DSGVO & Videoüberwachung: Was Unternehmen beachten müssen
1. Februar 2026
Der SicherBlick Podcast
NIS2 ist Gesetz – und plötzlich sind nicht mehr 4.500, sondern rund 30.000 Unternehmen betroffen
Es gibt Themen, bei denen selbst die, die eigentlich gerne informiert sind, irgendwann nur noch die Augen rollen. NIS2 ist so ein Thema. Viele haben es gehört, viele sind genervt, weil „schon wieder eine neue Pflicht“ im Raum steht – und gleichzeitig schieben es erstaunlich viele weiter vor sich her. Genau deshalb gibt es diese SicherBlick-Folge.
Ich spreche zum zweiten Mal mit Andrea Bartunek. Wir hatten bereits am 10. Juli 2025 eine Folge aufgenommen („Buzzword oder Pflichtprogramm – NIS2, KRITIS & Co: Jetzt handeln statt hoffen“). Damals war vieles noch Entwurf, Debatte, Vorstufe. Seit dem 06.12.2025 ist das vorbei. Denn seit diesem Tag ist NIS2 Gesetz – ohne Übergangsfristen. Es gilt.
Und genau darum geht es heute: Was ist seit dem 06.12.2025 anders? Was sind die drei Punkte, die du wirklich verstehen musst? Und was ist der pragmatische erste Schritt, ohne direkt ein Riesenprojekt loszutreten?
1) Der Kreis der betroffenen Unternehmen ist massiv gewachsen
Der erste Punkt ist der wichtigste. Andrea sagt es sehr klar: Der Kreis der betroffenen Unternehmen hat sich verändert – und zwar deutlich.
Vorher waren es vor allem klassische KRITIS-Betreiber und einige wenige weitere wichtige Branchen. Jetzt ist der Scope ausgeweitet. Genannt werden im Gespräch unter anderem Logistik, Maschinenbau, Lebensmittelproduktion, Pharma und digitale Dienste. Und damit ist es nicht mehr nur „Konzern-Thema“, sondern betrifft sehr viel stärker den Mittelstand.
Andrea nennt dazu eine Zahl, die hängen bleibt: Vorher waren es ungefähr 4.500 betroffene Unternehmen. Durch die Erweiterung reden wir jetzt von annähernd 30.000 direkt betroffenen Unternehmen. Das ist ein kompletter Maßstabswechsel.
Die Botschaft ist damit sehr simpel: Niemand sollte mehr automatisch davon ausgehen, „das betrifft uns nicht“. Es lohnt sich für jedes Unternehmen, mindestens einmal sauber zu prüfen, ob man im Scope ist.
2) Die Meldeanforderungen sind deutlich verschärft – und damit sportlich
Der zweite Punkt ist operativ – und genau da wird es für viele kritisch, weil es im Ernstfall unter Zeitdruck passiert.
Wer betroffen ist, muss Sicherheitsvorfälle innerhalb von 24 Stunden melden – beim BSI. Danach folgen weitere Zeitpunkte und Updates. Andrea beschreibt das sehr plastisch: Das ist bürokratisch, es müssen Informationen geliefert und Dokumente hochgeladen werden, und wenn man sich vorher nicht damit beschäftigt hat, wird das im Ernstfall „richtig sportlich“.
Was viele nicht wissen: Es geht nicht nur um die Meldung im Schadensfall. Sobald du weißt, dass du betroffen bist, musst du dich auch proaktiv registrieren und diesen Meldeprozess überhaupt erst einmal sauber kennen. Denn genau das ist der Unterschied zwischen „wir reagieren chaotisch“ und „wir sind handlungsfähig“.
3) Geschäftsführung ist unmittelbar in der Pflicht – inklusive persönlicher Haftung
Der dritte Punkt ist der, der am meisten Emotion auslöst: die Geschäftsführerpflichten.
Andrea sagt klar: Die Geschäftsführung ist unmittelbar in der Pflicht, sich um NIS2 zu kümmern – und kann im Zweifel persönlich haftbar gemacht werden. Es geht also nicht nur um „die juristische Person“, sondern auch um Verantwortung auf Geschäftsführungsebene.
Gleichzeitig bringt sie aber eine wichtige Einordnung, die Angst nimmt und den Fokus auf das Richtige lenkt: Das Ziel von NIS2 ist nicht, möglichst viele Geschäftsführer „zu erwischen“. Das Ziel ist, das Sicherheitsniveau zu erhöhen und Unternehmen resilienter zu machen. NIS2 ist bewusst so gebaut, dass es Gestaltungsspielräume lässt. Wer ernsthaft anfängt, wer Maßnahmen einleitet, wer Stand der Technik berücksichtigt, Mitarbeitende schult und Prozesse etabliert, schafft damit in der Regel auch den entscheidenden Haftungsschutz: Man kann zeigen, dass man getan hat, was möglich und erforderlich ist.
Der Satz, der daraus entsteht, ist im Kern einfach: Es geht nicht darum, perfekt zu sein. Es geht darum, anzufangen – und den Prozess sauber aufzusetzen.
Was soll ich jetzt konkret tun, wenn ich noch nicht angefangen habe?
Der wichtigste Teil dieser Folge ist der pragmatische Einstieg. Andrea beschreibt zwei Wege, die sehr gut zusammenpassen:
Erstens gibt es einen kostenfreien NIS2-Check beim BSI, der als erste Indikation dienen kann. Gleichzeitig weist sie darauf hin, dass dieser Check sehr allgemein ist und keine juristisch geprüfte Auskunft ersetzt. Trotzdem: Für viele Unternehmen ist es ein guter erster Schritt, weil man überhaupt ins Handeln kommt.
Zweitens nennt sie den Ansatz einer Gap-Analyse. Das ist im Grunde eine strukturierte Bestandsaufnahme: Welche Anforderungen müssen erfüllt sein, was ist im Unternehmen schon vorhanden, was fehlt? Daraus ergibt sich am Ende auch die Klärung, ob man betroffen ist – und falls ja, welche Maßnahmen als nächstes anstehen.
Und an dieser Stelle wird es in der Praxis häufig sehr deutlich: Es sind nicht nur technische Hürden. Es sind oft organisatorische Hürden. Wer intern keine Kapazität und Kompetenz hat, ein Informationssicherheitsmanagementsystem (ISMS) aufzusetzen und zu leben, braucht Unterstützung – zumindest für den Start.
ISMS, Notfallpläne und „wer ruft wen an“: Das klingt banal – ist aber der Kern
Im Gespräch entsteht ein sehr wichtiger praktischer Gedanke: NIS2 ist nicht nur Technik. Es ist Handlungsfähigkeit im Krisenfall.
Wenn etwas passiert, muss klar sein, wer wann wen anruft, wer entscheidet, wie dokumentiert wird, welche Kommunikationswege genutzt werden, wenn E-Mail oder Telefonanlage betroffen sind. Viele Unternehmen haben dafür keinen echten Notfallplan – und genau dann laufen alle „wuselig“ durcheinander, wie Andrea es beschreibt.
Ein ISMS ist deshalb nicht nur ein Dokumentenordner, sondern eine Struktur, die solche Abläufe definiert und regelmäßig überprüft. Und genau das ist im Sinne des Gesetzgebers: nicht Papier, sondern Resilienz.
Fazit: Weggucken ist vorbei – aber du musst nicht mit der großen Keule starten
Diese Folge ist im Kern eine Erinnerung: Seit dem 06.12.2025 ist NIS2 Gesetz. Es gibt keine Übergangsfristen. Der Kreis der Betroffenen ist größer geworden, die Meldepflichten sind schärfer, und die Geschäftsführung ist unmittelbar verantwortlich.
Aber gleichzeitig gilt: Du musst nicht morgen ein Mammutprojekt starten. Der richtige erste Schritt ist Klarheit. Prüfen, ob du betroffen bist. Registrieren, wenn ja. Und dann strukturiert anfangen – Gap-Analyse, Notfallpläne, Schulung, Zuständigkeiten. Wer anfängt, ist dem Großteil des Marktes bereits voraus.
Und genau das ist das Ziel: nicht hoffen, sondern handeln.
Über den Gast: Andrea Bartunek
Über SicherBlick
Der SicherBlick Podcast (Slogan: „Sicherheit hat keine Grauzone“) ist ein deutschsprachiges Audioformat, das sich intensiv mit der Sicherheitsbranche auseinandersetzt. Der Fokus liegt dabei besonders auf der mobilen und temporären Sicherheitstechnik.
Wer steckt dahinter?
Moderiert wird der Podcast von David Smyczek, in seiner Rolle als Inhaber von Smyczek Consulting. David ist ebenfalls der Gründer von GuardUp. Er lädt regelmäßig Experten, Geschäftsführer und Brancheninsider ein, um über aktuelle Entwicklungen, technische Neuerungen und rechtliche Rahmenbedingungen zu sprechen.
