NIS2 und E-Mail-Sicherheit: Der komplette Guide für Unternehmen 2026
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten – ohne Übergangsfrist. Rund 29.500 Unternehmen in Deutschland müssen die neuen Cybersicherheitspflichten sofort umsetzen. E-Mail steht dabei im Zentrum: Über 90 % aller erfolgreichen Cyberangriffe starten mit einer Phishing-Mail.
Dieser Guide erklärt, was NIS2 konkret für Ihre E-Mail-Infrastruktur bedeutet, welche Maßnahmen Pflicht sind und wie Sie die Anforderungen effizient umsetzen.
Was ist NIS2?
Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-weite Regulierung zur Stärkung der Cybersicherheit. In Deutschland wurde sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt und als novelliertes BSI-Gesetz (BSIG) am 6. Dezember 2025 veröffentlicht.
Im Kern verpflichtet NIS2 Unternehmen zu konkreten technischen und organisatorischen Maßnahmen im Bereich der Cybersicherheit – darunter explizit auch die Absicherung der E-Mail-Kommunikation.
Seit wann gilt NIS2 in Deutschland?
- 6. Dezember 2025: Inkrafttreten des NIS2-Umsetzungsgesetzes
- 6. Januar 2026: Start der BSI-Registrierung über das Meldeportal
- 6. März 2026: Ablauf der Registrierungsfrist (verspätete Registrierung weiterhin möglich)
- Keine Übergangsfrist: Die Pflichten gelten ab dem Tag des Inkrafttretens
Ist mein Unternehmen betroffen?
NIS2 betrifft Unternehmen, die mindestens eines der folgenden Kriterien erfüllen:
Größenkriterien:
- Ab 50 Mitarbeitende oder
- Ab 10 Mio. € Jahresumsatz und 10 Mio. € Jahresbilanzsumme
Sektorzugehörigkeit (18 Sektoren):
Besonders wichtige Einrichtungen:
- Energie (Strom, Gas, Öl, Wasserstoff)
- Transport und Verkehr
- Bankwesen und Finanzmarktinfrastruktur
- Gesundheitswesen
- Trinkwasser- und Abwasserversorgung
- Digitale Infrastruktur
- Öffentliche Verwaltung
- Weltraum
Wichtige Einrichtungen:
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Fertigung (Medizinprodukte, Elektronik, Maschinenbau, Kfz)
- Anbieter digitaler Dienste
- Forschung
Wichtig: Auch Zulieferer betroffener Unternehmen können indirekt verpflichtet werden – unabhängig von ihrer eigenen Größe.
Was fordert NIS2 für E-Mail-Sicherheit?
§30 BSIG definiert 10 Pflichtmaßnahmen für das Risikomanagement. Sechs davon betreffen die E-Mail-Sicherheit direkt:
Maßnahme Nr. 8: Kryptografie
Gesetzestext: Konzepte und Verfahren für den Einsatz kryptografischer Verfahren.
Für E-Mail bedeutet das:
- Transportverschlüsselung (TLS) für alle E-Mail-Verbindungen
- Inhaltsverschlüsselung (S/MIME oder PGP) für sensible E-Mails
- Dokumentiertes Kryptografie-Konzept mit Schlüsselmanagement
- BSI TR-02102 konforme Algorithmen – veraltete Verfahren wie MD5 oder SHA-1 sind nicht akzeptabel
Maßnahme Nr. 10: Sichere Kommunikation
Gesetzestext: Gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikation.
Für E-Mail bedeutet das:
- Gesicherte E-Mail-Kommunikation intern und extern
- Lösung für Empfänger ohne eigene Verschlüsselungsinfrastruktur
- Nachweisbare Zustellung mit Audit-Trail
Maßnahme Nr. 2: Incident Management
Gesetzestext: Bewältigung von Sicherheitsvorfällen.
Für E-Mail bedeutet das:
- Erkennung von Phishing, Malware und BEC-Angriffen in Echtzeit
- Quarantäne-Management für verdächtige E-Mails
- Lückenlose Nachvollziehbarkeit (Tracing) bei Vorfällen
- Meldepflichten: 24h Frühwarnung, 72h Bericht, 1-Monats-Abschluss
Maßnahme Nr. 5: Lieferkettensicherheit
Gesetzestext: Sicherheit in der Lieferkette einschließlich der Kommunikation.
Für E-Mail bedeutet das:
- Verschlüsselte Kommunikation mit Zulieferern und Partnern
- Sicherstellung der E-Mail-Integrität in der gesamten Supply Chain
- Automatische Verschlüsselung auch für Partner ohne eigene Infrastruktur
Maßnahme Nr. 1: Risikoanalyse
E-Mail als Angriffsvektor Nr. 1 muss in jeder Risikoanalyse zentral berücksichtigt werden. Transparenz über den gesamten Mailflow ist Pflicht.
Maßnahme Nr. 4: Business Continuity
E-Mail-Verfügbarkeit muss durch entsprechende Maßnahmen (Redundanz, SLA-Garantien, Failover) sichergestellt werden.
Die 5 E-Mail-Sicherheitsschichten nach NIS2
Um alle Anforderungen abzudecken, benötigen Unternehmen fünf Schutzschichten:
1. Spam- & Phishing-Schutz
- KI-basierte Bedrohungserkennung
- SPF, DKIM, DMARC Validierung
- URL-Filterung und Sandbox-Analyse
- Zero-Day-Schutz
2. E-Mail-Verschlüsselung
- S/MIME und/oder PGP für Inhaltsverschlüsselung
- TLS-Erzwingung für Transportverschlüsselung
- Zentrales Zertifikats- und Schlüsselmanagement
- Fallback-Lösung für Empfänger ohne Zertifikat
3. Data Loss Prevention (DLP)
- Erkennung sensibler Daten in ausgehenden E-Mails
- Richtlinienbasierte Filterung und Blockierung
- Verhinderung unbeabsichtigter Datenlecks
4. Audit-Logging & Tracing
- Lückenlose Protokollierung aller E-Mail-Ereignisse
- Revisionssichere Audit-Logs für Compliance-Nachweise
- E-Mail-Tracing für Vorfallsanalyse
- Exportierbare Reports für BSI-Audits
5. Sichere Notfallkommunikation
- Redundante E-Mail-Infrastruktur
- Verschlüsselte Kommunikation auch bei kompromittierten Systemen
- Alternative Kommunikationskanäle
NIS2 E-Mail-Sicherheit Checkliste
Nutzen Sie diese Checkliste, um Ihre E-Mail-Infrastruktur NIS2-konform zu machen:
- ☐ Transportverschlüsselung (TLS) für alle Verbindungen aktiviert
- ☐ Inhaltsverschlüsselung (S/MIME/PGP) für sensible E-Mails implementiert
- ☐ Kryptografie-Konzept dokumentiert und BSI TR-02102 konform
- ☐ Zentrales Zertifikats- und Schlüsselmanagement eingerichtet
- ☐ Spam- und Phishing-Filter mit KI-Erkennung aktiv
- ☐ SPF, DKIM und DMARC konfiguriert
- ☐ Quarantäne-Management für verdächtige E-Mails eingerichtet
- ☐ Audit-Logging und E-Mail-Tracing aktiviert
- ☐ Lösung für Empfänger ohne Verschlüsselung vorhanden
- ☐ Meldeprozess für E-Mail-Sicherheitsvorfälle definiert
- ☐ E-Mail-Verfügbarkeit durch Redundanz sichergestellt
- ☐ Mitarbeiterschulungen zu E-Mail-Sicherheit durchgeführt
Bußgelder & Geschäftsführerhaftung
Die Konsequenzen bei Nichteinhaltung sind erheblich:
Besonders wichtige Einrichtungen:
- Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtungen:
- Bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
Persönliche Haftung: Nach §38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Kommt sie dieser Pflicht nicht nach, haftet sie persönlich.
So setzen Sie NIS2-konforme E-Mail-Sicherheit um
Conbool ist die einzige Plattform, die alle drei E-Mail-Sicherheitsanforderungen auf einer Plattform vereint:
- SecureMail → §30 Nr. 8 (Kryptografie): Automatische S/MIME & PGP Verschlüsselung
- MailGuard → §30 Nr. 2 (Incident Management): KI-basierter Spam- & Phishing-Schutz
- Disclaimer → Compliance: Rechtssichere Pflichtangaben in jeder E-Mail
Die Einrichtung dauert Minuten statt Monate: Domain registrieren, MX-Record setzen, Richtlinien konfigurieren – fertig. Gehostet in ISO 27001 zertifizierten Rechenzentren in Frankfurt und Berlin.
Jetzt 30 Tage kostenlos testen →
Fazit
NIS2 macht E-Mail-Sicherheit zur Pflicht – mit persönlicher Geschäftsführerhaftung und Bußgeldern bis 10 Mio. €. Unternehmen, die jetzt handeln, schützen nicht nur ihre Kommunikation, sondern vermeiden auch empfindliche Strafen.
Die gute Nachricht: Mit der richtigen Lösung ist die Umsetzung in wenigen Minuten erledigt. Conbool deckt alle E-Mail-Anforderungen nach §30 BSIG ab – automatisiert, auditierbar und Made in Germany.
Weiterführende Artikel:
