Das NIS-2-Umsetzungsgesetz in Deutschland

Gesetzgebungsverfahren in Kürze

Die NIS-2-Richtlinie (EU) 2022/2555 trat im Januar 2023 in Kraft und war bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Deutschland hat diese Frist nicht eingehalten. Ein Regierungsentwurf aus der 20. Wahlperiode wurde nach dem Ende der Koalition nicht mehr verabschiedet. Das neue Gesetzgebungsverfahren endete mit dem Beschluss des Bundestags am 13. November 2025 und des Bundesrats am 21. November 2025. Verkündet wurde das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz am 5. Dezember 2025, in Kraft trat es am 6. Dezember 2025.

Aufbau des NIS2-Umsetzungsgesetzes

Es handelt sich um ein sogenanntes Artikelgesetz. Es ändert mehrere Gesetze gleichzeitig; der wichtigste Teil ist die vollständige Neufassung des BSI-Gesetzes (BSIG). Daneben wurden Fachgesetze angepasst, etwa im Energie- und Telekommunikationsrecht, damit dort sektorspezifische Regeln an die Stelle der BSIG-Pflichten treten können.

Das neue BSIG ist auf gesetze-im-internet.de unter dem Kürzel «bsig_2025» abrufbar. Die Paragrafen des alten BSIG (zum Beispiel § 8a für KRITIS-Betreiber) wurden neu nummeriert; in älteren Dokumenten und Vorlagen tauchen deshalb noch die früheren Bezeichnungen auf.

Die zentralen Paragrafen für Unternehmen

Was das Gesetz gegenüber dem alten Recht ändert

Deutlich größerer Anwendungsbereich

Bisher waren vor allem Betreiber kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse reguliert. Jetzt sind nach Angaben des BSI rund 29.500 Unternehmen und Einrichtungen erfasst.

Neue Kategorien

Das Gesetz unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Betreiber kritischer Anlagen sind eine Teilmenge der besonders wichtigen Einrichtungen und haben zusätzliche Pflichten.

Verantwortung der Leitung

Die Geschäftsleitung muss Risikomanagementmaßnahmen umsetzen und überwachen und regelmäßig an Schulungen teilnehmen. Bei schuldhaften Pflichtverletzungen haftet sie nach dem für die Rechtsform geltenden Gesellschaftsrecht.

Gestufte Meldepflicht

Statt einer einzigen Meldung gibt es ein Stufenmodell mit Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussmeldung nach einem Monat.

Höhere Bußgelder

Der Bußgeldrahmen reicht für die schwersten Verstöße bis 10 Mio. Euro bzw. 7 Mio. Euro, bei sehr großen Unternehmen auch umsatzbezogen.

Nachweiszyklus für KRITIS

Betreiber kritischer Anlagen müssen ihre Nachweise nach § 39 BSIG nun alle drei statt alle zwei Jahre erbringen.

Was für Unternehmen jetzt gilt

Das BSI weist darauf hin, dass die Pflichten unmittelbar mit Inkrafttreten gelten. Für die Registrierung gilt eine Frist von drei Monaten ab Betroffenheit, die für bereits betroffene Unternehmen inzwischen verstrichen ist. Wer noch nicht registriert ist, sollte das umgehend nachholen.

Die Risikomanagementmaßnahmen nach § 30 BSIG sind ebenfalls seit Inkrafttreten geschuldet. In der Praxis bedeutet das: Ist-Stand erheben, Lücken priorisieren, Maßnahmen umsetzen und die Umsetzung dokumentieren. Nachweise müssen besonders wichtige und wichtige Einrichtungen grundsätzlich erst auf Anordnung des BSI vorlegen.

Weitere Konkretisierungen

Für bestimmte digitale Einrichtungsarten, etwa Cloud- und Rechenzentrumsanbieter oder Managed Service Provider, konkretisiert die Durchführungsverordnung (EU) 2024/2690 die technischen und methodischen Anforderungen sowie die Kriterien für erhebliche Vorfälle. Diese Verordnung gilt unmittelbar. Weitere Hinweise veröffentlicht das BSI fortlaufend in seinen FAQ und Infopaketen; prüfen Sie dort den aktuellen Stand, bevor Sie interne Vorgaben festschreiben.

Häufige Fragen aus der Praxis

Gelten alte Nachweise und Zertifikate weiter?

Zertifikate nach ISO 27001 oder auf Basis von IT-Grundschutz behalten ihren Wert als Nachweis für einen großen Teil der Maßnahmen. Sie ersetzen nach Angaben des BSI aber nicht die gesetzlichen Pflichten wie Registrierung, Meldewege oder Geschäftsleitungsschulung.

Gibt es Fördergeld?

Der Bund sieht laut BSI-FAQ keine finanzielle Förderung für die Umsetzung vor. Landesprogramme oder Beratungsförderungen können im Einzelfall helfen; das ist gesondert zu prüfen.

Wer kontrolliert die Umsetzung?

Das BSI ist Aufsichtsbehörde. Es kann Informationen anfordern, Prüfungen durchführen lassen und Anordnungen treffen. Für besonders wichtige Einrichtungen sind die Aufsichtsbefugnisse weitergehend als für wichtige Einrichtungen.

Empfehlung für die Umsetzung

Behandeln Sie das Gesetz als Projekt mit klarem Auftrag der Geschäftsleitung: Betroffenheit und Registrierung zuerst, dann Meldeprozess, danach die schrittweise Umsetzung der Risikomanagementmaßnahmen mit einem dokumentierten Plan. Wer bereits nach IT-Grundschutz arbeitet, kann die vorhandene Dokumentation weiterverwenden und muss vor allem die NIS-2-spezifischen Pflichten ergänzen.