Im Hausflur hängt seit gestern eine gelbe Warnweste über dem Router. Niemand weiß, wer sie dort hingehängt hat. Der Hausmeister sagt, er sei es nicht gewesen, der Hund schnuppert nur kurz und entscheidet: Das riecht nach Gesetzestext, nicht nach Wurst.
Damit ist die Sache natürlich fast erklärt. NIS-2 ist in Deutschland nicht mehr nur diese europäische Abkürzung, die in Präsentationen aussieht wie ein kaputter WLAN-Name. Die Bundesregierung meldet: Das Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Der Bundestag hatte es im November beschlossen. Das BSI spricht seitdem mit etwas breiterer Brust, aber auch mit dem Gesichtsausdruck eines Menschen, der gerade den Schlüsselbund für einen sehr großen Keller bekommen hat.
Es geht, trocken gesagt, um Cybersicherheit. Um Unternehmen und Einrichtungen, die wichtiger sind als ihr Drucker zugeben würde. Energie, Gesundheit, digitale Dienste, Verwaltung, solche Sachen. Früher waren laut BSI ungefähr 4.500 Einrichtungen im alten BSI-Gesetz erfasst; künftig beaufsichtigt das Amt rund 29.500. Der Bundestag nannte in seiner Darstellung sogar die Größenordnung von mehr als 30.000 betroffenen Unternehmen. Das ist keine kleine Excel-Tabelle mehr. Das ist eine Excel-Tabelle, die nachts atmet.
Die neuen Pflichten klingen erst einmal vernünftig, und das ist ja das Tückische an vernünftigen Dingen. Registrieren. Sicherheitsvorfälle melden. Risikomanagement machen. Technische und organisatorische Maßnahmen, dieses beliebte Behörden-Doppelbett, in dem nachts die Patch-Liste knistert. Wer betroffen ist, soll nicht erst beim Lösegeldschirm anfangen, über Backups nachzudenken. Gut so. Wirklich. Nur sitzt neben dem guten Gedanken eben gleich der Formularordner und fragt, ob die Geschäftsführung schon unterschrieben hat.
Das BSI bekommt dabei mehr Gewicht. Aufsicht über wichtige und besonders wichtige Einrichtungen, außerdem CISO Bund, also eine zentrale Rolle für die Informationssicherheit der Bundesverwaltung. Man kann sich das vorstellen wie eine Leitstelle, in der jemand sehr ruhig sagt: „Bitte löschen Sie nicht den einzigen Logfile-Ordner“, während in irgendeinem Ministerium ein Multifunktionsgerät mit Faxfunktion Selbstbewusstsein entwickelt.
Die Blechpresse will darüber nicht kichern, jedenfalls nicht nur. Es ist ja leicht, über Meldepflichten zu spotten, bis die Kliniksoftware steht, der Energieversorger hustet oder die Kommune wieder Aushänge mit Kugelschreiber macht. Digitale Infrastruktur ist inzwischen kein hübsches Zusatzkabel mehr. Sie ist der Tisch, auf dem alles andere steht. Wenn der Tisch wackelt, diskutiert niemand mehr über schöne Prozessnamen.
Trotzdem bleibt dieser deutsche Moment: Ein echtes Sicherheitsproblem kommt zur Tür herein, und hinter ihm marschiert sofort die Nachweismappe. Die Angriffsfläche soll kleiner werden, aber die Ablage wird größer. Der Router im Flur trägt Warnweste, weil irgendwer eine Rolle „zuständige Stelle“ auf ihn geklebt hat. Er blinkt grün, dann rot, dann wieder grün. Vielleicht ist das ein Sicherheitsvorfall. Vielleicht nur Dienstag.
Am Ende ist NIS-2 kein Monster aus Brüssel und auch kein Heilsautomat mit BSI-Aufkleber. Es ist eher ein Schraubenschlüssel, den jetzt sehr viele Betriebe in die Hand gedrückt bekommen. Manche werden damit endlich die lockere Platte festziehen. Manche werden ihn erst suchen, dann inventarisieren, dann in einem SharePoint verlieren. Und irgendwo im Hausflur steht der Router in seiner Warnweste und wartet darauf, dass jemand das Standardpasswort nicht mehr „Sommer2024!“ nennt. Ach eigentlich nein: Bitte auch nicht Sommer2026.
Quellenrand, nicht Theaternebel: Geprüft wurden die Bundesregierung zur NIS-2-Umsetzung, die BSI-Pressemitteilung vom 13. November 2025 und die Bundestagsdokumentation zum beschlossenen Gesetz. Die Warnweste ist satirisch. Der Router hat keine Stellungnahme abgegeben.
Schreibe einen Kommentar