NIS2-Umsetzungsgesetz in Kraft: Registrierung, Meldepflichten, Haftung

Seit dem 6. Dezember 2025 gilt das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG). Der Bundestag hatte es im November beschlossen, der Bundesrat am 20. November 2025 zugestimmt, die Verkündung erfolgte am 5. Dezember 2025. Kern ist ein grundlegend neu gefasstes BSI-Gesetz (BSIG). Eine Übergangsfrist gibt es nicht.

Verspätete Umsetzung

Die NIS2-Richtlinie (EU) 2022/2555 hätte bis Oktober 2024 umgesetzt sein müssen. Ein erster Regierungsentwurf scheiterte mit dem Ende der Legislaturperiode, nach der Bundestagswahl musste das Verfahren neu beginnen. Unternehmen, die sich an den früheren Entwürfen orientiert haben, sind gut vorbereitet, sollten aber die Endfassung abgleichen.

Wer betroffen ist

Der Kreis der Verpflichteten wächst gegenüber dem bisherigen KRITIS-Recht deutlich, nach Schätzungen auf etwa 29.500 Unternehmen in 18 Sektoren. Maßgeblich sind die Zugehörigkeit zu einem der in den Anlagen genannten Sektoren und Größenschwellen bei Beschäftigten, Umsatz und Bilanzsumme. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen, daneben bleiben die Betreiber kritischer Anlagen mit zusätzlichen Pflichten. Unternehmen müssen selbst prüfen, ob sie betroffen sind. Das BSI bestätigt die Einordnung nicht. Häufig übersehen werden Konzerngesellschaften, deren Schwellenwerte unter Einbeziehung verbundener Unternehmen zu berechnen sind, sowie Anbieter von IT-Diensten, Rechenzentren und Managed Services, die unabhängig von ihrer Kundschaft erfasst sein können.

Die wichtigsten Pflichten

• Registrierung beim BSI innerhalb von drei Monaten, also bis Anfang März 2026
• Risikomanagementmaßnahmen nach § 30 BSIG, unter anderem Richtlinien zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptografie und Multi-Faktor-Authentifizierung
• gestufte Meldung erheblicher Sicherheitsvorfälle nach § 32 BSIG: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung innerhalb eines Monats
• Nachweise gegenüber dem BSI, für besonders wichtige Einrichtungen in regelmäßigen Abständen

Geschäftsleitung in der Pflicht

§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Geschäftsleiter, die diese Pflichten verletzen, haften der Einrichtung für den entstandenen Schaden. Zudem müssen sie regelmäßig an Schulungen teilnehmen. Diese Pflichten lassen sich nicht vollständig delegieren. Wir raten dazu, die Billigung förmlich zu beschließen und die Überwachung in feste Berichtsroutinen der IT-Sicherheit an die Geschäftsleitung zu übersetzen.

Bußgelder

Für besonders wichtige Einrichtungen drohen Bußgelder bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 Prozent. Auch die unterlassene Registrierung ist bußgeldbewehrt.

Was jetzt zu tun ist

Wir empfehlen folgende Reihenfolge:

• Betroffenheit prüfen und das Ergebnis dokumentieren, auch wenn es negativ ausfällt
• Registrierung vorbereiten, die technischen Zugänge zum BSI-Portal früh beantragen
• Meldeprozess mit Zuständigkeiten, Vorlagen und Erreichbarkeit rund um die Uhr aufsetzen
• Gap-Analyse gegen § 30 BSIG, bestehende ISO-27001-Strukturen nutzen
• Geschäftsleitung schulen und Beschlüsse zur Billigung der Maßnahmen protokollieren
• Verträge mit IT-Dienstleistern um Sicherheits- und Meldepflichten ergänzen

Fragen dazu? Wir prüfen Ihre Betroffenheit und begleiten Registrierung, Meldeprozess und Geschäftsleiterschulung. Nutzen Sie unsere Onlineberatung. Mehr unter NIS2, IT-Sicherheit und Cyberangriff.