NIS2-Umsetzungsgesetz in Deutschland: Was Unternehmen jetzt wissen müssen

Es ist das größte Compliance-Thema des Jahres für die deutsche Wirtschaft: Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat Deutschland die europäische NIS2-Richtlinie in nationales Recht überführt. Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat bereits am 6. Dezember 2025 in Kraft – ohne allgemeine Übergangsfrist. Rund 29.500 Unternehmen in 18 Sektoren fallen unter das neue Regime; zuvor waren es gerade einmal etwa 2.000 KRITIS-Betreiber. Wer bislang glaubte, Cybersicherheit sei vor allem ein Thema für die IT-Abteilung, wird spätestens jetzt eines Besseren belehrt: NIS2 ist ein Gesetz mit direkter Verantwortung der Geschäftsleitung – und empfindlichen Bußgeldern.

Wie wir hierher kamen: Vom Fristversäumnis zum Vollzug

Die NIS2-Richtlinie (EU) 2022/2555 gilt auf europäischer Ebene seit Januar 2023. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen – eine Frist, die Deutschland deutlich verpasst hat. Die Europäische Kommission leitete daraufhin Vertragsverletzungsverfahren ein, unter anderem gegen Deutschland. Mit der Verkündung des NIS2UmsuCG im Bundesgesetzblatt im Dezember 2025 ist die Umsetzung nun abgeschlossen.

Das Gesetz ändert in erster Linie das BSI-Gesetz (BSIG), daneben unter anderem das Telekommunikationsgesetz (TKG) und das Energiewirtschaftsgesetz (EnWG). Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wird zur zentralen Aufsichts- und Meldebehörde – und damit zum Taktgeber deutscher Cybersicherheits-Compliance.

Wer ist betroffen?

Das NIS2UmsuCG unterscheidet zwei Kategorien von Einrichtungen:

• Besonders wichtige Einrichtungen: in der Regel große Unternehmen (250+ Beschäftigte bzw. 50 Mio. Euro Umsatz) in hochkritischen Sektoren sowie klassische KRITIS-Betreiber. Sie unterliegen der strengsten Aufsicht, einschließlich aktiver Prüfungen durch das BSI.
• Wichtige Einrichtungen: mittlere und große Unternehmen – in der Regel ab 50 Beschäftigten oder 10 Mio. Euro Umsatz – in den insgesamt 18 erfassten Sektoren. Die Aufsicht erfolgt hier grundsätzlich anlassbezogen.

Zu den Sektoren zählen unter anderem Energie, Verkehr, Gesundheit, Finanz- und Versicherungswesen, digitale Infrastruktur, IKT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel sowie das produzierende Gewerbe (etwa Maschinenbau, Fahrzeugbau, Elektronik). Für bestimmte Branchen – etwa Anbieter digitaler Dienste – gelten Sonderregeln, die unabhängig von der Unternehmensgröße greifen können. Entscheidend ist: Die Selbsteinordnung liegt beim Unternehmen selbst und sollte dokumentiert werden.

Die vier Kernpflichten

1. Registrierung beim BSI

Betroffene Einrichtungen müssen sich aktiv im BSI-Portal registrieren und dabei unter anderem Kontaktdaten sowie Angaben zu Sektor und Größenklasse hinterlegen. Das Portal ist seit dem 6. Januar 2026 geöffnet; die gesetzliche Registrierungsfrist endete am 6. März 2026. Da sich bis dahin nur ein Teil der erwarteten Einrichtungen registriert hatte, gewährte das BSI eine Nachfrist bis Ende Juli 2026. Wer sich noch immer nicht registriert hat, sollte dies unverzüglich nachholen: Eine unterlassene Registrierung ist bußgeldbewehrt, und eine dokumentierte, unverzügliche Nachholung reduziert das Sanktionsrisiko erheblich.

2. Risikomanagementmaßnahmen (§ 30 BSIG n. F.)

Das Gesetz verlangt „geeignete, verhältnismäßige und wirksame“ technische und organisatorische Maßnahmen nach dem Stand der Technik – angelehnt an Artikel 21 der Richtlinie. Konkret umfasst das zehn Bereiche:

• Risikoanalyse und Informationssicherheitskonzepte
• Behandlung von Sicherheitsvorfällen (Incident Response)
• Geschäftskontinuität, Backup-Management und Notfallplanung
• Lieferkettensicherheit
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Cyber-Hygiene und Schulungen
• Kryptografie und Verschlüsselung
• Zugangskontrollen und Multifaktor-Authentifizierung
• Personalsicherheit

Eine bestimmte Zertifizierung schreibt das Gesetz nicht vor. In der Praxis gelten ISO 27001 und der BSI-Grundschutz jedoch als anerkannte Nachweisrahmen, mit denen sich die Umsetzung des Stands der Technik glaubhaft dokumentieren lässt.

3. Meldepflichten bei Sicherheitsvorfällen

Erhebliche Sicherheitsvorfälle müssen über das BSI-Portal in einem eng getakteten Drei-Stufen-Verfahren gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Meldung. Unternehmen sollten prüfen, ob diese Fristen organisatorisch überhaupt eingehalten werden können – etwa am Wochenende oder im Urlaubsvertretungsfall.

Achtung an der Schnittstelle zur DSGVO: Verletzungen des Schutzes personenbezogener Daten sind weiterhin binnen 72 Stunden an die Datenschutzaufsicht zu melden. Bei vielen Vorfällen laufen künftig also zwei Meldewege parallel.

4. Verantwortung der Geschäftsleitung

Der vielleicht schärfste Hebel des Gesetzes: Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und sich regelmäßig schulen lassen. Verstöße können eine persönliche Haftung der Geschäftsleitung nach sich ziehen. Cybersicherheit wird damit ausdrücklich zur Chefsache – Delegation an die IT allein genügt nicht.

Sanktionen: Bis zu 10 Millionen Euro oder 2 % des Weltjahresumsatzes

Der Bußgeldrahmen orientiert sich am DSGVO-Modell: Für besonders wichtige Einrichtungen drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Daneben können Bußgelder auch unmittelbar gegen verantwortliche Personen verhängt werden.

Realistisch einzuordnen ist allerdings: Das BSI hat die rechtlichen Befugnisse, aber begrenzte Kapazitäten, um Zehntausende Einrichtungen zu überwachen. Zu erwarten ist eine risikobasierte Aufsicht, die zunächst die größten und kritischsten Einrichtungen prüft. Darauf zu setzen wäre dennoch fahrlässig – zumal NIS2-Compliance zunehmend auch in Ausschreibungen, Lieferantenverträgen und Finanzierungsgesprächen abgefragt wird. Über Vertragsklauseln wirkt das Gesetz so weit über den eigentlichen Anwendungsbereich hinaus.

Was Unternehmen jetzt konkret tun sollten

• 1. Betroffenheit klären: Sektor, Schwellenwerte und Sonderregeln prüfen, Ergebnis der Selbsteinordnung (besonders wichtig / wichtig / nicht betroffen) dokumentieren.
• 2. Registrierung sicherstellen: Eintragung im BSI-Portal prüfen beziehungsweise unverzüglich nachholen – je juristischer Person.
• 3. Gap-Analyse durchführen: Bestehende Maßnahmen gegen die zehn Bereiche des § 30 BSIG n. F. spiegeln; Orientierung bieten BSI-Grundschutz und ISO 27001.
• 4. Meldewege etablieren: Prozesse für die 24h-/72h-/1-Monats-Fristen definieren, Verantwortlichkeiten und Vertretungsregelungen festlegen, mit dem DSGVO-Meldeweg abstimmen.
• 5. Geschäftsleitung einbinden: Schulungen organisieren, Maßnahmen formal billigen und die Überwachung in der Leitungsebene verankern.

Je nach Reifegrad sollten Unternehmen für die vollständige Umsetzung sechs bis achtzehn Monate einplanen. Wer jetzt startet, begegnet der Aufsicht mit einem dokumentierten, glaubwürdigen Umsetzungsplan – das ist im Zweifel der beste Schutz vor Sanktionen.

Einordnung: NIS2 als Teil der deutschen Compliance-Landkarte

Das NIS2UmsuCG ist kein isoliertes Phänomen, sondern Teil einer enger werdenden Regulierungsarchitektur: Die DSGVO verlangt seit 2018 Sicherheit nach dem Stand der Technik, das KRITIS-Dachgesetz ergänzt die digitale um physische Resilienz, und die KI-Verordnung bringt seit August 2026 weitere Anforderungen an Risikomanagement und Dokumentation mit. Wer seine Compliance-Prozesse klug aufsetzt, bedient mehrere Regelwerke gleichzeitig – etwa über ein integriertes Informationssicherheits-Managementsystem.

Fazit: NIS2 ist in Deutschland angekommen – mit unmittelbarer Wirkung, scharfen Sanktionen und persönlicher Verantwortung der Geschäftsleitung. Die entscheidende Frage lautet nicht mehr, ob das Gesetz kommt, sondern wie belastbar die eigene Umsetzung dokumentiert ist. Unternehmen, die Registrierung, Risikomanagement und Meldeprozesse jetzt strukturiert angehen, verwandeln eine regulatorische Pflicht in einen echten Resilienzgewinn.