Die sog. „Network and Information Security Directive 2“, kurz NIS2, wird für viele Unternehmen in Deutschland und Österreich zum Gamechanger. Die EU-Richtlinie (EU 2022/2555) und das Ende 2025 verabschiedete deutsche Umsetzungsgesetz NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) – 6. Dezember 2025 offiziell in Kraft -erweitern den Kreis der Unternehmen, die in die Pflicht zur Meldung kommen, erheblich und verpflichten diese zu umfassenden Maßnahmen in den Bereichen Cybersecurity, Risk-Management und betriebliches Meldewesen. Zudem steigen die Anforderungen an die Geschäftsleitung, die künftig stärker für die Umsetzung und Überwachung der Sicherheitsmaßnahmen verantwortlich gemacht werden kann. Verstöße können dabei mit empfindlichen Sanktionen geahndet werden. Es gibt insbesondere keine Schonfrist.
Die wichtigsten Meilensteine und Termine für betroffene Firmen im Überblick:

• Pflicht seit Dezember 2025: Die Pflicht zur Cybersicherheit, zu den strengen Schutzmaßnahmen und zur schnellen Meldung von Hackerangriffen gilt seit dem Tag des Inkrafttretens unmittelbar.
• BSI-Registrierung (Frühjahr 2026): Anfang 2026 öffnete das Bundesamt für Sicherheit in der Informationstechnik (BSI) sein Meldeportal. Die offizielle Frist, bis zu der sich alle betroffenen Unternehmen dort registrieren mussten, lief bis zum 6. März 2026 (wobei das BSI eine verlängerte Kulanzfrist bis zum 31. Juli 2026 gewährte).

Wer sich bis heute nicht darum gekümmert hat, befindet sich also bereits in der Zone, in der theoretisch Bußgelder drohen.

Die NIS2-Richtlinie ist wie eine neue, strenge Straßenverkehrsordnung für die digitale Welt. Weil Cyberangriffe immer gefährlicher werden, hat die Politik beschlossen: Unternehmen müssen sich viel besser gegen Hacker schützen als früher.

In Deutschland regelt das ein eigenes Gesetz (das sogenannte NIS2UmsuCG). Es sorgt dafür, dass IT-Sicherheit kein reines Thema mehr für die Computer-Abteilung ist, sondern zur Chefsache wird.

Welche Unternehmen sind verpflichtet?

Früher betrafen solche Regeln nur die ganz großen Akteure, wie Kraftwerke oder Wasserwerke. Durch das neue Gesetzt betrifft es rund 30.000 Unternehmen in Deutschland: Wer mehr als 50 Mitarbeiter hat oder über 10 Millionen Euro Umsatz macht und in einer wichtigen Branche arbeitet (zum Beispiel im Transport, in der Medizin, bei Lebensmitteln oder in der Produktion), ist betroffen.

Was müssen die Unternehmen tun?

• Die digitalen Türen abschließen: Unternehmen müssen moderne Schutzmaßnahmen einrichten. Dazu gehören sichere Passwörter, Verschlüsselung von Daten, regelmäßige Updates und Notfallpläne für den Fall, dass doch mal ein Hacker durchkommt.
• Den Vorfall melden: Wird ein Unternehmen erfolgreich angegriffen, darf es das nicht mehr verheimlichen. Der Chef muss den Vorfall extrem schnell (oft innerhalb von 24 Stunden) an die Behörden melden.
• Sich registrieren: Jedes betroffene Unternehmen muss sich offiziell beim Bundesamt für Sicherheit in der Informationstechnik (BSI) anmelden, damit der Staat weiß, wer dazugehört.

Warum ist das Gesetz ein „Gamechanger“?

Das Gesetz hat echte Zähne. Wenn eine Firma die Regeln ignoriert, drohen hohe Geldstrafen, die auch in die Millionen gehen können.

Das Wichtigste ist: Die Unternehmensführer haften persönlich. Geschäftsführer können sich nicht mehr herausreden, sie hätten von der IT keine Ahnung. Kümmern sie sich nicht darum, müssen sie im schlimmsten Fall mit ihrem privaten Geld für Schäden geradestehen. Deshalb verändert NIS2 gerade alles – IT-Sicherheit wird jetzt in den Führungsetagen endlich ernst genommen.

Beschleunigt durch die einschneidenden wirtschaftlichen Effekte der Corona-Krise hat die Bundesregierung – neben dem Covid-19-Insolvenzaussetzungsgesetz (kurz: CovInsAG), dass die Regeln der Insolvenzanmeldung (und –anfechtung) mehrmals mit verschiedenen Stellschrauben bzgl. der Voraussetzungen vorübergehend änderte – das Gesetz zur Fortentwicklung des Sanierungs- und Insolvenzrechts (kurz: SanInsFoG) verabschiedet. 

Maßgeblich ist ein vorinsolvenzlicher Restruktuierungsrahmen, der im Unternehmensstabilisierungs- und Restrukturierungsgesetz (kurz: StaRUG) definiert wird. Ziel ist es, eine Insolvenz zu vermeiden.

Das StaRUG ergänzt und verändert auch die Insolvenzordnung (InsO), die zuletzt umfangreich durch die ESUG reformiert wurde, in der u.a. die Insolvenzanfechtung wirtschaftlicher Realität angepasst wurde (Die ProCreda hatte auch hier Mandanten in Rundschreiben und Informationsgesprächen informiert sowie allgemeine Hinweise betreffend den Rahmen Kreditversicherung veröffentlicht).

Die StaRUG kann substantiell als „Vorwärts-Ausweitung“ zur Grundidee der Insolvenzordnung betrachtet werden:
Die moderne deutsche Insolvenzordnung wurde, zu Beginn des Jahrhunderts, als grundlegende Reform der deutschen Konkursordnung installiert, um Unternehmen in prekärer finanzieller Situation fortan in einen Sanierungs- statt Pleitemodus zu lenken. Mit anderen Worten: Auch die Insolvenzordnung gründet bereits fundamental auf einer going-concern-Philosophie von Unternehmen in wirtschaftlich holprigen Phasen statt deren Zerschlagung.

Die StaRUG setzt dementsprechend etwas früher als die InsO an, indem das Unternehmen durch einen geeigneten Restrukturierungsplan (Abk.: ReStruPla) entwickelt, der dadurch im Idealfall eine Insolvenzanmeldung vermeidet. Man erhofft sich eine höhere Erfolgswahrscheinlichkeit eines positiven Sanierungsresultats.

Die bedeutende Stellschraube: Der Restrukturierungsplan muss nicht zwangsweise durch alle Gläubiger ratifiziert werden, sondern kann bereits bei einem ¾ Quorum von Gläubigergruppen in Geltung gebracht werden. 
Dies gilt sowohl innerhalb einer Gläubigergruppe als auch zwischen Gläubigergruppen.
Limitiert wird diese Überstimmung, als wesentliche Bedingung, nur dadurch, dass dissendierende Gläubiger (-gruppen) nicht schlechter gestellt werden dürfen als ohne Plan und diese überstimmten Gläubiger angemessen beteiligt werden (§ 26 StaRUG)

Wir werden in den kommenden Monaten interessiert beobachten, wie viele Unternehmen diese Möglichkeit real nutzen werden und daraus eine effiziente, nachhaltige Restrukturierung schaffen oder umgekehrt doch eine Insolvenzanmeldung zwangsweise folgt (aus der gleichwohl auch eine Weiterführung resultieren kann!).

Welche Auswirkungen hat das StaRUG auf die Kreditversicherung, auf Lieferanten-Gläubiger und sonstige Kreditoren? 
Die gute Nachricht: Es gibt günstige Lösungen bei Forderungsausfällen durch derartige Restrukturierungspläne.

Als Fach-Makler für Kreditversicherung – hierunter auch die Delkredere-Versicherung (Warenkreditversicherung) – unterstützen wir unsere Mandaten bei Lösung zur Absicherung von Forderungsausfällen, die durch Abschreibungen von Forderungen durch das StaRUG entstehen.

Gerne können Sie uns zu Details anfragen und Herrn Hillgner oder Herrn Neusser direkt kontaktieren.