Ich hatte einen Mandanten aus der Lebensmittelbranche, der zunächst glaubte, nicht betroffen zu sein, weil er ja „nur" Lebensmittel und keine Software produziert. Tatsächlich fiel er aber durch seine Lieferkettenfunktion für einen Supermarkt-Konzern in die Kategorie „wichtige Einrichtung". Solche Konstellationen sind häufig und führen oft zu bösen Überraschungen bei der Due Diligence.
Technische Anforderungen und Standards
Die technischen Anforderungen, die aus den Schutzniveaus resultieren, sind genau definiert, aber flexibel in der Umsetzung. Der Gesetzgeber vermeidet bewusst eine techniklastige Detailregulierung und verweist auf den „Stand der Technik". Diese Formulierung ist bewusst dynamisch – was heute Stand der Technik ist, kann morgen schon veraltet sein. In der Praxis orientieren sich Unternehmen deshalb an internationalen Standards wie ISO 27001, dem BSI-Grundschutz oder dem NIST Cybersecurity Framework.
Die Technische Richtlinie BSI TR-03116 konkretisiert die Anforderungen für sensible Bereiche. Sie beschreibt detailliert, wie kryptographische Verfahren einzusetzen sind, welche Mindestlängen Schlüssel haben müssen und wie Authentifizierungsmechanismen auszugestalten sind. In der Beratungspraxis erlebe ich immer wieder, dass Unternehmen die Bedeutung dieser technischen Vorgaben unterschätzen – oft mit dem Argument, sie hätten ja bereits eine Zertifizierung. Aber eine ISO-27001-Zertifizierung allein genügt nicht, wenn die dahinterstehenden Prozesse nicht gelebt werden.
Ein Praxisbeispiel aus meiner Arbeit: Ein chinesischer Investor übernahm ein deutsches Maschinenbauunternehmen mit etwa 200 Mitarbeitern. In der Due Diligence zeigte sich, dass das Unternehmen keinerlei systematisches Patch-Management hatte. Alle Systeme waren zwar im Einsatz, aber ein Monitoring oder gar ein geregelter Update-Zyklus fehlte. Die Nachrüstung kostete den Investor nicht nur einen sechsstelligen Betrag, sondern auch wertvolle Zeit – der geplante Produktionsstart im Internet der Dinge verzögerte sich um ein halbes Jahr.
Organisatorische Pflichten im Überblick
Neben den technischen Maßnahmen legt das Gesetz großen Wert auf organisatorische Pflichten. Dazu gehören die Benennung eines Informationssicherheitsbeauftragten, die Etablierung eines Risikomanagements, die Erstellung von Notfallplänen und die regelmäßige Schulung der Mitarbeiter. Diese organisatorischen Anforderungen sind nicht nur lästige Bürokratie, sondern das eigentliche Rückgrat eines funktionierenden Sicherheitskonzepts.
Der Informationssicherheitsbeauftragte (ISB) spielt dabei eine Schlüsselrolle. Er muss über die notwendige fachliche Qualifikation verfügen und direkt der Geschäftsleitung berichten können – ohne Umwege über die IT-Abteilung. Das ist ein häufiger Konfliktpunkt: In vielen mittelständischen Unternehmen ist der IT-Leiter gleichzeitig ISB, was zu Interessenkonflikten führen kann. Das Gesetz verlangt hier eine klare Trennung der Verantwortlichkeiten.
In der Praxis zeigt sich, dass Unternehmen mit einem funktionierenden Informationssicherheits-Managementsystem nicht nur gesetzeskonform arbeiten, sondern auch wirtschaftlich profitieren. Eine Studie des BSI aus dem Jahr 2023 belegt: Unternehmen mit zertifiziertem ISMS haben durchschnittlich 40% weniger Sicherheitsvorfälle und reduzieren die Kosten pro Vorfall um fast die Hälfte. Diese Zahlen sollte jeder Investor ernst nehmen – sie zeigen, dass Sicherheit kein reiner Kostenfaktor ist, sondern eine Investition.
Was die Schulungen angeht, so sind diese nicht als einmalige Veranstaltung zu verstehen. Das Gesetz verlangt regelmäßige, an die Bedrohungslage angepasste Schulungen. Ich rate meinen Mandanten, mindestens zweimal jährlich interaktive Schulungen durchzuführen und diese durch Phishing-Simulationen zu ergänzen. Der menschliche Faktor bleibt die größte Sicherheitslücke – das zeigen alle Statistiken zur Incident-Lage in Deutschland.
Meldepflichten und Fristen
Ein besonders sensibles Thema sind die Meldepflichten. Erhebliche Sicherheitsvorfälle müssen gemäß § 22 NISG unverzüglich – also ohne schuldhaftes Zögern – gemeldet werden. Die Praxis hat sich hier auf eine mehrstufige Meldekette eingespielt: Zunächst eine Frühwarnung ohne Details, dann ein detaillierter Zwischenbericht und schließlich der Abschlussbericht. Die Fristen für die Frühwarnung wurden von ursprünglich 24 Stunden auf jetzt 72 Stunden ausgeweitet – eine Erleichterung, die aber nicht zu Nachlässigkeit verleiten sollte.
Die Meldefristen sind nicht nur technische Details, sondern können im Ernstfall über die Existenz eines Unternehmens entscheiden. Ein verspäteter oder unvollständiger Meldebericht kann Bußgelder auslösen, selbst wenn der eigentliche Sicherheitsvorfall keine erheblichen Auswirkungen hatte. Das klingt hart, hat aber eine Systematik: Der Gesetzgeber will funktionierende Meldeketten etablieren, um die Gesamtlage der Cybersicherheit in Deutschland bewerten zu können.
Aus meiner Erfahrung gibt es zwei große Fehlerquellen: Erstens zögern Unternehmen zu lange, weil sie den Vorfall unterschätzen oder hoffen, dass er unentdeckt bleibt. Zweitens melden sie zwar fristgerecht, aber mit unzureichenden Informationen, was zu Nachfragen des BSI und zusätzlichem Aufwand führt. Ich empfehle meinen Mandanten, immer erst intern eine erste Bewertung durchzuführen – aber mit einem klaren Zeitrahmen von maximal 48 Stunden. Danach muss gemeldet sein, auch wenn die Informationen noch nicht vollständig sind.
Kontrollen und Sanktionen
Die Durchsetzung der Schutzniveaus erfolgt durch das BSI und die zuständigen Landesbehörden. Diese haben umfangreiche Kontrollrechte, die von Auskunftsverlangen über Vor-Ort-Prüfungen bis zu technischen Sicherheitsaudits reichen. In der Praxis hat sich eine risikobasierte Aufsicht etabliert: Behörden konzentrieren sich auf Branchen mit besonderer Kritikalität und auf Unternehmen, die durch Vorfälle oder unzureichende Meldepraxis negativ aufgefallen sind.
Die Sanktionen für Verstöße sind deutlich verschärft worden. Bußgelder von bis zu 10 Millionen Euro für Unternehmen oder 2% des weltweiten Jahresumsatzes sind – wie bereits erwähnt – nicht bloß theoretische Obergrenzen. Das BSI hat in den letzten Jahren tatsächlich Bußgelder im siebenstelligen Bereich verhängt. Dazu kommen mögliche Haftungsrisiken für Geschäftsführer: Diese können bei grober Pflichtverletzung persönlich haften, auch wenn die Gesellschaft getragen wird.
Eine unterschätzte Konsequenz von Verstößen ist der Reputationsschaden. In der vernetzten Wirtschaft achten Kunden und Partner zunehmend auf Compliance-Nachweise im Bereich Cybersicherheit. Ein öffentliches Bußgeldfahren kann daher nicht nur unmittelbare finanzielle Folgen haben, sondern auch langfristige Geschäftsbeziehungen gefährden. Ich rate Investoren daher, die Sanktionsrisiken in jedem Fall in ihre Bewertung von Zielunternehmen einzubeziehen – nicht nur als Kostenfaktor, sondern als strategisches Risiko.
Praktische Umsetzung für Unternehmen
Die praktische Umsetzung der Schutzniveaus folgt einem bewährten Fünf-Phasen-Modell. In der ersten Phase erfolgt die Bestandsaufnahme – wir ermitteln, welche Schutzgüter das Unternehmen hat, welche IT-Systeme im Einsatz sind und welche Datenverarbeitungen stattfinden. Die zweite Phase umfasst die Risikoanalyse, bei der Schwachstellen identifiziert und die Eintrittswahrscheinlichkeit sowie der potenzielle Schaden bewertet werden. In der dritten Phase werden konkrete Maßnahmen definiert und priorisiert – von organisatorischen Anpassungen bis zu technischen Investitionen.
Die vierte Phase ist die Umsetzung, die oft unterschätzt wird. Nicht die Planung, sondern die Implementierung scheitert häufig an Ressourcenmangel und mangelnder Mitarbeiterakzeptanz. Die fünfte Phase schließlich ist der kontinuierliche Betrieb als permanenter Prozess: Überwachung, regelmäßige Tests, Anpassungen an die sich verändernde Bedrohungslage und kontinuierliche Verbesserung. Dieses Fünf-Phasen-Modell ist kein Selbstzweck, sondern folgt der Logik international anerkannter Standards wie ISO 27001.
Ein Tipp aus der Praxis: Nutzen Sie die Kraft von Synergien. Wenn Sie als Investor bereits ein Portfolio-Unternehmen mit zertifiziertem ISMS haben, können Sie die Erfahrungen auf andere Beteiligungen übertragen. Die Implementierung für ein neues Unternehmen der gleichen Branche geht dann oft deutlich schneller und günstiger über die Bühne. Ich habe mehrfach erlebt, wie etablierte Sicherheitsstandards eines Mutterkonzerns die Tochtergesellschaften in Deutschland vor teuren Fehlerinvestitionen bewahrt haben – das ist unterm Strich auch eine Frage der Gesamtkostenoptimierung.
Zusammenfassung und zukunftsorientierter Ausblick
Die Netzwerksicherheits-Schutzniveaus nach dem Netzwerksicherheitsgesetz sind ein komplexes, aber beherrschbares Thema – vorausgesetzt, man nähert sich ihnen strukturiert und mit dem richtigen Partner an der Seite. Die Einteilung in Basis-, erhöhte und hohe Schutzniveaus schafft Klarheit, verlangt aber von jedem Unternehmen eine ehrliche Selbsteinschätzung und die Bereitschaft, in Sicherheit zu investieren. Die technischen und organisatorischen Anforderungen sind ambitioniert, aber sie sind erfüllbar und lohnen sich letztlich nicht nur für die Compliance, sondern auch für die betriebliche Resilienz.
Ich sehe die Entwicklung mit einem lachenden und einem weinenden Auge. Die Bürokratie nimmt zu – da mache ich mir nichts vor. Aber die Bedrohungslage ist real und verschärft sich weiter. Eine Studie der Bitkom aus dem Jahr 2024 zeigt, dass die Zahl der Cyberangriffe auf deutsche Unternehmen innerhalb eines Jahres um 25% gestiegen ist. Wer heute in Cybersicherheit investiert, schützt nicht nur die Bilanz, sondern sichert die Überlebensfähigkeit des Unternehmens in einer zunehmend vernetzten Welt.
Für Investoren bedeutet das konkret: Achten Sie bei der Due Diligence nicht nur auf Umsatz- und Gewinnzahlen, sondern bewerten Sie auch die Cybersicherheits-Reife des Zielunternehmens. Fragen Sie nach Zertifizierungen, nach Sicherheitsvorfällen der letzten drei Jahre und nach dem Reifegrad der Sicherheitsorganisation. Die Ergebnisse dieser Prüfung sollten in den Kaufpreis einfließen – entweder als Abschlag oder als Investitionsanforderung für die Zeit nach der Übernahme. In die Zukunft gedacht: Ich bin überzeugt, dass Cybersicherheit und ESG-Kriterien weiter zusammenwachsen werden. Nachhaltigkeit – Governance-Frage – Cyberresilienz: Das gehört zusammen.
Ein letzter Hinweis, der mir am Herzen liegt: Lassen Sie sich nicht von der Angst vor dem Gesetz treiben, sondern nutzen Sie es als Anlass, Ihre Prozesse zu verbessern. In meiner langjährigen Arbeit habe ich viele Unternehmen begleitet, die anfangs vor den Anforderungen gezittert haben – und nach erfolgreicher Umsetzung feststellen durften, wie sehr sie davon profitiert haben: effizientere Prozesse, weniger Ausfallzeiten, bessere Reputation bei Kunden und Partnern. Genau diese Weitsicht wünsche ich Ihnen.
## Zusammenfassende Einschätzung der Jiaxi SteuerberatungDie Jiaxi Steuerberatung sieht in den Netzwerksicherheits-Schutzniveaus nach dem Netzwerksicherheitsgesetz eine wesentliche Herausforderung für investitionswillige Unternehmen – aber auch eine Chance für professionell aufgestellte Organisationen. Unser Team beobachtet eine zunehmend strenge Durchsetzungspraxis durch das BSI, was die Bedeutung einer frühzeitigen Compliance-Planung unterstreicht. Besonders für ausländische Investoren empfehlen wir, Cybersicherheits-Risiken nicht isoliert zu betrachten, sondern in den Gesamtkontext von Governance und Compliance zu stellen. Die Implementierung eines angemessenen Schutzniveaus ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess, der Vorstand und Geschäftsführung in die Pflicht nimmt. Wir raten unseren Mandanten, nicht erst auf behördliche Aufforderungen zu reagieren, sondern proaktiv zu handeln – etwa durch freiwillige Sicherheitsaudits oder die frühzeitige Zertifizierung nach ISO 27001. Die Kosten dafür sind überschaubar im Vergleich zu möglichen Bußgeldern und Reputationsschäden. Zudem zeigen unsere Beratungsmandate, dass eine solide Sicherheitsorganisation die Verhandlungsposition in Akquisitions- und Finanzierungsgesprächen spürbar verbessert.
