Am 5. Dezember 2025 ist das NIS-2-Umsetzungsgesetz in Kraft getreten. Für Unternehmen, die QR-Codes im öffentlichen Raum einsetzen, ergeben sich daraus neue Melde- und Sicherheitspflichten. Bei Verstößen sieht das Gesetz Bußgelder von bis zu 10 Millionen Euro sowie eine persönliche Haftung der Geschäftsleitung vor.
Was das NIS2-Gesetz regelt
Das NIS-2-Umsetzungsgesetz (Bundesgesetzblatt 2025 I Nr. 301) setzt die EU-Richtlinie 2022/2555 in deutsches Recht um. Es erweitert den Kreis der betroffenen Unternehmen und verschärft die Anforderungen an IT-Sicherheit, die Meldung von Sicherheitsvorfällen und die Haftung der Geschäftsleitung.
Das Gesetz unterscheidet zwischen 'besonders wichtigen Einrichtungen' und 'wichtigen Einrichtungen'. Für beide Kategorien gelten verbindliche Pflichten.
Betroffene Unternehmen und Sektoren
Das Gesetz erweitert den Kreis der verpflichteten Unternehmen erheblich:
Besonders wichtige Einrichtungen
Ab 250 Mitarbeiter ODER >50 Mio. € Umsatz
Energie, Transport, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum
Wichtige Einrichtungen
Ab 50 Mitarbeiter ODER >10 Mio. € Umsatz
Post/Kurier, Abfallwirtschaft, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Digitale Dienste, Forschung
Typische QR-Code-Anwendungen in betroffenen Sektoren:
- •Betreiber von E-Ladesäulen (Energiesektor)
- •Anbieter von Parkautomaten (Transport)
- •Banken mit QR-Codes in Briefen (Finanzwesen)
- •Krankenhäuser mit Patientenarmbändern (Gesundheit)
- •Gastronomieketten mit digitalen Speisekarten (Lebensmittel)
Die wichtigsten Pflichten nach § 30 BSI-G
Das Gesetz schreibt laut Gesetzestext umfassende Risikomanagementmaßnahmen vor:
Risikoanalyse
QR-Codes müssen als möglicher Angriffsvektor in der Risikoanalyse berücksichtigt werden
Incident Response
Für den Umgang mit Quishing-Vorfällen müssen Prozesse etabliert sein
Lieferkettensicherheit
Druckdienstleister für QR-Codes und Transportwege müssen geprüft werden
Schulungen
Mitarbeiter und Kunden müssen über Quishing-Risiken informiert werden
Multi-Faktor-Authentifizierung
Für den Zugriff auf QR-Code-Verwaltungssysteme vorgeschrieben
Meldepflichten: Erstmeldung binnen 24 Stunden
Für Sicherheitsvorfälle wie Quishing-Angriffe gelten nach § 32 gestaffelte Meldefristen:
24 Stunden: Erstmeldung
Unverzügliche Meldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit ersten Verdachtsmomenten
72 Stunden: Detailmeldung
Angaben zu Schweregrad, Auswirkungen und Kompromittierungsindikatoren
1 Monat: Abschlussmeldung
Vollständige Beschreibung des Vorfalls, der Ursachen und der ergriffenen Maßnahmen
Im Fall der mehr als 90 manipulierten Parkautomaten, die 2025 in Dortmund entdeckt wurden, hätte ein betroffener Betreiber den Vorfall nach den neuen Regeln binnen 24 Stunden melden müssen.
Persönliche Haftung der Geschäftsleitung
§ 38 des Gesetzes regelt die Verantwortung von Vorständen und Geschäftsführern:
Geschäftsleitungen sind verpflichtet, Risikomanagementmaßnahmen umzusetzen und zu überwachen. Bei Pflichtverletzung haften sie ihrer Einrichtung für schuldhaft verursachte Schäden.
Vorstände und Geschäftsführer haften damit bei Pflichtverletzungen auch persönlich – nicht nur das Unternehmen.
Geschäftsleitungen müssen zudem regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können.
Bußgelder von bis zu 10 Millionen Euro
§ 65 sieht folgende Bußgeldrahmen vor:
Besonders wichtige Einrichtungen
Bis 10 Mio. € oder 2% des weltweiten Jahresumsatzes
Wichtige Einrichtungen
Bis 7 Mio. € oder 1,4% des weltweiten Jahresumsatzes
Rechenbeispiel: Bei einem Stadtwerk mit 800 Mio. € Umsatz beträgt das maximale Bußgeld für einen nicht gemeldeten Quishing-Vorfall 16 Mio. €.
QRTrust: Funktionen mit Bezug zu NIS2-Anforderungen
QRTrust ist eine deutsche Plattform für QR-Code-Sicherheit. Folgende Funktionen beziehen sich auf Anforderungen des NIS2-Gesetzes:
Empfohlene Schritte zur NIS2-Umsetzung
Für Unternehmen mit öffentlichen QR-Codes empfehlen sich folgende Schritte:
Sofort (diese Woche)
Prüfen Sie Ihre NIS2-Betroffenheit anhand der Größenkriterien und der Sektorzuordnung
Kurzfristig (1-3 Monate)
Erstellen Sie ein Inventar aller öffentlichen QR-Codes und deren Ziel-URLs
Mittelfristig (3-6 Monate)
Richten Sie ein kontinuierliches Monitoring Ihrer öffentlichen QR-Codes und deren Ziel-URLs ein
Langfristig
Etablieren Sie Prozesse für regelmäßige Audits und die Nachweisführung
Fazit: NIS2 macht QR-Code-Sicherheit zur Pflicht
Mit dem NIS2-Umsetzungsgesetz zählen öffentliche QR-Codes zur schützenswerten IT-Infrastruktur. Quishing-Angriffe sind meldepflichtige Sicherheitsvorfälle, die Geschäftsleitung haftet persönlich.
Betroffene Unternehmen müssen die Anforderungen umsetzen, bevor ein erster Vorfall eintritt. Verstöße können Bußgelder und Haftungsansprüche gegen die Geschäftsleitung nach sich ziehen.
Rechtsquellen
- • Bundesgesetzblatt 2025 I Nr. 301: Gesetz zur Umsetzung der NIS-2-Richtlinie
- • BSI-Gesetz 2025 (BSIG) §§ 28-65
- • EU-Richtlinie 2022/2555 (NIS-2-Richtlinie)
Kostenlose NIS2-Erstberatung
QRTrust bietet Unternehmen mit öffentlichen QR-Codes eine Erstberatung zur NIS2-Compliance an.
Beratungstermin vereinbaren →Über QRTrust
QRTrust ist die erste deutsche QR-Code-Sicherheitsplattform, entwickelt in Dortmund. KI-gestützte Echtzeit-Erkennung, eine lokale Bedrohungsdatenbank und mehrstufige Sicherheitsprüfungen schützen Bürger, Behörden und Unternehmen vor Quishing-Angriffen. DSGVO-konform, gehostet in Deutschland.