Was gilt eigentlich für uns?

Übersicht über zwölf Regelwerke und neun Branchen mit drei Verbindlichkeitsstufen: gesetzliche Pflicht, vertraglich gefordert und empfohlen. Orientierungshilfe, keine Rechtsberatung – die tatsächliche Betroffenheit hängt zusätzlich an Größe, Tätigkeit, Standort und Kundenverträgen.

NIS2 – NIS2-Umsetzungsgesetz (NIS2UmsuCG, BSIG 2025)

Industrie & Maschinenbau: Gesetzliche Pflicht

Verarbeitendes Gewerbe steht in Anhang II. Verbindlich ab 50 Beschäftigten oder 10 Mio. € Umsatz.

Logistik & Transport: Gesetzliche Pflicht

Verkehr in Anhang I, Post- und Kurierdienste in Anhang II. Klassische Spedition nicht automatisch erfasst.

Gesundheitswesen: Gesetzliche Pflicht

Sektor Gesundheit steht in Anhang I – einschließlich Laboren und bestimmten Medizinprodukteherstellern.

Rüstung & Verteidigung: Vertraglich gefordert

Je nach Produktspektrum über das verarbeitende Gewerbe erfasst; für Tätigkeiten der nationalen Verteidigung sieht das Gesetz Ausnahmen vor.

Öffentlicher Sektor: Vertraglich gefordert

Die Bundesverwaltung ist unmittelbar erfasst. Für Länder und Kommunen gilt Landesrecht; kommunale Betriebe fallen oft über ihren Sektor darunter.

Finanzen & Versicherungen: Vertraglich gefordert

Der Sektor ist genannt, für beaufsichtigte Unternehmen geht jedoch DORA als spezielleres Recht vor.

Energie & Versorgung: Gesetzliche Pflicht

Sektor Energie steht in Anhang I und gehört zu den am strengsten regulierten Bereichen.

Handel & E-Commerce: Empfohlen

Nur in Teilbereichen erfasst, etwa bei Lebensmittelvertrieb. Über die Lieferkette der Kunden kommen die Anforderungen dennoch an.

IT & Software: Gesetzliche Pflicht

Digitale Infrastruktur und IKT-Dienstleistungsmanagement stehen in Anhang I, digitale Dienste in Anhang II.

DSGVO – Verordnung (EU) 2016/679

Industrie & Maschinenbau: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Logistik & Transport: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Gesundheitswesen: Gesetzliche Pflicht

Gesundheitsdaten sind besondere Kategorien nach Artikel 9 – erhöhtes Schutzniveau und entsprechend höheres Bußgeldrisiko.

Rüstung & Verteidigung: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Öffentlicher Sektor: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Finanzen & Versicherungen: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Energie & Versorgung: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Handel & E-Commerce: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

IT & Software: Gesetzliche Pflicht

Gilt größenunabhängig. Eine Datenpanne ist binnen 72 Stunden an die Aufsichtsbehörde zu melden.

Kritische Anlagen – BSI-Kritisverordnung, §§ 30, 31, 39 BSIG

Logistik & Transport: Vertraglich gefordert

Nur für Anlagen des Personen- und Güterverkehrs oberhalb der Schwellenwerte, nicht für Speditionen allgemein.

Gesundheitswesen: Gesetzliche Pflicht

Krankenhäuser ab 30.000 vollstationären Fällen im Jahr. Dann Angriffserkennung nach § 31 BSIG und Nachweis alle drei Jahre nach § 39.

Öffentlicher Sektor: Vertraglich gefordert

Für kommunale Ver- und Entsorger über deren Sektor, nicht für die Kernverwaltung.

Energie & Versorgung: Gesetzliche Pflicht

Schwellenwerte je Anlagenkategorie in der BSI-Kritisverordnung; Stadtwerke erreichen sie regelmäßig.

IT & Software: Vertraglich gefordert

Rechenzentren, Netzbetreiber und Vertrauensdiensteanbieter ab den jeweiligen Schwellenwerten.

DORA – Verordnung (EU) 2022/2554, gilt seit 17.01.2025

Finanzen & Versicherungen: Gesetzliche Pflicht

Gilt unmittelbar für Finanzunternehmen: IKT-Risikomanagement, Informationsregister, Vorfallmeldung, Testprogramm.

IT & Software: Vertraglich gefordert

Als IKT-Drittdienstleister eines Finanzunternehmens über vertragliche Mindestinhalte und Prüfrechte erfasst.

Cyber Resilience Act – Verordnung (EU) 2024/2847

Industrie & Maschinenbau: Gesetzliche Pflicht

Für Hersteller vernetzter Produkte: Meldepflicht ab 11.09.2026, übrige Anforderungen ab 11.12.2027.

Rüstung & Verteidigung: Empfohlen

Produkte ausschließlich für militärische Zwecke sind ausgenommen; Dual-Use-Anteile sind zu prüfen.

Handel & E-Commerce: Vertraglich gefordert

Wer vernetzte Produkte einführt oder vertreibt, trägt Pflichten als Importeur oder Händler.

IT & Software: Gesetzliche Pflicht

Software mit digitalen Elementen fällt unmittelbar darunter.

§ 391 SGB V – IT-Sicherheit in Krankenhäusern, vormals § 75c

Gesundheitswesen: Gesetzliche Pflicht

Gilt für jedes Krankenhaus, unabhängig von der Fallzahl. Erfüllbar über den branchenspezifischen Sicherheitsstandard B3S.

ISO 27001 – ISO/IEC 27001:2022

Industrie & Maschinenbau: Vertraglich gefordert

Von Großkunden und in Ausschreibungen regelmäßig verlangt. Deckt zugleich weite Teile der NIS2-Pflichten ab.

Logistik & Transport: Vertraglich gefordert

Große Verlader fordern den Nachweis zunehmend bereits in der Ausschreibung.

Gesundheitswesen: Empfohlen

Nicht vorgeschrieben, aber ein tragfähiges Gerüst für die Nachweise nach § 391 SGB V und B3S.

Rüstung & Verteidigung: Vertraglich gefordert

Von Auftraggebern als Nachweis des Managementsystems in aller Regel verlangt.

Öffentlicher Sektor: Empfohlen

In der Verwaltung ist IT-Grundschutz der übliche Maßstab; ISO 27001 auf dessen Basis ist möglich.

Finanzen & Versicherungen: Vertraglich gefordert

Übliche Grundlage, um die IKT-Risikoanforderungen aus DORA nachvollziehbar zu belegen.

Energie & Versorgung: Gesetzliche Pflicht

Für Betreiber von Energienetzen über den IT-Sicherheitskatalog der Bundesnetzagentur verbindlich.

Handel & E-Commerce: Empfohlen

Wettbewerbsvorteil im B2B-Geschäft, selten zwingend.

IT & Software: Vertraglich gefordert

Faktische Eintrittskarte ins Enterprise-Geschäft und Voraussetzung vieler Rahmenverträge.

BSI IT-Grundschutz – BSI-Standards 200-1 bis 200-4

Industrie & Maschinenbau: Empfohlen

Sinnvoll bei Aufträgen der öffentlichen Hand, sonst meist ISO 27001.

Gesundheitswesen: Empfohlen

Alternative zum B3S, wenn ohnehin öffentliche Träger beteiligt sind.

Rüstung & Verteidigung: Vertraglich gefordert

Als Grundlage im Geheimschutz und bei Aufträgen der öffentlichen Hand regelmäßig verlangt.

Öffentlicher Sektor: Gesetzliche Pflicht

Der übliche Prüfmaßstab der öffentlichen Verwaltung, stufenweise umsetzbar von der Basis-Absicherung an.

Energie & Versorgung: Vertraglich gefordert

Häufig als Nachweisgrundlage gegenüber dem BSI genutzt.

IT & Software: Empfohlen

Relevant für Dienstleister der Verwaltung.

TISAX – VDA ISA, Austausch über die ENX-Plattform

Industrie & Maschinenbau: Gesetzliche Pflicht

Für Zulieferer der Automobilindustrie faktisch Voraussetzung der Auftragsvergabe.

Logistik & Transport: Vertraglich gefordert

Für Logistiker mit Automotive-Kunden, insbesondere bei Prototypen- und Teiletransporten.

Rüstung & Verteidigung: Empfohlen

Relevant, soweit auch zivile Fahrzeugtechnik geliefert wird.

IT & Software: Vertraglich gefordert

Für Dienstleister, die Entwicklungsdaten der Automobilindustrie verarbeiten.

IEC 62443 – Sicherheit industrieller Automatisierungssysteme

Industrie & Maschinenbau: Vertraglich gefordert

Bezugsrahmen für Zonen, Übergänge und Härtung im Produktionsnetz – zunehmend in Lastenheften.

Logistik & Transport: Empfohlen

Relevant bei automatisierter Lager- und Fördertechnik.

Energie & Versorgung: Vertraglich gefordert

Für Leit- und Netztechnik der übliche technische Maßstab.

VS-NfD / Geheimschutz – Sicherheitsüberprüfungsgesetz, Geheimschutzhandbuch

Rüstung & Verteidigung: Gesetzliche Pflicht

Sobald eingestufte Aufträge bearbeitet werden: zugelassene IT, geprüftes Personal, geregelte Verwahrung.

Öffentlicher Sektor: Vertraglich gefordert

Für Stellen und Dienstleister mit Zugang zu Verschlusssachen.

IT & Software: Empfohlen

Relevant für Dienstleister, die im eingestuften Umfeld arbeiten wollen.

PCI DSS – Payment Card Industry Data Security Standard

Finanzen & Versicherungen: Gesetzliche Pflicht

Für Institute und Dienstleister im Kartengeschäft verbindlich.

Handel & E-Commerce: Gesetzliche Pflicht

Sobald Kartendaten verarbeitet, gespeichert oder übertragen werden – vertraglich über die Kartenorganisationen durchgesetzt.

IT & Software: Vertraglich gefordert

Für Zahlungsdienstleister und Shop-Betreiber im Auftrag Dritter.

Quellen und weiterführende Informationen

Zuletzt aktualisiert am · Inhaltlich verantwortlich: Christian Renkes, Geschäftsführer der Nica Systems GmbH.

Kontakt

Nica Systems GmbH, Reisholzer Bahnstraße 41, 40599 Düsseldorf
Telefon: 0211 17520840
E-Mail: Kontaktformular
Erreichbarkeit: Mo–Fr 09:00–17:00 Uhr, Incident Response rund um die Uhr

Bitte aktivieren Sie JavaScript für die vollständige, interaktive Website.