Am 6. Dezember 2025 trat das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft. Das Bundesgesetzblatt hatte das Gesetz am Vortag veröffentlicht, ohne Übergangsfrist, ohne Schonfrist. Für rund 29.500 Unternehmen und Einrichtungen in Deutschland gelten damit ab sofort verbindliche Pflichten im Bereich Cybersicherheit, Risikomanagement und Incident Reporting.

E-Mail steht dabei nicht zufällig im Zentrum der neuen Anforderungen. Laut Bitkom-Wirtschaftsschutzbericht 2025 wurden 62 Prozent der betroffenen Unternehmen durch ausspionierte E-Mails geschädigt, 73 Prozent meldeten digitale Sabotage. E-Mail ist der meistgenutzte Angriffsvektor und gleichzeitig das Kommunikationsmedium, das bei Sicherheitsvorfällen am häufigsten als Beweismittel benötigt wird.

Dieser Artikel richtet sich an CISOs, IT-Leiter, Compliance Officers und Geschäftsführer, die jetzt konkret handeln müssen. Er erklärt, wen das Gesetz trifft, welche Maßnahmen verpflichtend sind und warum E-Mail-Archivierung ein unterschätzter Baustein Ihrer NIS2-Compliance ist.

Bin ich betroffen? Der Schnellcheck

Das NIS2UmsuCG unterscheidet zwischen zwei Kategorien betroffener Einrichtungen, deren Pflichten sich in Umfang und Sanktionshöhe unterscheiden.

Sonderfälle, bei denen die Schwellenwerte nicht gelten: Betreiber kritischer Anlagen (KRITIS), qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Resolver sowie bestimmte Anbieter öffentlicher elektronischer Kommunikationsnetze sind unabhängig von ihrer Größe erfasst.

Wenn Ihr Unternehmen in einem der genannten Sektoren tätig ist und die Schwellenwerte überschreitet, gelten die Pflichten des NIS2UmsuCG für Sie, seit dem 6. Dezember 2025.

Registrierungsfrist: 6. März 2026 für wesentliche Einrichtungen

Wesentliche Einrichtungen waren verpflichtet, sich bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren. Die Registrierung erfolgt über das MELDEPFLICHT-Portal des BSI und umfasst Angaben zu Kontaktdaten, Sektorzugehörigkeit, Standorten und den eingesetzten Diensten.

Wenn Sie diese Frist verpasst haben, holen Sie die Registrierung unverzüglich nach. Das BSI hat angekündigt, zunächst auf Nachbesserung zu setzen, bevor Bußgelder verhängt werden. Dieses Zeitfenster ist jedoch begrenzt. Wichtige Einrichtungen sind ebenfalls registrierungspflichtig; für sie gelten gesonderte, noch festzulegende Fristen.

E-Mail als Angriffsvektor Nr. 1: warum NIS2 genau hier ansetzt

Die EU-Richtlinie (EU) 2022/2555, die das NIS2UmsuCG umsetzt, beschreibt in Erwägungsgrund 79 ausdrücklich, dass E-Mail zu den kritischen Kommunikationskanälen zählt, deren Sicherheit nicht allein technischen Teams überlassen werden darf. Die Zahlen belegen die Dringlichkeit:

• Business E-Mail Compromise (BEC) verursacht laut FBI IC3 weltweit mehr Schäden als jede andere Cybercrime-Kategorie.
• Phishing ist in 74 Prozent aller Sicherheitsvorfälle der initiale Angriffsvektor (Verizon DBIR 2025).
• Ransomware-Angriffe beginnen in über 60 Prozent der Fälle mit einer E-Mail.
• Laut Bitkom wurden bei 62 Prozent der betroffenen deutschen Unternehmen E-Mails ausgespäht.

NIS2 reagiert darauf nicht mit konkreten technischen Vorschriften für einzelne Protokolle, sondern mit einem risikobasierten Rahmen: Unternehmen müssen Maßnahmen ergreifen, die dem Stand der Technik entsprechen und die Risiken für ihre Netz- und Informationssysteme angemessen adressieren. E-Mail ist dabei regelmäßig eines der höchsten Risiken.

§30 BSIG: Die konkreten Risikomanagement-Pflichten

Der Kern der operativen Anforderungen findet sich in §30 des novellierten BSIG (Bundesgesetz über das Bundesamt für Sicherheit in der Informationstechnik). Die Norm verpflichtet wesentliche und wichtige Einrichtungen, geeignete, verhältnismäßige und wirksame technische, operative und organisatorische Maßnahmen zu ergreifen.

§30 Abs. 2 BSIG nennt konkrete Mindestmaßnahmen, von denen mehrere unmittelbar auf E-Mail-Systeme anwendbar sind:

Konzepte zur Risikoanalyse und Sicherheit für Informationssysteme: Ihre E-Mail-Infrastruktur muss in einer systematischen Risikoanalyse erfasst sein. Das schließt Mailserver, E-Mail-Gateways, Archivierungssysteme und die Anbindung an Cloud-Dienste ein.

Konzepte für den Einsatz von Kryptografie und Verschlüsselung: Transport- und Inhaltsverschlüsselung für E-Mail ist nicht mehr optional. TLS 1.2 oder höher für alle E-Mail-Übertragungen, S/MIME oder PGP für sensitive Kommunikation, Verschlüsselung ruhender Daten in Archiv- und Backup-Systemen.

Konzepte und Verfahren zur Behandlung von Sicherheitsvorfällen: Sie benötigen definierte Prozesse für die Erkennung, Klassifizierung, Eindämmung und Meldung von E-Mail-Kompromittierungen, mit klaren Eskalationswegen und benannten Ansprechpartnern.

Konzepte für Business Continuity und Krisenmanagement: E-Mail-Verfügbarkeit muss in Ihrem BCM-Plan explizit adressiert sein. Was passiert, wenn Ihr Mailserver kompromittiert wird? Wie lange können Sie ohne E-Mail arbeiten? Wie stellen Sie den Dienst wieder her?

Sicherheit der Lieferkette: Wer betreibt Ihren Mailserver? Wer Ihr E-Mail-Archiv? Cloud-Provider und Managed-Service-Anbieter müssen Sicherheitsanforderungen erfüllen, die Sie vertraglich vereinbaren und regelmäßig überprüfen müssen. Die NIS2-Durchführungsverordnung (EU) 2024/2690 präzisiert die Anforderungen für Cloud- und SaaS-Anbieter zusätzlich.

Grundlegende Cyberhygiene und Schulungen: Phishing-Sensibilisierung, sichere E-Mail-Nutzung und Erkennung von Social Engineering sind Pflichtbestandteile des Sicherheitsbewusstseins, das §30 fordert.

Konzepte für Zugriffskontrolle und Identity Management: Privilegierte Zugänge zu E-Mail-Infrastruktur und -archiven müssen mit MFA abgesichert, regelmäßig überprüft und bei Ausscheiden von Mitarbeitern unverzüglich entzogen werden.

24-Stunden-Meldepflicht bei Sicherheitsvorfällen

Art. 23 der NIS2-Richtlinie und §32 BSIG etablieren eine dreistufige Meldepflicht bei erheblichen Sicherheitsvorfällen. Ein Vorfall gilt als erheblich, wenn er den Betrieb erheblich stören kann oder konnte, wenn er erhebliche finanzielle Verluste verursacht hat oder wenn andere natürliche oder juristische Personen erheblich beeinträchtigt wurden.

Die drei Stufen:

Frühwarnung (24 Stunden): Innerhalb von 24 Stunden nach Kenntnisnahme muss eine erste Meldung an das BSI erfolgen, auch wenn noch keine vollständigen Informationen vorliegen. Bei E-Mail-Kompromittierungen (BEC, Phishing-Kampagnen gegen Mitarbeiter, unbefugter Zugriff auf Postfächer) ist diese Frist bereits sehr eng.

Aktualisierte Meldung (72 Stunden): Binnen 72 Stunden muss eine erste Bewertung des Vorfalls vorliegen: Schwere, Angriffsvektor, Kompromittierungsindikatoren.

Abschlussbericht (1 Monat): Spätestens einen Monat nach der Erstmeldung ist ein vollständiger Bericht mit Ursachenanalyse, ergriffenen Maßnahmen und Lessons Learned einzureichen.

Für CISOs bedeutet das konkret: Sie brauchen jetzt Prozesse und Werkzeuge, die eine E-Mail-Kompromittierung innerhalb von Stunden erkennbar machen und die forensische Analyse innerhalb von 72 Stunden ermöglichen. Ein vollständiges E-Mail-Archiv ist dabei kein optionales Extra, sondern operativer Bedarf.

§38 BSIG: Geschäftsführerhaftung und persönliche Verantwortung

Das NIS2UmsuCG enthält einen Aspekt, der in der Diskussion häufig unterschätzt wird: Die persönliche Haftung der Geschäftsleitung.

§38 BSIG verpflichtet die Leitungsorgane (Geschäftsführer, Vorstand, geschäftsführende Direktoren) zu folgendem:

Billigung der Maßnahmen: Die Leitungsorgane müssen die nach §30 BSIG erforderlichen Cybersicherheitsmaßnahmen billigen. Das bedeutet: Sie müssen die Maßnahmen nicht nur beauftragen, sondern inhaltlich verstehen und verantworten. Eine pauschale Delegation an den CISO oder IT-Leiter reicht nicht aus.

Überwachung der Umsetzung: Die Leitungsorgane sind verantwortlich für die ordnungsgemäße Umsetzung der Maßnahmen. Sie müssen regelmäßig Bericht erhalten, offene Punkte eskalieren und bei Mängeln korrigierend eingreifen.

Schulung: §38 Abs. 3 BSIG verpflichtet die Leitungsorgane, an Schulungen zur Cybersicherheit teilzunehmen und entsprechende Schulungen auch für Mitarbeiter anzubieten.

Gemäß §38 Abs. 2 BSIG können Leitungsorgane bei Verstößen persönlich haftbar gemacht werden. Die Haftung kann nicht durch gesellschaftsrechtliche Vereinbarungen ausgeschlossen werden. Bei wesentlichen Einrichtungen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (der jeweils höhere Betrag). Bei wichtigen Einrichtungen liegt das Maximum bei 7 Millionen Euro oder 1,4 Prozent des Umsatzes.

Wenn Sie als Geschäftsführer gefragt werden, ob Ihre E-Mail-Systeme den Anforderungen des §30 BSIG entsprechen, müssen Sie diese Frage beantworten können. Und die Antwort muss stimmen.

Wie E-Mail-Archivierung bei der NIS2-Compliance hilft

E-Mail-Archivierung erscheint auf den ersten Blick als Compliance-Thema für Steuerrecht und DSGVO. Für NIS2 ist sie jedoch ein eigenständiger Sicherheitsbaustein mit konkretem Nutzen für vier der zentralen Anforderungen.

Audit Trail und Forensik

Nach einem Sicherheitsvorfall (ob Phishing, BEC oder unbefugtem Postfachzugriff) sind die Fragen stets die gleichen: Was genau ist passiert? Welche Nachrichten wurden gelesen oder manipuliert? Wann hat der Angriff begonnen? Welche externen Parteien sind betroffen?

Ein vollständiges, unveränderliches E-Mail-Archiv gibt Ihnen die Antworten. Es dokumentiert jede ein- und ausgehende Nachricht mit Zeitstempel, Absender, Empfänger, Betreff und vollständigem Inhalt. Bei einer BEC-Attacke können Sie innerhalb von Minuten rekonstruieren, welche Rechnungen gefälscht wurden, welche internen Mitarbeiter betroffen waren und welche Gegenstellen informiert werden müssen. Das ist die Grundlage für den 72-Stunden-Bericht an das BSI.

Ohne Archiv sind Sie auf Logs angewiesen, die in der Regel nicht den vollständigen Nachrichteninhalt enthalten, und auf die Kooperation von Providern, die eigene Aufbewahrungsfristen haben.

Business Continuity

§30 Abs. 2 Nr. 2 BSIG fordert Konzepte für Business Continuity. Im Kontext E-Mail bedeutet das: Wie stellen Sie die E-Mail-Kommunikation nach einem Angriff wieder her? Wie schnell können Sie kompromittierte Postfächer säubern und den Betrieb aufnehmen?

Ein E-Mail-Archiv außerhalb der primären Mailinfrastruktur ist eine der wenigen Maßnahmen, die bei einem vollständigen Ausfall des Mailservers (etwa durch Ransomware) sofortige Handlungsfähigkeit erhält. Mitarbeiter können über das Archiv auf frühere Kommunikation zugreifen, offene Vorgänge identifizieren und priorisieren.

Nachweis und Dokumentation gegenüber dem BSI

§30 Abs. 7 BSIG verpflichtet wesentliche und wichtige Einrichtungen, die Wirksamkeit ihrer Maßnahmen regelmäßig zu überprüfen und gegenüber dem BSI nachzuweisen. Das setzt voraus, dass Sie belegen können, welche Sicherheitsvorfälle stattgefunden haben, wie sie behandelt wurden und welche Maßnahmen ergriffen wurden.

Das E-Mail-Archiv ist dabei Teil der Dokumentationskette: Es belegt, dass eingehende Nachrichten vollständig erfasst wurden, dass auf sicherheitsrelevante Nachrichten reagiert wurde und dass keine Kommunikationsspuren nachträglich manipuliert worden sind.

Datenschutz und Zugriffskontrolle nach DSGVO und §30 BSIG

Die Anforderungen an Zugriffskontrolle und Identity Management, die §30 Abs. 2 Nr. 5 BSIG stellt, gelten auch für das E-Mail-Archiv selbst. Ein Archiv, das ohne Rollenkonzept betrieben wird und auf das jeder IT-Mitarbeiter uneingeschränkt zugreifen kann, erfüllt weder NIS2 noch DSGVO. Rollenbasierter Zugriff, MFA und Zugriffsprotokollierung sind hier nicht optional.

NIS2-Compliance mit EasyMailArchive

EasyMailArchive ist für Unternehmen konzipiert, die E-Mail-Sicherheit und Compliance als operative Anforderungen verstehen, nicht als nachträgliches Audit-Thema.

Das System archiviert alle eingehenden und ausgehenden E-Mails unmittelbar nach Eingang: unveränderlich, mit Zeitstempel, vollständigem Inhalt und allen Anhängen. Die Verschlüsselung ruhender Daten (AES-256) und die TLS-verschlüsselte Übertragung adressieren die Kryptografieanforderungen des §30 Abs. 2 Nr. 3 BSIG direkt.

Für die Forensik nach einem Sicherheitsvorfall bietet EasyMailArchive eine Volltextsuche, die auch von Mitarbeitern außerhalb des IT-Teams genutzt werden kann. Das ist relevant, wenn der 72-Stunden-Bericht unter Zeitdruck erstellt werden muss. Suchfilter nach Absender, Empfänger, Datum, Betreff und Inhalt ermöglichen die präzise Abgrenzung eines Vorfalls.

Der rollenbasierte Zugriff beschränkt den Postfachzugriff auf berechtigte Nutzer. Alle Zugriffe werden protokolliert, für interne Audits und als Nachweis gegenüber dem BSI.

Wenn Sie prüfen möchten, ob Ihre E-Mail-Archivierung die Anforderungen des NIS2UmsuCG unterstützt, können Sie EasyMailArchive 30 Tage kostenlos testen.

Rechtlicher Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine rechtliche oder sicherheitstechnische Beratung. Die dargestellten Anforderungen basieren auf dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025), dem BSIG in der novellierten Fassung sowie der NIS2-Richtlinie (EU) 2022/2555 und der Durchführungsverordnung (EU) 2024/2690. Für Ihre konkrete Situation empfehlen wir die Abstimmung mit einem spezialisierten Rechtsanwalt oder einem BSI-zertifizierten IT-Sicherheitsdienstleister.