Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. In den Projektplänen, die daraufhin entstanden sind, stehen Firewall, SIEM, Backup und Notfallkonzept. Die Geräteflotte fehlt auffällig oft, obwohl ein erheblicher Teil der Pflichten aus dem neuen BSIG genau dort landet: auf Smartphones und Tablets, die niemand vollständig inventarisiert hat.
Dieser Beitrag ordnet ein, was NIS2 von Ihren mobilen Endgeräten verlangt, was die DSGVO zusätzlich fordert, und warum Ihr Rollout ohne den Betriebsrat rechtlich nicht stattfindet.
Was seit Dezember 2025 tatsächlich gilt
Die NIS2-Richtlinie ist in deutsches Recht überführt worden, geregelt wird sie im BSIG. Für die Praxis sind vier Punkte relevant.
Sie müssen Ihre Betroffenheit selbst feststellen. Es gibt keinen Bescheid, der Ihnen mitteilt, dass Sie dazugehören. Maßgeblich sind Sektor, Unternehmensgröße und Umsatz. Wer als wichtige oder besonders wichtige Einrichtung eingestuft ist, registriert sich beim BSI. Die Gesetzesbegründung ging von rund 29.500 betroffenen Unternehmen aus, also von einer Größenordnung, die weit über die klassischen KRITIS-Betreiber hinausgeht.
Die Risikomanagementmaßnahmen sind eine Liste, keine Zertifizierung. Das Gesetz nennt Bereiche wie Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Sicherheit der Lieferkette, Kryptografie, Zugriffskontrolle und Asset-Management. Niemand verlangt von Ihnen ein Testat. Verlangt wird der Stand der Technik, angemessen zum Risiko, und vor allem: nachweisbar.
Die Meldefristen sind kurz. Eine erste Meldung eines erheblichen Sicherheitsvorfalls geht innerhalb von 24 Stunden an das BSI, eine ausführlichere nach 72 Stunden, der Abschlussbericht nach einem Monat. 24 Stunden bedeutet in der Realität: Sie müssen am selben Tag sagen können, welche Geräte betroffen waren, welche Nutzer damit gearbeitet haben und welcher Patch-Stand darauf lief.
Die Geschäftsleitung haftet persönlich. Sie muss die Umsetzung überwachen und sich schulen lassen. Das ist der Grund, warum NIS2-Fragen in deutschen Ausschreibungen seit Anfang 2026 deutlich präziser gestellt werden als früher.
Welche NIS2-Pflichten wirklich am Endgerät hängen
Die ehrliche Antwort auf die Frage "macht uns eine Geräteverwaltung NIS2-konform" lautet: nein. Sie deckt einen Teil ab, liefert für einen weiteren Teil die Nachweise, und für den Rest ist sie irrelevant. Die Aufteilung sieht ungefähr so aus.
| Anforderungsbereich | Was davon am mobilen Gerät liegt | Beitrag der Geräteverwaltung |
|---|---|---|
| Risikoanalyse und Sicherheit der IT-Systeme | Vollständiges Inventar, OS-Versionen, Verschlüsselungsstatus | Hoch: ohne Inventar keine Risikoanalyse |
| Bewältigung von Sicherheitsvorfällen | Verlorenes Gerät sperren oder löschen, betroffene Geräte identifizieren | Hoch für die Reaktion, Prozess und Meldung bleiben Ihre Aufgabe |
| Business Continuity und Krisenmanagement | Ersatzgerät in Stunden statt Tagen einsatzbereit | Mittel: Zero-Touch-Bereitstellung verkürzt die Wiederherstellung |
| Sicherheit der Lieferkette | Ihr MDM-Anbieter ist selbst Teil Ihrer Lieferkette | Kein technisches Thema: Vertrag, Eigentümerstruktur, Jurisdiktion |
| Sicherheit bei Beschaffung, Entwicklung und Wartung | Patch-Stand erzwingen, Apps nur aus kontrollierter Quelle | Hoch: App-Verwaltung und erzwungene Updates |
| Kryptografie und Verschlüsselung | Geräteverschlüsselung, Passcode-Richtlinien | Hoch: auf Mobilgeräten nativ, per Richtlinie erzwungen |
| Zugriffskontrolle und Asset-Management | Wer nutzt welches Gerät, mit welchen Rechten | Hoch für die Geräteseite, Identitäten liegen bei Ihrem IdP |
| Cyberhygiene und Schulungen | Nichts | Keiner: das ist Organisation, nicht Technik |
| Bewertung der Wirksamkeit | Belegen, dass die Richtlinien tatsächlich greifen | Mittel: Compliance-Berichte als Nachweis, Bewertung bleibt bei Ihnen |
Wer Ihnen etwas anderes verkauft, verkauft Ihnen ein Problem für das nächste Audit. Nützlich ist die Matrix trotzdem, weil sie zeigt, wo Sie mit einem Werkzeug mehrere Pflichten gleichzeitig belegen können.
Der Nachweis ist die eigentliche Arbeit
Bei NIS2 fällt kaum jemand über fehlende Technik. Man fällt über fehlende Belege.
Ein typisches Beispiel: Ihre Richtlinie schreibt vor, dass Geräte mit einer veralteten iOS-Version keinen Zugriff auf Unternehmensdaten bekommen. Die Frage der Prüfer lautet nicht, ob Sie das konfiguriert haben. Sie lautet, wie viele Geräte am 14. März nicht konform waren, wie lange dieser Zustand bestand und was daraufhin passiert ist. Ein Echtzeit-Inventar mit Verlauf beantwortet das in Minuten. Eine Excel-Tabelle, die zuletzt im Herbst gepflegt wurde, beantwortet es gar nicht.
Denken Sie dabei auch an die Geräte, die kein klassischer IT-Arbeitsplatz sind: gemeinsam genutzte Tablets in der Produktion, Kassengeräte im Kiosk-Modus, Smartphones von Frontline-Mitarbeitern ohne festen Schreibtisch. Genau diese Geräte fehlen in den meisten Inventaren, und genau sie sind am schwierigsten manuell zu erfassen.
DSGVO: was zusätzlich gilt, sobald Geräte Personen zugeordnet sind
NIS2 verlangt Sicherheit. Die DSGVO regelt, wie Sie diese Sicherheit herstellen dürfen. Beides gleichzeitig zu erfüllen ist möglich, aber es ist Arbeit, und es sind vier konkrete Dokumente.
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter Ihrer Geräteverwaltung. Ohne AVV ist der Einsatz nicht rechtmäßig, unabhängig davon, wie gut das Produkt ist.
- Dokumentierte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Hier überschneiden sich NIS2 und DSGVO fast vollständig. Schreiben Sie das Dokument einmal und verwenden Sie es für beide Zwecke.
- Eintrag im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, mit den tatsächlich erhobenen Datenkategorien. Nicht mit denen aus dem Datenblatt.
- Datenschutz-Folgenabschätzung nach Art. 35, sobald Sie private Geräte einbeziehen oder Standortdaten verarbeiten wollen. Die Aufsichtsbehörden ordnen systematische Überwachung von Beschäftigten regelmäßig als hohes Risiko ein.
Und dann ist da die Frage, die in deutschen Sicherheitsfragebögen inzwischen fast immer auftaucht: wohin fließen die Daten und welchem Recht unterliegt der Anbieter. Der Serverstandort allein beantwortet das nicht. Entscheidend ist, wem das Unternehmen gehört und welcher Jurisdiktion es unterliegt, denn eine US-Muttergesellschaft bringt den CLOUD Act mit, egal wo die Hardware steht.
Appaloosa ist ein französisches Unternehmen ohne US-Mutterkonzern. In Frankreich gehostet, auf einer von der ANSSI SecNumCloud-qualifizierten Infrastruktur. Was wir nicht haben, sagen wir genauso deutlich: kein ISO-27001-Zertifikat, kein BSI-C5-Testat. Diese Klarheit erspart Ihnen im Beschaffungsprozess mehr Zeit, als eine Logoleiste je einbringt.
Der Betriebsrat entscheidet mit, bevor Sie ausrollen
Das ist der Punkt, an dem deutsche MDM-Projekte am häufigsten stehen bleiben, und er hat mit Technik nichts zu tun.
§ 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein erzwingbares Mitbestimmungsrecht bei der Einführung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Die Rechtsprechung legt das weit aus: es genügt, dass ein System dafür objektiv geeignet ist. Ihre Absicht spielt keine Rolle. Ein MDM erfasst Gerätezuordnung, App-Bestand, Zeitstempel und Konformitätsstatus, also ist es geeignet. Damit ist die Mitbestimmung eröffnet, ohne Ausnahme.
Was passiert, wenn Sie ohne Einigung ausrollen: Der Betriebsrat kann die Nutzung untersagen lassen. Erhobene Daten können in arbeitsrechtlichen Verfahren unverwertbar sein. Und Sie verbrennen politisches Kapital für Projekte, die danach kommen.
Die pragmatische Alternative ist eine Betriebsvereinbarung, die Sie vor dem Rollout verhandeln, nicht danach. Diese Punkte sollten darin geregelt sein:
- Zweck der Verarbeitung, abschließend formuliert und nicht als offene Liste
- Genau welche Datenfelder das System ausliest, plus welche es nicht ausliest
- Ob Standortdaten verarbeitet werden, und falls ja, unter welchen eng definierten Bedingungen
- Welche Auswertungen und Berichte erzeugt werden, wer sie erhält und wer sie nicht erhält
- Löschfristen für Protokolldaten
- Verfahren beim Löschen von Gerätedaten: wer löst es aus, was genau wird gelöscht, wie wird der Beschäftigte informiert
- Rollen- und Berechtigungskonzept in der Administrationskonsole
- Wie Konfigurationsänderungen behandelt werden, damit nicht jede neue Richtlinie eine neue Verhandlung auslöst
Ein Ratschlag aus der Praxis: Bringen Sie in die Sitzung keine Präsentation, sondern eine Testumgebung. Zeigen Sie die Administrationskonsole live und lassen Sie den Betriebsrat sehen, welche Felder dort stehen und welche eben nicht. Diskussionen, die zwei Monate gedauert hätten, sind danach oft in einer Stunde erledigt.
BYOD ist in Deutschland ein Datenschutzthema, kein Technikthema
Bei privaten Geräten verschärft sich alles. Das Gerät gehört dem Beschäftigten, sein Privatleben liegt darauf, und ein Zugriff darauf ist selbst dann heikel, wenn er technisch möglich wäre. Die Anforderung ist deshalb nicht "mehr Kontrolle", sondern eine Trennung, die man nachvollziehen und im Zweifel vorführen kann.
Genau darauf zielt unser Ansatz bei privaten Geräten: Unter Android ist das Arbeitsprofil ein isolierter Container, den Android selbst durchsetzt; unter iOS installieren die Beschäftigten ein Verwaltungsprofil, und die Konsole meldet nur die vom Unternehmen verteilten Apps. Die IT-Abteilung kommt an private Apps, Fotos oder Nachrichten nicht heran, und im BYOD-Modus existiert keine Standortfunktion. Am Tag des Austritts entfernen Sie den Arbeitsbereich, und nur den Arbeitsbereich. Unternehmensdaten sind weg, Fotos und Rufnummer bleiben unangetastet.
Diese Trennung ist gleichzeitig Ihr stärkstes Argument in der Betriebsratssitzung, weil sie technisch ist und nicht auf einem Versprechen beruht.
Eine Reihenfolge, die in deutschen Projekten funktioniert
- Betroffenheit klären. Sektor und Schwellenwerte prüfen, gegebenenfalls beim BSI registrieren. Diese Einschätzung ist Chefsache und gehört dokumentiert.
- Inventar erstellen. Alle Geräte mit Zugriff auf Unternehmensdaten, auch die privaten. Ohne diesen Schritt sind alle folgenden Schritte Schätzungen.
- Datenschutzunterlagen vorbereiten. AVV, TOM-Dokumentation, VVT-Eintrag, bei privaten Geräten eine DSFA.
- Betriebsrat einbeziehen, mit konkreter Konfigurationsliste. Nicht mit einer Produktbroschüre. Erst danach beginnt der technische Rollout.
- Technisch ausrollen. Zero-Touch-Enrollment für Firmengeräte, getrennte Richtlinien für Unternehmenseigentum und private Geräte, Verschlüsselung und Passcode erzwingen, App-Verteilung nur aus kontrollierter Quelle, Fernwartung für iOS und Android für den Support.
- Nachweise etablieren. Monatlicher Konformitätsbericht, Reaktionsprozess für verlorene Geräte mit einer Frist, die zu den 24 Stunden passt, jährliche Prüfung der Wirksamkeit.
Die Schritte 1 bis 4 kosten mehr Zeit als Schritt 5. Wer damit anfängt, statt mit der Toolauswahl, spart am Ende ein Quartal.
Fazit
NIS2 macht aus der Geräteverwaltung eine Nachweispflicht: Sie müssen jederzeit belegen können, welche Geräte in welchem Zustand auf Unternehmensdaten zugreifen. Die DSGVO und § 87 BetrVG bestimmen, wie Sie diesen Nachweis führen dürfen, und der Betriebsrat ist dabei kein Hindernis, sondern der Termin, den Sie zuerst machen sollten.
Wenn Sie prüfen möchten, wie sich das technisch abbilden lässt, finden Sie die Details auf unserer Seite zur Geräteverwaltung oder direkt in der Preisübersicht.