NIS2 und ausgemusterte IT-Hardware: Was Geschäftsleitungen jetzt nachweisen müssen

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es hat das BSI-Gesetz neu gefasst und den Kreis der regulierten Unternehmen vervielfacht: Nach Schätzung der Bundesregierung fallen rund 29.500 Einrichtungen unter die neuen Pflichten, darunter viele Mittelständler aus Industrie, Logistik, Lebensmittel- und Chemiebranche, die bisher mit KRITIS nichts zu tun hatten. Die Registrierungsfrist beim BSI ist für die meisten von ihnen am 6. März 2026 abgelaufen. Jetzt geht es um die Umsetzung.

Dabei dreht sich die Diskussion fast immer um Firewalls, Meldewege und Multi-Faktor-Anmeldung. Ein Punkt fällt regelmäßig durch das Raster: das Lebensende der Hardware. Jedes ausgemusterte Notebook, jede SSD aus einem Server und jede alte Firewall verlässt das Haus mit Daten, Zugangsprofilen oder Konfigurationen. NIS2 verlangt nicht nur, dass damit sicher umgegangen wird, sondern dass Sie es belegen können. Dieser Beitrag zeigt, wo das im Gesetz steht, wer betroffen ist und wie ein prüffähiger Ablauf aussieht. Er ersetzt keine Rechtsberatung im Einzelfall.

Betrifft NIS2 überhaupt die Ausmusterung von Hardware?

Ja, und zwar über die zentrale Pflichtnorm. § 30 BSIG verpflichtet betroffene Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme, Komponenten und Prozesse zu vermeiden. Ein Datenträger, der unkontrolliert das Unternehmen verlässt, ist genau ein solches Vertraulichkeitsrisiko – unabhängig davon, ob er in einem Notebook, einem Server, einem Multifunktionsdrucker oder einem Router steckt.

Drei Stellen aus dem Maßnahmenkatalog in Absatz 2 greifen beim Ausmustern unmittelbar: die Sicherheit der Lieferkette einschließlich der Beziehungen zu Dienstleistern (Nummer 4), Konzepte für den Einsatz kryptografischer Verfahren (Nummer 8) und Konzepte für die Verwaltung von IKT-Systemen und -Produkten (Nummer 9). Dazu kommt ein Satz, der leicht überlesen wird: Nach Absatz 1 Satz 3 ist die Einhaltung der Pflichten zu dokumentieren. Die Maßnahmen sollen außerdem den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen.

Praktisch heißt das: Es genügt nicht, dass die Altgeräte irgendwie sicher verschwinden. Es braucht ein beschriebenes Verfahren und Belege, die zeigen, dass es angewendet wurde.

Wer ist betroffen – und wer spürt NIS2 nur indirekt?

Direkt betroffen sind Unternehmen, die einem der Sektoren in den Anlagen 1 und 2 des BSI-Gesetzes zugeordnet sind und die Größenschwellen aus § 28 BSIG erreichen. Als wichtige Einrichtung gilt in der Regel, wer mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist. Besonders wichtig ist eine Einrichtung aus den Sektoren der Anlage 1 ab 250 Mitarbeitenden oder ab 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme. Für Betreiber kritischer Anlagen, Vertrauensdiensteanbieter und bestimmte Telekommunikations- und DNS-Anbieter gelten Sonderregeln.

Anlage 2 ist der Grund, warum NIS2 im Mittelstand angekommen ist. Sie umfasst unter anderem Post- und Kurierdienste, die Abfallbewirtschaftung, Chemie, Lebensmittel, Anbieter digitaler Dienste, Forschung und große Teile des verarbeitenden Gewerbes – vom Maschinenbau über Elektronik und elektrische Ausrüstungen bis zum Fahrzeugbau. Ob Ihr Unternehmen dazugehört, lässt sich mit der Betroffenheitsprüfung auf der NIS-2-Informationsseite des BSI eingrenzen. Wer betroffen ist, muss sich nach § 33 BSIG spätestens drei Monate nach Erreichen der Schwellen beim BSI registrieren.

Indirekt betroffen sind deutlich mehr Unternehmen. Wer als Zulieferer oder Dienstleister für eine regulierte Einrichtung arbeitet, bekommt die Anforderungen über Verträge weitergereicht: Lieferkettensicherheit bedeutet, dass Ihr Kunde von Ihnen Nachweise verlangen wird. Wer seine Hardware-Ausmusterung ohnehin sauber dokumentiert, hat diese Frage schon beantwortet, bevor sie gestellt wird.

Was muss beim Lebensende eines Geräts konkret geregelt sein?

Das BSI-Gesetz selbst bleibt abstrakt. Die genaueste öffentliche Beschreibung liefert die Durchführungsverordnung (EU) 2024/2690 der Europäischen Kommission. Unter Nummer 12, „Anlagen- und Wertemanagement“, verlangt ihr Anhang ein Konzept für den Umgang mit Anlagen und Werten, das den gesamten Lebenszyklus abdeckt, ausdrücklich einschließlich Erwerb, Verwendung, Speicherung, Transport und Entsorgung. Das Konzept muss Vorschriften für die sichere Übertragung und für die unwiederbringliche Löschung und Vernichtung enthalten. Dazu kommen ein vollständiges, aktuelles Inventar, dessen Änderungen nachvollziehbar erfasst werden (Nummer 12.4), und Verfahren, mit denen Geräte beim Ausscheiden von Mitarbeitenden zurückgegeben oder gelöscht und das dokumentiert wird (Nummer 12.5).

Wichtig für die Einordnung: Unmittelbar verbindlich ist die Verordnung nach § 30 Absatz 3 BSIG nur für bestimmte digitale Anbieter, etwa Cloud- und Rechenzentrumsdienste, Managed Service Provider und Managed Security Service Provider. Für alle anderen ist sie kein Gesetz, aber die konkreteste Beschreibung dessen, was der europäische Gesetzgeber unter angemessenen Maßnahmen versteht. Wer sein Ausmusterungsverfahren an ihr ausrichtet, bewegt sich auf sicherem Boden, wenn später gefragt wird, was der Stand der Technik gewesen wäre.

Hinzu kommt der Blick auf die Hardware im Homeoffice: Geräte, die bei ausgeschiedenen Mitarbeitenden liegen, sind nach der Logik von Nummer 12.5 entweder zurückzuholen oder so zu sperren, dass sie keinen Zugriff mehr auf Ihre Systeme haben.

Warum ist Ihr Verwertungsdienstleister ein Thema der Lieferkettensicherheit?

Weil er physischen Zugriff auf Ihre Datenträger bekommt – oft mehr als jeder andere Dienstleister. Im Sinne von § 30 Absatz 2 Nummer 4 BSIG ist er damit ein Anbieter, dessen Sicherheitsniveau Sie bewerten und vertraglich absichern sollten. Die Durchführungsverordnung nennt in Nummer 5.1.4 die Punkte, die in Verträgen mit Dienstleistern geregelt sein sollten, soweit angemessen: Sicherheitsanforderungen, die Pflicht zur unverzüglichen Meldung von Sicherheitsvorfällen, ein Prüfrecht oder das Recht auf Prüfberichte, Regeln für Unterauftragnehmer und die Pflichten bei Vertragsende.

Für die Auswahl eines ITAD-Anbieters lassen sich daraus fünf klare Fragen ableiten, die Sie vor Auftragserteilung stellen sollten:

• Wo werden die Geräte zwischen Abholung und Löschung gelagert, und wer hat dort Zutritt?
• Werden Löschung oder Vernichtung an Subunternehmer weitergegeben – und wenn ja, an wen?
• Erhalten Sie einen Nachweis je Seriennummer oder nur eine Mengenbescheinigung?
• Wie schnell und über welchen Weg meldet der Dienstleister einen Verlust oder Vorfall?
• Dürfen Sie den Prozess prüfen oder Prüfberichte anfordern?

Soweit auf den Geräten personenbezogene Daten liegen, gehört außerdem ein Auftragsverarbeitungsvertrag dazu. NIS2 und DSGVO überschneiden sich hier, ersetzen sich aber nicht.

Haftet die Geschäftsleitung persönlich?

Sie ist jedenfalls persönlich in der Pflicht. Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Wer diese Pflicht schuldhaft verletzt, haftet der eigenen Einrichtung für den Schaden nach den Regeln des jeweiligen Gesellschaftsrechts. Außerdem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen. Delegieren lässt sich die Ausführung, nicht die Verantwortung.

Hinzu kommen die Bußgelder aus § 65 BSIG. Wer eine Maßnahme nach § 30 nicht oder nicht vollständig ergreift, riskiert bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro, bei wichtigen Einrichtungen bis zu 7 Millionen Euro; bei einem weltweiten Umsatz über 500 Millionen Euro steigt der Rahmen auf 2 bzw. 1,4 Prozent des Gesamtumsatzes. Bemerkenswert ist, dass derselbe Rahmen schon für die fehlende oder unvollständige Dokumentation gilt. Ein gutes Verfahren ohne Belege ist im Ernstfall also kaum besser als gar keins.

Wie sieht ein NIS2-fester Ablauf in der Praxis aus?

Er ist weniger aufwendig, als die Paragrafen vermuten lassen. Entscheidend ist, dass jeder Schritt eine Spur hinterlässt, die sich dem einzelnen Gerät zuordnen lässt. Sechs Schritte haben sich bewährt:

1. Inventar führen: Jedes Gerät mit Datenträger steht im IT-Asset-Management – mit Seriennummer, Standort, verantwortlicher Person und Schutzbedarf der Daten.
2. Regel festlegen: Das Konzept bestimmt vorab, welche Datenträger gelöscht und welche vernichtet werden, und wer die Ausmusterung freigibt.
3. Rückläufer einsammeln: Geräte aus Homeoffice, Außendienst und Offboarding werden aktiv zurückgeholt, Zugänge und Geräteverwaltung vorher sauber abgemeldet.
4. Gesichert übergeben: Die Geräte gehen verschlossen, mit Seriennummernliste und Übergabeprotokoll an den Dienstleister – siehe IT-Abholung im Unternehmen.
5. Löschen oder vernichten – und belegen: Zertifizierte Löschung nach NIST SP 800-88 Rev. 2 in Verbindung mit IEEE 2883-2022, physische Vernichtung nach ISO/IEC 21964, jeweils mit Nachweis je Seriennummer.
6. Zurückbuchen und überprüfen: Die Nachweise werden dem Inventar zugeordnet, das Gerät wird geschlossen. Das Konzept selbst wird in festen Abständen und nach größeren Änderungen überprüft.

Vergessen Sie dabei nicht die Geräte ohne klassische Festplatte. Switches, Router und Firewalls speichern Konfigurationen, VPN-Zugänge und Zertifikate – für einen Angreifer oft wertvoller als ein Stapel Office-Dokumente.

Heißt NIS2, dass Altgeräte vernichtet werden müssen?

Nein. Gefordert ist die unwiederbringliche Löschung oder Vernichtung, nicht die Vernichtung an sich. Ein Notebook, dessen SSD nach anerkanntem Standard nachweislich gelöscht wurde, erfüllt die Anforderung und behält seinen Marktwert. Vernichtet werden nur Datenträger, die sich nicht nachweislich löschen lassen oder deren Schutzbedarf es im Einzelfall verlangt. Pauschales Schreddern ist also nicht sicherer, sondern nur teurer – es vernichtet Restwert, der die Abwicklung in vielen Fällen vollständig trägt.

Die Reihenfolge bleibt trotzdem klar: erst der Nachweis, dann der Erlös. Sicherheit vor Tempo, Werterhalt vor Wertvernichtung. Genau hier unterscheiden sich Anbieter. Ein Standardprozess, der Ihren Bestand in eine Schablone presst, liefert selten die Belege, die Ihre Revision später sehen will. Wir schauen uns Ihren konkreten Fall an, geben Ihnen schnell eine verbindliche Zusage und bleiben Ihr fester Ansprechpartner, bis der letzte Nachweis im Inventar liegt. Vertrauen, das sich belegen lässt, ist unter NIS2 kein Marketingversprechen, sondern eine Pflicht. Wenn Sie Ihr Ausmusterungsverfahren prüfen oder neu aufsetzen wollen, sprechen Sie uns an – oder lesen Sie, wie wir IT-Hardware gemeinsam mit Partnern verwerten.

Passend dazu

• IT-Hardware ausmustern unter DORA: Was Banken, Sparkassen und Leasinggesellschaften nachweisen müssen
• Ankaufsangebote für IT-Hardware vergleichen: Festpreis, Erlösbeteiligung und die Abzüge dazwischen
• IT-Hardware ausmustern: Datensicherheit, DSGVO-Compliance und Wertrückgewinnung im Unternehmen
• IT-Hardware nachhaltig verwerten – gemeinsam mit BKN

Häufige Fragen zu NIS2 und der Ausmusterung von IT-Hardware

Gilt NIS2 auch für Unternehmen mit weniger als 50 Mitarbeitenden?

In der Regel nicht direkt. Unterhalb von 50 Mitarbeitenden und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme greifen die Größenschwellen des § 28 BSIG nicht. Ausnahmen gelten für Betreiber kritischer Anlagen, Vertrauensdiensteanbieter sowie bestimmte Telekommunikations- und DNS-Anbieter. Kleinere Zulieferer regulierter Unternehmen bekommen die Anforderungen allerdings häufig über Verträge weitergereicht.

Reicht es, Festplatten vor der Weitergabe zu formatieren oder auf Werkseinstellungen zurückzusetzen?

Nein. Formatieren und Zurücksetzen entfernen die Daten nicht verlässlich, bei SSDs schon gar nicht. Gefordert ist eine unwiederbringliche Löschung nach anerkanntem Verfahren, etwa NIST SP 800-88 Rev. 2 in Verbindung mit IEEE 2883-2022, oder eine physische Vernichtung nach ISO/IEC 21964 – jeweils mit Nachweis.

Welche Nachweise sollten wir für ausgemusterte Geräte aufbewahren?

Gerätegenaue Belege: das Übergabeprotokoll mit Seriennummernliste, für jedes Gerät das Lösch- oder Vernichtungsprotokoll mit Methode, Datum und Verantwortlichem sowie die Zuordnung zum Eintrag im Inventar. Eine Mengenbescheinigung über das Gesamtgewicht belegt nicht, was mit einem bestimmten Gerät geschehen ist.

Ist die Durchführungsverordnung (EU) 2024/2690 für unser Unternehmen verbindlich?

Unmittelbar verbindlich ist sie nach § 30 Absatz 3 BSIG nur für bestimmte digitale Anbieter, etwa Cloud- und Rechenzentrumsdienste sowie Managed Service Provider. Für andere Einrichtungen ist sie eine gute Orientierung, weil sie konkret beschreibt, was ein Konzept für den Lebenszyklus von Geräten bis zur Entsorgung enthalten soll.

Was droht, wenn die Dokumentation fehlt?

Nach § 65 BSIG ist schon die fehlende oder unvollständige Dokumentation der Maßnahmen eine Ordnungswidrigkeit. Der Bußgeldrahmen reicht bei besonders wichtigen Einrichtungen bis 10 Millionen Euro und bei wichtigen Einrichtungen bis 7 Millionen Euro, bei sehr großen Unternehmen bis 2 bzw. 1,4 Prozent des weltweiten Umsatzes.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Ob und in welchem Umfang NIS2-Pflichten für Ihr Unternehmen gelten, ist im Einzelfall zu prüfen. Stand: 30. September 2026.