Informationssicherheit bezeichnet den Schutz von Informationen vor Verlust ihrer Vertraulichkeit, Integrität und Verfügbarkeit – unabhängig davon, ob sie auf einem Server, auf Papier oder im Kopf eines Mitarbeitenden liegen. Für Unternehmen in Deutschland ist sie keine Frage der Risikobereitschaft mehr, sondern eine Rechtspflicht aus mehreren Richtungen: Datenschutzrecht, Cybersicherheitsrecht, Gesellschaftsrecht, Produktrecht.
Dieser Beitrag ordnet die Regelwerke ein, zeigt den gemeinsamen Maßnahmenkern, den sie verlangen, erklärt die Verantwortung der Geschäftsleitung und beschreibt, wie Unternehmen die Pflichten mit einem Managementsystem strukturiert und nachweisbar erfüllen.
Informationssicherheit, IT-Sicherheit, Cybersicherheit
Die drei Begriffe werden oft synonym verwendet, beschreiben aber unterschiedliche Reichweiten:
- Informationssicherheit ist der Oberbegriff. Sie umfasst alle Informationen in jeder Form und alle Maßnahmen – technische, organisatorische, personelle und physische. Die Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit.
- IT-Sicherheit ist der Teil, der informationstechnische Systeme betrifft: Server, Netze, Endgeräte, Anwendungen.
- Cybersicherheit meint den Schutz vor Angriffen aus dem vernetzten Raum – ein Ausschnitt der IT-Sicherheit mit Blick auf Bedrohungen von außen.
Die Unterscheidung ist praktisch relevant: Gesetze und Normen verlangen Informationssicherheit als Ganzes. Eine Firewall schützt nicht vor dem unbegleiteten Besucher in der Entwicklungsabteilung, und Verschlüsselung nützt nichts, wenn der Serverraum offen steht. ISO 27001 führt deshalb physische Controls als eigenes Thema, und der IT-Grundschutz widmet Gebäuden, Räumen und Zutritt ganze Bausteine.
Welche Gesetze Informationssicherheit verlangen
| Regelwerk | Gilt für | Kernpflicht | Sanktion |
|---|---|---|---|
| DSGVO, Art. 32 | Jedes Unternehmen, das personenbezogene Daten verarbeitet | Technische und organisatorische Maßnahmen nach Stand der Technik, Risiko und Kosten; Nachweispflicht nach Art. 5 Abs. 2 | Bis 10 Mio. Euro oder 2 % des Umsatzes; bei Grundsatzverstößen bis 20 Mio. Euro oder 4 % |
| NIS-2-Umsetzungsgesetz / BSIG | Besonders wichtige und wichtige Einrichtungen in 18 Sektoren ab 50 Mitarbeitenden bzw. 10 Mio. Euro Umsatz und Bilanzsumme | Risikomanagementmaßnahmen (§ 30), Meldung erheblicher Vorfälle in 24/72 Stunden (§ 32), Registrierung (§ 33), Pflichten der Geschäftsleitung (§ 38) | Bis 10 Mio. Euro oder 2 % bzw. 7 Mio. Euro oder 1,4 %; persönliche Haftung der Leitung |
| Geschäftsgeheimnisgesetz | Jedes Unternehmen mit schützenswertem Know-how | Rechtsschutz besteht nur für Informationen, die durch „angemessene Geheimhaltungsmaßnahmen“ geschützt sind | Verlust des Schutzes: Wer keine Maßnahmen nachweist, hat kein Geschäftsgeheimnis |
| GmbHG § 43 / AktG §§ 91, 93 | Geschäftsführer und Vorstände | Sorgfalt eines ordentlichen Geschäftsmanns, Risikofrüherkennung; IT-Risiken gehören dazu | Persönliche Haftung gegenüber der Gesellschaft |
| KRITIS-Dachgesetz | Betreiber kritischer Anlagen | Physischer Schutz und Resilienz nach Allgefahrenansatz, Risikoanalysen, Vorfallmeldung | Bußgelder, Anordnungen |
| DORA | Banken, Versicherer, Zahlungsdienstleister, IKT-Dienstleister des Finanzsektors | IKT-Risikomanagement, Drittparteienregister, Resilienztests, Meldewesen | Aufsichtsmaßnahmen, Bußgelder |
| Cyber Resilience Act | Hersteller von Produkten mit digitalen Elementen | Security by Design, Schwachstellenmanagement, Updates über den Lebenszyklus; Meldepflichten ab September 2026, volle Geltung ab Dezember 2027 | Bis 15 Mio. Euro oder 2,5 % |
| KI-Verordnung | Anbieter und Betreiber von KI-Systemen | Risikoklassifizierung, KI-Kompetenz, Transparenz; bei Hochrisiko-KI Risikomanagement und Aufsicht | Bis 35 Mio. Euro oder 7 % |
| TKG, EnWG, SGB V u. a. | Sektorgesetze für Telekommunikation, Energie, Gesundheit | Branchenspezifische Sicherheitskataloge und Nachweise | Je nach Gesetz |
Zwei Punkte werden dabei regelmäßig übersehen. Erstens: Die DSGVO und das Geschäftsgeheimnisgesetz gelten für jedes Unternehmen, auch weit unterhalb der NIS-2-Schwellen. Wer keine dokumentierten Schutzmaßnahmen hat, verstößt gegen Art. 32 DSGVO und verliert im Streitfall den Schutz seiner Geschäftsgeheimnisse. Zweitens: NIS-2 wirkt über die Lieferkette. Regulierte Kunden müssen ihre Lieferanten absichern und reichen die Anforderungen vertraglich weiter – ein Zulieferer mit 30 Mitarbeitenden bekommt sie so, als wäre er selbst erfasst. Mehr dazu in NIS-2 in der Lieferkette.
Der gemeinsame Kern: Was alle Regelwerke verlangen
Die Gesetze schreiben keine Produkte vor, sondern Schutzziele und ein Vorgehen. Der gemeinsame Nenner ist am konkretesten in § 30 BSIG ausformuliert und deckt sich mit dem, was DSGVO, DORA und CRA an anderer Stelle verlangen:
- Risikoanalyse und Sicherheitskonzept – wissen, welche Werte schützenswert sind, welche Bedrohungen bestehen und welche Maßnahmen daraus folgen.
- Bewältigung von Sicherheitsvorfällen – Erkennung, Reaktion, Eindämmung, Meldung.
- Backup, Wiederherstellung und Krisenmanagement – Business Continuity für die kritischen Prozesse.
- Sicherheit der Lieferkette – Lieferanten bewerten, Anforderungen vertraglich durchsetzen.
- Sicherheit bei Erwerb, Entwicklung und Wartung – einschließlich Schwachstellenmanagement und Patch-Prozess.
- Bewertung der Wirksamkeit – regelmäßig prüfen, ob die Maßnahmen tatsächlich wirken.
- Cyberhygiene und Schulung – Mitarbeitende als Teil des Schutzes, mit Nachweis.
- Kryptografie – Verschlüsselung in Übertragung und Speicherung.
- Personalsicherheit und Zugriffskontrolle – Berechtigungskonzept, Onboarding und Offboarding, Umgang mit Administrationsrechten.
- Multi-Faktor-Authentifizierung und sichere Kommunikation.
Zwei Eigenschaften machen aus dieser Liste eine Rechtspflicht statt einer Empfehlung: Die Maßnahmen müssen dem Stand der Technik entsprechen – also dem, was fachlich etabliert und verfügbar ist, nicht dem, was vor zehn Jahren üblich war – und sie müssen dokumentiert und nachweisbar sein. Eine Maßnahme, die existiert, aber nicht belegt werden kann, existiert für Aufsicht, Auditor und Gericht nicht.
Die Verantwortung der Geschäftsleitung
Informationssicherheit ist Führungsaufgabe, und zwar rechtlich. Geschäftsführer und Vorstände müssen nach § 43 GmbHG bzw. § 93 AktG die Sorgfalt eines ordentlichen Geschäftsmanns anwenden; der Aktiengesetzgeber verlangt in § 91 Abs. 2 ausdrücklich ein System zur Früherkennung bestandsgefährdender Risiken – und Ransomware, Datenabfluss oder der Ausfall der IT sind solche Risiken.
Für NIS-2-regulierte Einrichtungen konkretisiert § 38 BSIG diese Pflicht: Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzen sie die Pflicht, haften sie der Gesellschaft gegenüber für den Schaden. Die Aufgabe lässt sich an eine IT-Leitung oder einen Dienstleister delegieren – die Verantwortung nicht. Was sich delegieren lässt, ist die Vorbereitung: Ein externer Informationssicherheitsbeauftragter erarbeitet Entscheidungsvorlagen, berichtet den Umsetzungsstand und sorgt dafür, dass Beschluss, Überwachung und Schulung dokumentiert sind.
Die größten Risiken – und warum Maßnahmen oft nicht wirken
Der jährliche Lagebericht des BSI zeichnet seit Jahren ein konstantes Bild: Ransomware bleibt die größte Bedrohung für Unternehmen und Kommunen, zunehmend industrialisiert über Ransomware-as-a-Service; Phishing und Social Engineering sind der häufigste Einstiegsweg, durch KI-gestützte Personalisierung immer schwerer zu erkennen; Angriffe über die Lieferkette – kompromittierte Software, Dienstleister mit Fernzugriff – nehmen zu, und Schwachstellen in weit verbreiteter Software werden innerhalb von Stunden nach Bekanntwerden ausgenutzt.
Das eigentliche Problem vieler Unternehmen ist nicht das Fehlen von Maßnahmen, sondern deren Wirkungslosigkeit: Richtlinien, die niemand kennt; Backups, deren Wiederherstellung nie getestet wurde; Berechtigungen, die seit Jahren nicht überprüft wurden; ein Asset-Inventar, das bei der nächsten kritischen Schwachstelle nicht beantworten kann, wo das Unternehmen betroffen ist – wie der Fall PHP2Shell gezeigt hat. Deshalb verlangen alle Regelwerke die Wirksamkeitsprüfung: interne Audits, Übungen, Tests, Managementbewertung. Sicherheit, die nur im Dokument steht, ist für den Angreifer unsichtbar – und für den Auditor auch.
Umsetzung: Managementsystem statt Maßnahmenliste
Kein Gesetz schreibt wörtlich ein Informationssicherheits-Managementsystem vor. Aber alle verlangen systematisches, dokumentiertes, wiederholbares Vorgehen mit Verantwortlichen, Nachweisen und Verbesserung – und genau das ist ein ISMS. Zwei Rahmenwerke haben sich dafür etabliert:
- ISO/IEC 27001: die internationale Norm; risikobasiert, zertifizierbar, von Kunden und Ausschreibungen weltweit anerkannt. Deckt die Maßnahmen des § 30 BSIG strukturell ab und liefert zugleich die TOM-Dokumentation für Art. 32 DSGVO und die „angemessenen Maßnahmen“ des Geschäftsgeheimnisgesetzes.
- BSI IT-Grundschutz: die deutsche Methodik mit konkreten Bausteinen; für Behörden verbindlich, bei öffentlichen Auftraggebern, KRITIS und Defense faktisch vorgegeben. Zertifizierbar als „ISO 27001 auf Basis von IT-Grundschutz“.
Der Vorteil eines Managementsystems liegt in der Mehrfachnutzung: Dieselbe Risikoanalyse, dieselben Richtlinien und dieselben Nachweise bedienen DSGVO, NIS-2, Kundenfragebögen und – mit gezielten Ergänzungen – DORA, CRA oder die KI-Verordnung. Ohne System entstehen für jedes Regelwerk eigene Dokumente, die sich widersprechen und nie aktuell sind.
In fünf Schritten zur nachweisbaren Informationssicherheit
- Rechtslage klären. Welche Regelwerke gelten für Sie – direkt oder über Kunden? Für NIS-2 hilft die Betroffenheitsprüfung des BSI; das Ergebnis wird dokumentiert.
- Inventar und Risikoanalyse. Systeme, Daten, Prozesse, Dienstleister erfassen; Bedrohungen und Auswirkungen bewerten; Maßnahmen priorisieren. Das ist zugleich die Grundlage für Art. 32 DSGVO und § 30 BSIG.
- Rahmenwerk wählen und Verantwortung festlegen. ISO 27001 oder IT-Grundschutz, Geltungsbereich, ein benannter Informationssicherheitsbeauftragter – intern oder extern –, Beschluss der Geschäftsleitung.
- Maßnahmen umsetzen und dokumentieren. Entlang des gemeinsamen Kerns: Vorfallbehandlung und Meldeweg, Backup und Notfallkonzept, Berechtigungskonzept, Lieferantenbewertung, Schulung – jede Maßnahme mit Nachweis.
- Prüfen und verbessern. Internes Audit, Übung, Managementbewertung; bei Bedarf Zertifizierung als Nachweis gegenüber Kunden und Aufsicht.
Wie dieser Weg für NIS-2-regulierte Unternehmen im Detail aussieht, beschreibt unser NIS-2-Fahrplan in sechs Phasen; den Zertifizierungsweg nach ISO 27001 der ISO-27001-Leitfaden.
Fazit
Informationssicherheit ist in Deutschland durch DSGVO, Geschäftsgeheimnisgesetz und Sorgfaltspflicht für jedes Unternehmen Pflicht – und durch NIS-2, DORA, CRA und KI-Verordnung für immer mehr Unternehmen konkret ausformuliert. Die Regelwerke verlangen keine bestimmten Produkte, sondern ein Vorgehen: Risiken kennen, Maßnahmen nach Stand der Technik umsetzen, Wirksamkeit prüfen, alles nachweisen – unter Verantwortung der Geschäftsleitung. Ein Managementsystem nach ISO 27001 oder IT-Grundschutz ist der Weg, diese Pflichten einmal zu erfüllen statt für jedes Gesetz neu.
Wo Ihr Unternehmen steht, klären wir in einem Erstgespräch – mit Blick auf alle Regelwerke, die für Sie gelten.
