NIS2UmsG - Was Geschäftsführer von Energieversorgern jetzt wissen und tun müssen
26.06.2026 | Laura Janning, Thomas Gruschka
Sehr geehrte Damen und Herren,
mit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 06. Dezember 2025 hat sich das deutsche IT-Sicherheitsrecht grundlegend verändert. Was lange Zeit vor allem Betreiber klassischer Kritischer Infrastrukturen betraf, erfasst nun einen deutlich größeren Kreis an Unternehmen, insbesondere auch Energieversorger, Stadtwerke und kommunale Unternehmensgruppen.
Hintergrund ist die europäische NIS-2-Richtlinie, mit der die Europäische Union auf die zunehmende Bedrohung durch Cyberangriffe reagiert. Die vergangenen Jahre haben gezeigt, dass insbesondere Unternehmen der Energieversorgung verstärkt Ziel professioneller Angriffe geworden sind. Ursache hierfür ist die hohe Bedeutung des Energiesektors für Versorgungssicherheit, Wirtschaft und öffentliche Infrastruktur. Bereits kurze Ausfälle oder Störungen können erhebliche Auswirkungen auf Unternehmen, öffentliche Einrichtungen und Verbraucher haben.
Vor diesem Hintergrund verfolgt der europäische Gesetzgeber das Ziel, ein einheitlich höheres Cybersicherheitsniveau innerhalb der EU zu schaffen. Deutschland hat diese Vorgaben nun durch das sogenannte NIS2-Umsetzungsgesetz in nationales Recht überführt. Dabei handelt es sich nicht um ein einzelnes Gesetz, sondern um ein umfassendes Regelungspaket, durch das insbesondere das BSI-Gesetz (BSIG), das Energiewirtschaftsgesetz (EnWG) sowie weitere Spezialgesetze angepasst wurden.
Für viele Unternehmen ist besonders relevant, dass NIS-2 nicht mehr nur einzelne kritische Anlagen betrifft. Der Blick der Aufsichtsbehörden richtet sich künftig wesentlich stärker auf die gesamte Organisation und die unternehmensweite IT-Sicherheit. Damit wird Cybersicherheit zunehmend zu einem zentralen Governance-, Organisations- und Haftungsthema.
Die allgemeinen Anforderungen ergeben sich grundsätzlich aus dem BSI-Gesetz. Für bestimmte Branchen, insbesondere Energie und Telekommunikation, existieren daneben jedoch zusätzliche (teils vorrangige) Spezialregelungen. Energieversorger müssen daher regelmäßig sowohl die Vorgaben des BSIG als auch die speziellen Anforderungen des Energiewirtschaftsgesetzes beachten.
Gerade bei Stadtwerken und Mehrspartenunternehmen führt dies häufig zu komplexen Abgrenzungsfragen. Unternehmen, die neben Strom- oder Gasversorgung beispielsweise zusätzlich Wasser, Telekommunikation oder Abfallwirtschaft betreiben, können gleichzeitig mehreren regulatorischen Regimen unterfallen. In der Praxis muss daher häufig im Rahmen einer Einzelfallprüfung bewertet werden, welche Tätigkeiten welchem gesetzlichen Rahmen zuzuordnen sind und ob einzelne Geschäftsbereiche möglicherweise nur eine untergeordnete oder „vernachlässigbare“ Rolle spielen.
Energienetzbetreiber sind gar unabhängig von Schwellenwerten betroffen und werden über das EnWG reguliert.
Die wohl bedeutendste Änderung des NIS2-Umsetzungsgesetzes betrifft die Rolle der Geschäftsleitung. Cybersicherheit wird nun ausdrücklich zur Leitungsaufgabe erklärt.
Geschäftsführer und Vorstände sind künftig nicht mehr nur mittelbar über allgemeine Organisationspflichten verantwortlich. Das Gesetz verpflichtet die Geschäftsleitung ausdrücklich dazu, Cybersicherheitsmaßnahmen zu billigen, deren Umsetzung zu überwachen und angemessene organisatorische sowie finanzielle Ressourcen bereitzustellen.
Hinzu kommt erstmals eine gesetzlich normierte Schulungspflicht. Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen zur IT- und Cybersicherheit teilnehmen, um Risiken und regulatorische Anforderungen angemessen beurteilen zu können.
Besonders wichtig ist dabei: Die Verantwortung kann nicht vollständig auf die IT-Abteilung oder externe Dienstleister delegiert werden. Zwar können operative Aufgaben übertragen werden, die rechtliche Gesamtverantwortung verbleibt jedoch bei der Unternehmensleitung.
Die persönliche Haftung der Geschäftsleitung ist in § 38 Abs. 2 BSIG (bzw. § 5e Abs. 2 EnWG) geregelt und betrifft die sogenannte Innenhaftung: Das Unternehmen kann bei schuldhafter Verletzung der Cybersicherheitspflichten Schadensersatz vom GF zurückfordern. Das gilt auch für Bußgelder, die die Behörde gegen das Unternehmen verhängt hat - der GF haftet also mittelbar auch für Sanktionen, die formal gegen die Gesellschaft gerichtet waren. Eine erhebliche Verschärfung gegenüber dem bisherigen Recht besteht darin, dass ein Haftungserlass oder Haftungsverzicht durch den Aufsichtsrat gesetzlich ausgeschlossen ist. Aufsichtsrate können ihren Geschäftsleitern in diesem Bereich keine Absolution erteilen.
Hinzu kommen die Unternehmensbußgelder, die sich an DSGVO-ähnlichen Maßstäben orientieren: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen und Betreiber kritischer Anlagen, bis zu 7 Mio. EUR oder 1,4 % des Umsatzes für wichtige Einrichtungen. Für kleinere Stadtwerke, deren Umsatz typischerweise im zwei- bis dreistelligen Millionenbereich liegt, bedeutet das: Selbst die prozentuale Variante führt zu spürbaren absoluten Beträgen.
NIS-2 ist kein theoretisches Regulierungsprojekt mehr, sondern verbindliches geltendes Recht mit unmittelbarer persönlicher Verantwortung der Geschäftsführung in Energieversorgungsunternehmen. Unternehmen sind daher verpflichtet, ihre Betroffenheit zu prüfen, bestehende Registrierungs- und Compliance-Anforderungen zu erfüllen sowie technische und organisatorische Sicherheitsmaßnahmen systematisch zu überprüfen und gegebenenfalls zu erweitern. Besonders kritisch sind dabei klare interne Melde- und Entscheidungsprozesse, dokumentierte Schulungen der Geschäftsführung sowie eine konsequente Überprüfung der Lieferketten auf sicherheitsrelevante Anforderungen.
