NIS-2 Umsetzungsgesetz ab 2026: Warum Firmen-Smartphones jetzt zur Chefsache werden

Das Wichtigste in Kürze: Das NIS-2-Umsetzungsgesetz macht die Absicherung von Diensthandys für rund 29.500 Einrichtungen zu einem zentralen Bestandteil ihrer IT-Sicherheitsstrategie. Die Geschäftsleitung haftet persönlich. Mobile Device Management (MDM) liefert die geforderte, dokumentierte Geräte-Compliance: zentrale Verschlüsselung, Remote-Wipe und 2FA über die gesamte Flotte.

Inhalt

• Was NIS-2 für Ihre Geräte konkret bedeutet
• Warum das Firmenhandy das schwächste Glied ist
• Mobile Device Management: Definition und Funktionen
• BYOD, COPE oder CYOD: Welches Modell passt
• Wann sich das lohnt: die Entscheidungs-Trigger
• Vorteile und Nachteile im Überblick
• Was es kostet: ein Rechenbeispiel
• In sieben Schritten zur Geräte-Compliance
• Häufige Fragen

Was NIS-2 für Ihre Geräte konkret bedeutet

NIS-2 verpflichtet betroffene Unternehmen, ihr Risikomanagement nachweisbar zu organisieren: Das schließt jedes Gerät ein, das auf Unternehmensdaten zugreift, also auch Firmen-Smartphones. Wer Diensthandys nicht zentral verwaltet, kann die geforderte Geräte-Compliance nicht belegen.

Das NIS-2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025. Mit ihm wurde der Kreis der vom BSI beaufsichtigten Einrichtungen drastisch erweitert. Die Registrierungsfrist beim BSI ist inzwischen abgelaufen, die operative Prüf- und Durchsetzungsphase hat begonnen. Wer jetzt erst beginnt, steht unter Druck.

Statt bisher rund 4.500 Einrichtungen unterliegen nun etwa 29.500 Einrichtungen der BSI-Aufsicht, mit Pflichten zu Registrierung, zur Meldung erheblicher Sicherheitsvorfälle und zum Risikomanagement. Quelle: BSI, Pressemitteilung zum NIS-2-Umsetzungsgesetz.

Entscheidend für die Chefetage: Die Verantwortung ist nicht delegierbar. Geschäftsführung und Vorstand müssen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und sich zu Cyberrisiken schulen lassen. Cybersicherheit ist damit ausdrücklich Sache der Geschäftsleitung, nicht allein der IT-Abteilung. Bei Verstößen drohen erhebliche Bußgelder, die sich am weltweiten Jahresumsatz orientieren können. Genau deshalb wandert das vermeintliche Detailthema Diensthandy auf die Vorstandsagenda.

Warum das Firmenhandy das schwächste Glied ist

Das Firmenhandy ist mobil, immer online und voller Zugänge: E-Mail, Cloud-Speicher, Kundendaten, interne Chats. Der häufigste mobile Sicherheitsvorfall ist schlicht der physische Verlust des Geräts. Ohne Verschlüsselung und Fernlöschung wird ein verlorenes Diensthandy zum offenen Tor in die Unternehmenssysteme.

Im Alltag potenziert sich das Risiko. Geräte werden im Zug liegen gelassen, im Café gestohlen oder privat verliehen. Auf vielen Smartphones liegen Zugangsdaten dauerhaft gespeichert, Sitzungen bleiben offen, Apps synchronisieren im Hintergrund. Kommt ein solches Gerät abhanden, ist nicht nur die Hardware weg, sondern möglicherweise der Schlüssel zur kompletten Unternehmens-Cloud. Eine Datenpanne dieser Art ist nach DSGVO meldepflichtig und kann teuer werden.

Hinzu kommt der schleichende Wildwuchs: unterschiedliche Geräte, uneinheitliche Update-Stände, private Apps neben dienstlichen Daten. Wer hier keine zentrale Kontrolle hat, kann im Ernstfall weder schnell reagieren noch sauber dokumentieren, was auf dem Gerät geschah. Genau diese Nachvollziehbarkeit verlangt NIS-2.

Mobile Device Management: Definition und Funktionen

Mobile Device Management (MDM) ist die zentrale, software-gestützte Verwaltung aller mobilen Geräte eines Unternehmens. Über eine Konsole lassen sich Smartphones registrieren, mit Sicherheitsrichtlinien versehen, aus der Ferne sperren oder löschen und konsistent auf aktuelle Update-Stände bringen.

Im Kern liefert MDM für Firmen-Smartphones nach NIS-2 genau die Nachweisbarkeit, die die Richtlinie verlangt: Es macht jedes Gerät steuerbar und protokollierbar. Die wichtigsten Funktionen im Überblick:

• Verschlüsselung und Remote-Wipe: Geht ein Gerät verloren, lassen sich Unternehmensdaten aus der Ferne löschen, bevor sie in falsche Hände geraten.
• Geräteortung: Verlorene Diensthandys können lokalisiert werden.
• Erzwungene Richtlinien: PIN-Pflicht, automatische Sperre, 2FA und Update-Pflicht gelten einheitlich für die gesamte Flotte.
• Container: Berufliche und private Daten werden in getrennten Bereichen gehalten. Die IT kontrolliert nur den dienstlichen Container, der private Teil bleibt unangetastet.
• Audit-Trails: Aktionen werden protokolliert, was für NIS-2-Meldepflichten und interne Prüfungen die nötige Nachweisbarkeit schafft.

Wer mobile und stationäre Geräte gemeinsam steuern möchte, findet im Markt auch breitere Ansätze wie Unified Endpoint Management. Für den reinen Smartphone-Bestand reicht in vielen Betrieben jedoch ein solides MDM. Wie sich solche Werkzeuge in eine professionelle Betreuung einbetten lassen, zeigt der Beitrag zur IT-Betreuung für Unternehmen.

BYOD, COPE oder CYOD: Welches Modell passt

Vor der Technik steht die Grundsatzfrage, wem das Gerät gehört und wer es kontrolliert. NIS-2 verschiebt die Antwort spürbar weg vom privaten Gerät hin zu firmeneigenen, kontrollierten Modellen, weil nur diese eine durchgängig dokumentierte Compliance liefern.

Drei Grundmodelle stehen sich gegenüber. BYOD (Bring Your Own Device) nutzt private Hardware auch dienstlich. COPE (Corporate Owned, Personally Enabled) stellt firmeneigene Geräte mit eingeschränkter Privatnutzung bereit. CYOD (Choose Your Own Device) lässt die Mitarbeiter aus einem freigegebenen Katalog wählen, das Gerät bleibt aber im Eigentum der Firma.

Ein häufiger Stolperstein ist die Frage, ob Mitarbeiter ihr Diensthandy privat nutzen dürfen. Die gute Nachricht: Das ist steuerlich unkritisch. Nach § 3 Nr. 45 EStG bleibt der geldwerte Vorteil aus der privaten Nutzung betrieblicher Telekommunikationsgeräte steuerfrei. Das macht firmeneigene Modelle attraktiv, weil sie Kontrolle und Mitarbeiterkomfort verbinden.

Nach § 3 Nummer 45 EStG sind die Vorteile des Arbeitnehmers aus der privaten Nutzung betrieblicher Datenverarbeitungs- und Telekommunikationsgeräte steuerfrei. Quelle: § 3 EStG, gesetze-im-internet.de.

Wer von privater Hardware auf ein kontrolliertes Modell wechselt, sollte den Schritt sauber vertraglich begleiten. Stichworte sind die BYOD-Regelung im Arbeitsvertrag, die Zustimmung zur Verwaltungssoftware und, bei Mischnutzung, die Einbindung des Betriebsrats.

Wann sich das lohnt: die Entscheidungs-Trigger

Die meisten Unternehmen führen MDM nicht aus Begeisterung ein, sondern weil ein konkretes Ereignis den Handlungsdruck erzeugt. Diese Auslöser machen die Beschaffung von einem Soll zu einem Muss.

1. Festgestellte NIS-2-Betroffenheit: Die Selbstprüfung ergibt, dass das Unternehmen zu den regulierten Einrichtungen zählt. Damit wird zentrale Geräteverwaltung zur Pflicht. Die offizielle Betroffenheitsprüfung des BSI hilft bei der Einordnung.
2. Audit, Prüfung oder Vorfall: Eine BSI-Prüfung, ein internes Audit oder ein realer Datenschutzvorfall deckt fehlende Geräte-Kontrolle auf.
3. Verlorenes oder gestohlenes Gerät: Ein konkreter Geräteverlust zeigt schmerzhaft, was ohne Remote-Wipe auf dem Spiel steht.
4. Neue Mitarbeiter oder Geräte-Rollout: Wachstum oder ein Geräte-Refresh erzwingt einen standardisierten, dokumentierten Rollout statt manueller Einzelkonfiguration.
5. BYOD-Konflikt: Private Hardware liefert nicht die dokumentierte Compliance, die NIS-2 verlangt.
6. Kostencheck der Flotte: Der Vergleich der Folgekosten eines einzigen DSGVO-Vorfalls mit den geringen Kosten zentraler Verwaltung macht die Investition leicht begründbar.

Vorteile und Nachteile im Überblick

MDM ist kein Selbstzweck, sondern eine Versicherung mit messbarem Nutzen. Den klaren Vorteilen bei Sicherheit und Nachweisbarkeit stehen Einwände gegenüber, die sich mit guter Vorbereitung entkräften lassen.

Wichtig bei der Anbieterwahl: Das NIS-2 Umsetzungsgesetz verlangt auch die Absicherung der Lieferkette. Wer eine fremd verwaltete oder Cloud-basierte Lösung einsetzt, sollte prüfen, wer Zugriff auf die Verwaltungsplattform hat und wo Daten verarbeitet werden. Das Thema sichere Fernzugriffe behandelt vertiefend der Beitrag zur IT-Sicherheit im Betrieb.

Was es kostet: ein Rechenbeispiel

Die laufenden Kosten für zentrale Geräteverwaltung liegen meist im einstelligen Euro-Bereich pro Gerät und Monat. Diesem überschaubaren Betrag stehen die Folgekosten eines einzigen Datenschutzvorfalls gegenüber, die ein Vielfaches betragen können. Die Rechnung fällt fast immer zugunsten der Vorsorge aus.

Ein Beispiel in Größenordnungen, ohne erfundene Präzision: Ein Betrieb mit rund 30 Diensthandys kalkuliert für MDM einen niedrigen einstelligen Euro-Betrag je Gerät und Monat. Über die gesamte Flotte ergibt das einen überschaubaren monatlichen Posten. Demgegenüber steht der Aufwand eines gemeldeten DSGVO-Vorfalls: Untersuchung, Benachrichtigung Betroffener, mögliche Bußgelder und Reputationsschaden bewegen sich schnell in einer Größenordnung, die viele Jahre MDM-Lizenz finanzieren würde. Die zentrale Verwaltung ist damit weniger Kostenblock als Risikoprämie.

Ein zusätzlicher Hebel liegt im Tarif selbst. Werden mehrere SIM-Karten über einen gemeinsamen Pool-Tarif abgerechnet, gleichen sich Vielnutzer und Wenignutzer aus, ungenutztes Datenvolumen verfällt nicht am Einzelvertrag. In Kombination mit einer sauberen Geräteverwaltung lassen sich so Sicherheit und Mobilfunkkosten gleichzeitig in den Griff bekommen. Wer den Aufbau nicht selbst stemmen will, holt sich für das sichere Management der Firmen-Mobilgeräte einen Dienstleister, der MDM, Tarifstruktur und Netzabdeckung zusammen betrachtet. So wird aus der Pflicht ein planbarer Prozess.

Ein Randaspekt, der die Verwaltung vereinfacht: Mit eSIM lassen sich Profile digital aufspielen und wechseln, was Rollout und Gerätetausch beschleunigt und die physische Logistik reduziert.

In sieben Schritten zur Geräte-Compliance

Der Weg zur NIS-2-konformen Mobilflotte ist klar strukturiert. Diese Reihenfolge bringt Sicherheit und Nachweisbarkeit, ohne den Betrieb zu stören.

1. Betroffenheit prüfen: Mit der BSI-Prüfung klären, ob das Unternehmen unter NIS-2 fällt.
2. Bestand aufnehmen: Alle Diensthandys, Tarife und Zugriffe inventarisieren.
3. Modell festlegen: Zwischen BYOD, COPE und CYOD entscheiden und vertraglich verankern.
4. MDM auswählen: Lösung mit Container, Remote-Wipe, 2FA und Audit-Trails wählen, Lieferkette prüfen.
5. Richtlinien definieren: PIN-Pflicht, Updates, Verschlüsselung und Datentrennung als Standard setzen.
6. Rollout standardisieren: Geräte vorkonfiguriert ausrollen, Mitarbeiter schulen, Zustimmung dokumentieren.
7. Dokumentieren und überwachen: Maßnahmen protokollieren, regelmäßig prüfen, für Audits bereithalten.

Wer diese Schritte in ein übergreifendes softwaregestütztes Risikomanagement einbettet, verbindet die mobile Sicherheit mit der restlichen IT-Strategie und vermeidet Insellösungen.

Häufige Fragen