Handlungsfähig bleiben, wenn es darauf ankommt.Krisenvorsorge und Resilienz für den Mittelstand – unter Belastung geprüft

Regulatorische Anforderungen organisatorisch umsetzen: NIS2, KRITIS-Dachgesetz, ISO 22301 und BSI 200-4

Gesetzliche Pflichten betreffen heute nicht nur Großunternehmen. Mit dem NIS-2-Umsetzungsgesetz fallen auch viele mittelständische Unternehmen unter die Aufsicht des BSI; das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen zu Maßnahmen für ihre Widerstandsfähigkeit. Beide verlangen klare Zuständigkeiten, belastbare Nachweise und geordnete Meldewege. Wie sich das organisatorisch umsetzen lässt, beschreiben anerkannte Standards: ISO 31000 für das Risikomanagement, ISO 22301 und der BSI-Standard 200-4 für das Business Continuity Management.

Zur Einordnung: Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Nach Schätzung des BSI steigt die Zahl der beaufsichtigten Einrichtungen damit von rund 4.500 auf rund 29.500 (Quelle: BSI). Das KRITIS-Dachgesetz wurde am 16. März 2026 verkündet; welche Anlagen erfasst sind, bestimmt eine ergänzende Rechtsverordnung. Rund 80 Prozent der angezeigten Angriffe, zum Beispiel mit Ransomware, richteten sich im Berichtszeitraum Juli 2024 bis Juni 2025 gegen kleine und mittlere Unternehmen (Quelle: BSI-Lagebericht 2025).

Auch wer selbst nicht unter die Gesetze fällt, ist oft mittelbar betroffen: Regulierte Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen und geben Anforderungen an ihre Zulieferer weiter. Für mittelständische Unternehmen ist deshalb entscheidend, Anforderungen nicht isoliert zu sammeln, sondern sie mit Führung, Betrieb, digitalen Abhängigkeiten und externen Schnittstellen zu verbinden. Check Six unterstützt dabei, den eigenen Status strukturiert einzuordnen, Verantwortlichkeiten sichtbar zu machen und erforderliche Fachstellen rechtzeitig einzubinden.

Geschäftsführerhaftung: Warum Verantwortung Nachweise braucht

Nach einem Vorfall beginnt die zweite Krise oft erst Wochen später – am Verhandlungstisch. Gesellschafter, Aufsichtsrat, Insolvenzverwalter oder Versicherer stellen dann eine einfache Frage: Was wusste die Geschäftsführung, und was hat sie daraus gemacht? Gute Absichten helfen dabei wenig. Es zählt, ob Risiken angemessen eingeordnet, Entscheidungen auf ausreichender Grundlage getroffen, Aufgaben klar delegiert und die wesentlichen Schritte festgehalten wurden.

Wer als Organ in Anspruch genommen wird, muss in der Praxis häufig selbst belegen, sorgfältig gehandelt zu haben – oft als Beweislastumkehr beschrieben. Fehlen die Unterlagen, steht eine Erinnerung gegen einen Schaden. Für Unternehmen unter NIS2 kommt eine ausdrückliche Pflicht hinzu: Die Geschäftsleitung muss das Risikomanagement umsetzen und überwachen und sich regelmäßig schulen lassen (§ 38 BSIG). Die Arbeit lässt sich an Fachleute geben, die Aufsicht darüber bleibt in der Chefetage.

Und die D&O-Versicherung? Sie federt finanzielle Folgen ab. Doch auch der Versicherer fragt nach Belegen, und viele Policen schließen wissentliche Pflichtverletzungen aus. Sie ersetzt keine nachvollziehbare Dokumentation.

Hier setzt Check Six an: Wir halten mit Ihnen Zuständigkeiten, Entscheidungswege und Prioritäten so fest, dass sie im Ernstfall tragen und einer späteren Prüfung standhalten können. Die TacEval liefert dazu einen besonders aussagekräftigen Beleg, weil sie zeigt, wie Ihre Organisation unter realistischen Bedingungen handelt. Ein Nachweis, der vor dem Ernstfall entsteht, wiegt mehr als jede Rekonstruktion danach.