NIS2 in Deutschland: Was die neuen Pflichten für die Entsorgung alter IT bedeuten

Kurz gesagtDas BSI-Gesetz nennt die Ausmusterung nicht, verlangt aber dokumentierte Risikomanagementmaßnahmen nach § 30, die auch den Abgang von Hardware erfassen: Inventar, Löschen nach Stand der Technik, Nachweis je Gerät und ein geprüfter Dienstleister. Für Cloud-, Rechenzentrums- und IT-Dienstleister fordert die EU-Verordnung 2024/2690 ausdrücklich Regeln für Entsorgung und unwiederbringliche Löschung.

Seit dem 6. Dezember 2025 gilt in Deutschland ein neues BSI-Gesetz. Es setzt die EU-Richtlinie NIS2 um. Nach Angaben des BSI wächst der Kreis der beaufsichtigten Einrichtungen damit von etwa 4.500 auf rund 29.500. Das Wort Ausmusterung steht nicht im Gesetz. Seine Pflichten erfassen aber auch das Notebook mit Kundendaten, das den Betrieb verlässt.

Seit wann gilt das neue BSI-Gesetz?

Das neue Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) ist Artikel 1 des NIS2-Umsetzungsgesetzes. Es wurde am 2. Dezember 2025 ausgefertigt, am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Es ersetzt das bisherige BSI-Gesetz von 2009.

Ist Ihr Unternehmen erfasst?

§ 28 BSIG unterscheidet zwei Gruppen. Entscheidend sind Sektor und Größe.

Besonders wichtige Einrichtungen sind unter anderem Betreiber kritischer Anlagen sowie Unternehmen aus einer Einrichtungsart der Anlage 1 mit mindestens 250 Beschäftigten oder mit mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme. Anlage 1 umfasst etwa Energie, Finanzwesen, Gesundheit und digitale Infrastruktur.

Wichtige Einrichtungen sind Unternehmen aus einer Einrichtungsart der Anlagen 1 oder 2 mit mindestens 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Anlage 2 nennt etwa Abfallbewirtschaftung, Chemie, Lebensmittel und Teile des verarbeitenden Gewerbes.

Gezählt wird nach der KMU-Empfehlung der EU-Kommission (§ 28 Abs. 4). Für die Bundesverwaltung gilt gesondert § 29, siehe Behörden und Kommunen.

Was gilt für die Registrierung beim BSI?

Nach § 33 BSIG müssen sich erfasste Einrichtungen spätestens drei Monate nach dem Zeitpunkt registrieren, ab dem sie erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gelten. Wer seit Inkrafttreten erfasst ist, war also bis Anfang März 2026 dran. Das BSI weist ausdrücklich darauf hin, dass die gesetzliche Frist abgelaufen ist, und bittet Nachzügler, sich umgehend zu registrieren.

Der Weg führt über ein ELSTER-Organisationszertifikat aus „Mein Unternehmenskonto“ in das BSI-Portal, das seit dem 6. Januar 2026 freigeschaltet ist. Änderungen der Angaben sind unverzüglich mitzuteilen, spätestens binnen zwei Wochen ab Kenntnis.

Wo steckt die Ausmusterung in § 30?

§ 30 Abs. 1 BSIG verpflichtet erfasste Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT zu vermeiden. Die Einhaltung ist zu dokumentieren. Nach Abs. 2 sollen die Maßnahmen den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen.

Abs. 2 zählt zehn Bereiche auf, die mindestens abgedeckt sein müssen. Löschen, Entsorgen oder Ausmustern nennt keiner davon. Vier Nummern berühren das Lebensende von Hardware aber direkt:

Die rechte Spalte ist unsere Ableitung, nicht der Gesetzeswortlaut. Sie folgt aus Abs. 1: Ein Notebook, das ungelöscht in fremde Hände gerät, gefährdet die Vertraulichkeit Ihrer Daten wie ein ungesicherter Server.

Was gilt für Cloud-Anbieter, Rechenzentren und IT-Dienstleister?

Für elf digitale Einrichtungsarten sind die Vorgaben konkreter. § 30 Abs. 3 BSIG gibt dort einem EU-Durchführungsrechtsakt Vorrang: der Durchführungsverordnung (EU) 2024/2690. Sie gilt unter anderem für Anbieter von Cloud-Computing-Diensten, Rechenzentrumsdiensten, verwalteten Diensten (Managed Service Provider) und verwalteten Sicherheitsdiensten. Ihr Anhang nennt die Entsorgung beim Namen. Nach Nr. 12.2.2 muss das Konzept für die Behandlung von Anlagen und Werten den gesamten Lebenszyklus abdecken, ausdrücklich einschließlich Entsorgung, und Vorschriften für die unwiederbringliche Löschung und Vernichtung enthalten. Das Inventar muss vollständig, genau, aktuell und kohärent sein, regelmäßig überprüft werden und Änderungen nachvollziehbar festhalten (Nr. 12.4.1 und 12.4.3). Verlässt jemand das Unternehmen, sind Geräte in seiner Verwahrung abzugeben, zurückzugeben oder zu löschen, und das ist zu dokumentieren (Nr. 12.5). Verträge mit Dienstleistern müssen, soweit angemessen, deren Pflichten bei Vertragskündigung festlegen, etwa Abruf und Entsorgung der Informationen, die sie dabei erlangt haben (Nr. 5.1.4 h).

Nach Erwägungsgrund 26 kann ein umfassendes Inventar je Gerät unter anderem eine eindeutige Kennung, den Standort und das Ende der Lebensdauer enthalten.

Für alle anderen erfassten Unternehmen ist die Verordnung nicht verbindlich. Als Prüfmaßstab für das eigene Konzept taugt sie nach unserer Einschätzung trotzdem.

Was riskiert die Geschäftsleitung?

Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden nach dem jeweiligen Gesellschaftsrecht. Außerdem muss sie regelmäßig an Schulungen teilnehmen.

Für das Unternehmen kommen Bußgelder dazu. § 65 Abs. 2 erfasst zwei Fälle getrennt: Maßnahmen nach § 30 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreifen (Nr. 2) und ihre Einhaltung nicht, nicht richtig oder nicht vollständig dokumentieren (Nr. 3). Wer ordentlich löscht, aber nichts belegt, kann also schon gegen Nr. 3 verstoßen. Der Rahmen liegt bei bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen, bei mehr als 500 Millionen Euro Gesamtumsatz bei bis zu 2 beziehungsweise 1,4 Prozent davon.

Wie wird die Ausmusterung prüfbar?

Inventar bis zum letzten Tag

Ohne vollständige Inventarisierung lässt sich weder ein Risiko bewerten noch ein Abgang belegen. Erfassen Sie jedes Gerät mit Seriennummer und vermerken Sie, wann und an wen es das Haus verlassen hat. Auch Altgeräte im Keller zählen.

Löschen nach einem anerkannten Standard

Das Gesetz schreibt kein Löschverfahren vor, verlangt aber den Stand der Technik. Ein solcher Standard ist NIST SP 800-88 des US-Normungsinstituts NIST. Wer nach IT-Grundschutz arbeitet, ordnet das Verfahren dem Baustein CON.6 zu. Halten Sie die Regeln in einem Löschkonzept fest.

Nachweis je Gerät

Weil schon die fehlende Dokumentation bußgeldbewehrt ist, braucht jedes Gerät ein Löschprotokoll mit Seriennummer, verknüpft mit Ihrem Inventar. Woran Sie ein brauchbares Protokoll erkennen, steht in Was ein Löschprotokoll enthalten muss. Datenträger, die sich nicht löschen lassen, brauchen einen Nachweis über die Vernichtung. Zusammen ergibt das eine lückenlose Nachweiskette.

Den Dienstleister prüfen

Das BSI empfiehlt in seinem Infopaket zur Lieferkette, die gesamte Lieferkette einschließlich der Sub-Zulieferer zu verstehen und mit Dienstleistern vertragliche Vereinbarungen zu Risikomanagementmaßnahmen zu schließen. Klären Sie vorher Ort und Verfahren der Löschung. Gibt es einen Auftragsverarbeitungsvertrag? Wer vernichtet Datenträger, die sich nicht löschen lassen, und welchen Nachweis bekommen Sie darüber? Die Pflichten aus Art. 32 DSGVO zu technischen und organisatorischen Maßnahmen gelten daneben weiter.

Was Sie jetzt tun sollten

1. Betroffenheit klären. Prüfen Sie Sektor und Größe anhand von § 28 und den Anlagen 1 und 2, zum Beispiel mit der Betroffenheitsprüfung des BSI. Sind Sie erfasst und noch nicht registriert, holen Sie das über „Mein Unternehmenskonto“ und das BSI-Portal sofort nach.
2. Ausmusterung als eigenen Prozess beschreiben. Nehmen Sie den Abgang von Hardware in Ihre Maßnahmen nach § 30 auf, mit klarer Zuständigkeit und festem Ablageort für die Nachweise. Nr. 12.2.2 der Verordnung 2024/2690 eignet sich als Gliederung.
3. Bestand abgleichen. Gleichen Sie Ihr Inventar mit dem tatsächlichen Bestand ab, auch mit Lagern, Außenstellen und Geräten ausgeschiedener Mitarbeitender.
4. Dienstleister prüfen und vertraglich binden. Lassen Sie sich Verfahren, ein Muster-Löschprotokoll und Vernichtungsnachweise zeigen und fragen Sie nach Unterauftragnehmern, bevor das erste Gerät geht.
5. Nachweise prüfbar ablegen. Legen Sie Löschprotokolle, Übergabescheine und Vernichtungsnachweise so ab, dass Sie jedes Gerät aus dem Inventar bis zu seinem Nachweis verfolgen können.
6. Geschäftsleitung einbinden. Lassen Sie den Ablauf von der Geschäftsleitung billigen. Die Checkliste zur IT-Ausmusterung hilft beim Aufschreiben, besonders vor einem größeren Hardware-Wechsel.

So unterstützen wir Sie

Wir kaufen ausgemusterte IT an, vom einzelnen Gerät bis zum ganzen Lager. Vor jeder Abholung von Geräten mit Daten schließen wir einen Auftragsverarbeitungsvertrag. Für Berufsgeheimnisträger unterschreiben wir zusätzlich eine Verpflichtung zur Geheimhaltung nach § 203 StGB. Gelöscht wird in Deutschland mit Securaze nach NIST SP 800-88 Purge. Sie bekommen einen Übergabeschein und für jedes Gerät ein Löschprotokoll mit Seriennummer. Nicht löschbare Datenträger werden bei zertifizierten deutschen Recycling-Partnern physisch vernichtet, mit Zertifikat. Den Ablauf im Überblick finden Sie unter IT ausmustern, die Technik unter sichere Datenlöschung.

Keine Rechtsberatung. Stand der Angaben: 7. Oktober 2026.