Es kommt keine Post vom Amt

Vor zwei Wochen ging es um den Satz „Das macht unsere IT“, letzten Sonntag um die Tür, die Hilfsbereitschaft heißt. Heute geht es um etwas, das nicht kommt: ein Brief. Viele Unternehmer warten darauf, dass eine Behörde ihnen schreibt, welche Pflichten für sie gelten. Ich muss Ihnen sagen: Sie wird nicht schreiben.

„Ich muss prüfen, ob ich prüfen muss?“

In meinem Buch „Zukunft mit der Datenmacht des Mittelstands“ wartet Thomas Hartmann auf ein Zeichen. Nicht bewusst, niemand würde es so formulieren. Aber innerlich erwartet er, dass irgendjemand Bescheid gibt, wenn sein Unternehmen wirklich gemeint ist. Ein Schreiben, ein Portalhinweis, ein Aktenzeichen. So ist man es gewohnt. Das Finanzamt meldet sich. Die Berufsgenossenschaft meldet sich. Der Kunde meldet sich. Irgendjemand meldet sich immer.

Bei Cyber-Pflichten funktioniert dieses Abwarten gefährlich schlecht. Die neue Lage verlangt von Unternehmen, sich selbst zu prüfen: Branche, Größe, Tätigkeit, Rolle in der Lieferkette, digitale Abhängigkeiten, Kundenvorgaben, Versicherungsbedingungen. Hartmann findet das unbefriedigend. „Sie meinen, ich muss prüfen, ob ich prüfen muss?“ – „Ja“, sagt seine kaufmännische Leiterin. „Und wir sollten das schriftlich tun.“ Das klingt nach Bürokratie. Es ist der Anfang einer Verteidigungslinie.

Was seit Dezember gilt

Ich werde Ihnen hier keine Paragrafen vorlesen. Aber drei Dinge sollte jeder Geschäftsführer wissen, und zwar ohne dass ihm jemand schreibt.

Erstens: Das deutsche NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Ohne Übergangsfrist. Es betrifft nicht mehr nur Kraftwerke und Wasserwerke, sondern in den genannten Sektoren – darunter Maschinenbau, Logistik, Lebensmittel, Chemie – jedes Unternehmen ab 50 Mitarbeitern oder zehn Millionen Euro Umsatz. Aus rund 4.500 betroffenen Unternehmen wurden auf einen Schlag rund 30.000. Und das Entscheidende: Niemand wird angeschrieben. Wer betroffen ist, muss sich selbst beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Die Frist dafür ist im März abgelaufen. Wer bis heute nicht geprüft hat, ob er dazugehört, ist nicht „noch nicht dran“. Er ist im Verzug.

Zweitens: Dasselbe Gesetz macht Cybersicherheit ausdrücklich zur Aufgabe der Geschäftsleitung. Sie muss die Maßnahmen billigen und überwachen, sie haftet persönlich, wenn sie das unterlässt, und sie muss sich selbst schulen lassen. Nicht die IT-Leitung – die Geschäftsführer, Vorstände, geschäftsführenden Gesellschafter. Das ist genau der Satz, den ich vor zwei Wochen aus dem Buch zitiert habe: Aufgaben kann man delegieren, Verantwortung nicht. Jetzt steht er im Gesetz.

Drittens: Die europäische KI-Verordnung, der AI Act, gilt bereits – nur nicht auf einen Schlag, sondern in Stufen. Seit Februar 2025 muss jedes Unternehmen, das KI einsetzt, dafür sorgen, dass seine Mitarbeiter sie kompetent nutzen können. Seit dem 2. August 2026 gelten die Transparenzpflichten: Ein Chatbot auf Ihrer Website muss sich als KI zu erkennen geben. Die strengen Pflichten für Hochrisiko-Systeme, etwa in der Personalauswahl, hat Brüssel im Sommer auf Dezember 2027 verschoben. Wer daraus „dann habe ich ja noch Zeit“ liest, hat den ersten Punkt nicht verstanden: Die Kompetenzpflicht gilt seit anderthalb Jahren.

Und die Datenschutz-Grundverordnung, der dritte Buchstabensalat, gilt seit 2018. Über sie muss ich Ihnen nichts mehr erzählen. Aber ich erlebe in Mandantengesprächen, wie oft sie mit KI-Nutzung kollidiert, ohne dass es jemand gemerkt hat: Kundendaten in ein Chatfenster kopiert – schon ist es geschehen.

Drei Prüfungen statt einer

Hartmann will eine klare Antwort: „Sind wir betroffen – ja oder nein?“ Die Frage ist verständlich. Sie greift aber zu kurz. Es sind drei Prüfungen. Die rechtliche: Welche Gesetze gelten unmittelbar, nach Mitarbeiterzahl, Umsatz, Sektor? Die wirtschaftliche: Was verlangen Kunden, Banken, Versicherer? Wer einen Großkunden verliert, weil er Sicherheitsanforderungen nicht nachweisen kann, hat wenig davon, rechtlich knapp unter einer Schwelle zu liegen. Und die operative: Wie abhängig ist der Betrieb tatsächlich von Systemen, Daten, Dienstleistern? Ein Unternehmen kann regulatorisch klein wirken und operativ hoch verwundbar sein.

Ein paar Tage später ruft Hartmanns Cousin Klaus an, Geschäftsführer der Familienholding. „Thomas, betrifft uns das auch? Wir haben doch nur drei Leute.“ Früher hätte Hartmann geantwortet: „Nein, Klaus, natürlich nicht.“ Jetzt sagt er: „Kommt darauf an.“ Das ist die bessere Antwort. Denn oft haben genau die kleinen Gesellschaften die Schlüssel: zentrale IT-Verträge, Administratorrechte, Cloud-Zugänge. Klein heißt nicht unwichtig.

Unklarheit ist keine Entlastung

Unklare Rechtslagen haben eine merkwürdige Wirkung: Sie beruhigen kurzfristig. Solange etwas nicht eindeutig ist, kann man sich einreden, nicht gemeint zu sein. Solange andere lauter betroffen wirken, kann man hoffen, noch Zeit zu haben. Aber Unklarheit ist keine Entlastung. Sie ist ein Auftrag zur Klärung. Niemand wartet darauf, dass die Bank erklärt, ob Liquidität wichtig ist. Niemand wartet auf einen Steuerbescheid, bevor er eine steuerliche Struktur prüft. Bei Cyber wird trotzdem gewartet.

Deshalb geht es am Ende bei Hartmann nicht um ein Gutachten, sondern um eine Akte. „Wir machen eine Akte“, sagt seine kaufmännische Leiterin. Hartmann verzieht das Gesicht: „Noch eine?“ – „Ja. Eine, die uns später helfen kann.“ Darin steht, was die Geschäftsleitung wirklich wissen muss: Welche Gesellschaften gehören zur Gruppe? Welche Kunden stellen Sicherheitsanforderungen? Welche Dienstleister haben kritische Zugriffe? Welche KI-Anwendungen sind im Einsatz? Ergebnis: betroffen, nicht betroffen oder weiter zu klären. Datum: dokumentiert. Die Akte ist nicht perfekt. Aber sie existiert. Das ist der Unterschied zwischen einem Unternehmen, das hofft, und einem, das prüft.

Warum wir das selbst sortiert haben

Ich habe vor drei Wochen erzählt, dass wir als Kanzlei das Cyber- und KI-Recht in einer Datenbank zusammengetragen haben, der Cyberpedia. Der Grund ist genau dieser Essay. Die Rechtslage, die ich oben in drei Absätzen beschrieben habe, hat sich allein in den letzten zwölf Monaten dreimal bewegt: das deutsche Gesetz im Dezember, die Registrierungsfrist im März, die Verschiebung aus Brüssel im Sommer. Wer das mit einem Merkblatt von 2024 prüft, prüft falsch. Ich sage das nicht, um Ihnen etwas zu verkaufen – die Datenbank ist frei zugänglich. Ich sage es, weil „wir waren uns nicht sicher“ vor einem Kunden, einem Versicherer oder einem Richter nur begrenzt hilft.

Meine Frage – und Ihre

Meine Frage an Sie ist die, die Hartmann so unbefriedigend fand: Haben Sie schriftlich geprüft, ob Sie prüfen müssen? Nicht im Kopf, nicht im Gefühl – auf einem Blatt, mit Datum und Ergebnis. Wenn nicht, dann ist das Ihre Aufgabe für Montag. Sie dauert keinen Tag. Und sie ist die erste Seite in der Akte, die Ihnen später hilft.

Und eine zweite Frage hebe ich mir für den Januar auf. Bei unserer Mandelblüte auf Mallorca, vom 28. bis 30. Januar 2027, sitzt mir ein Jurist gegenüber, die diese Frage von beiden Seiten kennen: Prof. Dr. Christian Bochmann, Partner bei Flick Gocke Schaumburg und Honorarprofessor für das Recht der Familienunternehmen. Ich werde ihn fragen: Wie viel von diesem Pflichtenkatalog erreicht einen Familienbetrieb mit 80 Mitarbeitern überhaupt – und wer erklärt ihm den Rest?

Am nächsten Sonntag geht es um den Morgen, an dem alles Prüfen nicht mehr hilft: 05:17 Uhr, elf Minuten vor dem Wecker, das Telefon klingelt. Und um die Frage, warum eine Versicherung an diesem Morgen nur so gut ist wie das, was man vorher getan hat.

Quellen: Willi Plattes, „Zukunft mit der Datenmacht des Mittelstands“, Kapitel 6; Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG), verkündet am 05.12.2025 (BGBl. 2025 I Nr. 301), in Kraft seit 06.12.2025, insbesondere § 28 und § 38 BSIG n.F.; BSI, Handreichung zur Schulung für Geschäftsleitungen; Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4 und Art. 50, sowie die Änderungsverordnung „Digital Omnibus on AI“ (2026); Programm Mandelblüte 2027, Stand 10.09.2026.