NIS-2-Gesetz: Neue Pflichten für Unternehmen

Seit dem 6. Dezember 2025 ist das Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie in Kraft. Es wurde am 13. November 2025 im Bundestag und am 21. November 2025 im Bundesrat beschlossen und am 5. Dezember 2025 im Bundesgesetzblatt verkündet. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) geht Schätzungen zufolge davon aus, dass zehntausende deutsche Unternehmen und Einrichtungen unter die neuen Cybersicherheits-Pflichten fallen. Die Registrierungspflicht beim BSI läuft bereits: Die gesetzliche Frist endete am 6. März 2026; das BSI hat zunächst eine Duldungsphase für Nachmeldungen bis zum 31. Juli 2026 eingeräumt. Wer noch nicht registriert ist, handelt nach Auskunft des BSI pflichtwidrig.

Wer fällt unter das Gesetz?

Erfasst sind Einrichtungen in den Sektoren der Anlagen 1 und 2 des neu gefassten BSI-Gesetzes (BSIG) – darunter Energie, Verkehr, Gesundheit, Finanzen, digitale Dienste, aber auch die Entsorgung, die Herstellung bestimmter Produkte und der Bereich Ernährung. Maßgeblich sind die Größenschwellen von § 28 BSIG: In der Regel sind Unternehmen ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und Bilanzsumme betroffen. Unabhängig von der Größe gelten die Pflichten unter anderem für Betreiber kritischer Anlagen, Vertrauensdiensteanbieter, DNS-Diensteanbieter sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste und -netze.

Das BSI unterscheidet zwei Gruppen: „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“. Zu den besonders wichtigen zählen Betreiber kritischer Anlagen nach der BSI-Kritisverordnung sowie Einrichtungen oberhalb der oberen Größenschwelle; für sie gelten schärfere Anforderungen, unter anderem beim Nachweis gegenüber der Aufsicht. Ob ein Unternehmen betroffen ist, lässt sich nach Angaben des BSI mit der kostenlosen „NIS-2-Betroffenheitsprüfung“ auf dessen Portal unverbindlich prüfen.

Diese Pflichten sieht das BSIG vor

Das Gesetz verpflichtet betroffene Einrichtungen in mehreren Stufen. Nach den Darlegungen des BSI gehören dazu:

Registrierung beim BSI: Betroffene müssen sich über das BSI-Portal registrieren und Kontaktdaten hinterlegen. Die gesetzliche Frist endete am 6. März 2026, drei Monate nach Inkrafttreten des Gesetzes.
Risikomanagement: Die Einrichtungen müssen geeignete und verhältnismäßige technische und organisatorische Maßnahmen zur Risikobewältigung treffen – etwa zu Verschlüsselung, Zugangskontrolle, Lieferkettensicherheit und Notfallplanung (§ 30 BSIG).
Meldepflichten: Erhebliche Sicherheitsvorfälle sind dem BSI zu melden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden nach Kenntnis des Vorfalls sowie ein abschließender Bericht (§ 32 BSIG).
Geschäftsleitungsverantwortung: Die Leitungsorgane müssen die Maßnahmen billigen und deren Umsetzung überwachen. Verstöße können nach § 61 BSIG mit Bußgeldern geahndet werden; bei besonders wichtigen Einrichtungen sind bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes möglich.

Eine finanzielle Förderung des Bundes für die Umsetzung ist nach Auskunft des BSI derzeit nicht vorgesehen. Das BSI bietet unter dem Titel „#nis2know“ Infopakete, eine Roadmap und Schulungen für Geschäftsleitungen an.

Einordnung: Verspäteter Start, verbindlicher Kurs

Deutschland hatte die Umsetzungsfrist der EU-Richtlinie vom 17. Oktober 2024 deutlich verpasst; das Gesetz trat rund vierzehn Monate nach dem europarechtlichen Stichtag in Kraft. Die Pflichten gelten ohne allgemeine Übergangsfrist. Für Unternehmen bedeutet das nach Einschätzung von Fachstellen: Die erste Priorität ist die verbindliche Prüfung der eigenen Betroffenheit, die zweite die Registrierung. Erst danach folgen die technischen Nachweise. Die Registrierungszahlen liegen nach Berichten aus dem Fachumfeld deutlich unter den Erwartungen des BSI – die Aufsicht hat Nachmeldungen bis Ende Juli 2026 zunächst nicht mit Sanktionen belegt, auf die Pflicht als solche wird weiter hingewiesen.

Kommunale Verwaltungen sind im Grundsatz ausgenommen: Der IT-Planungsrat hat entschieden, die Option, den Anwendungsbereich auf lokale Verwaltungsebenen zu erstrecken, nicht zu nutzen. Für die Cybersicherheit kommunaler Stellen sind die Länder zuständig. Kommunale Eigen- und Regiebetriebe können jedoch betroffen sein, wenn sie kritische Anlagen betreiben oder die Schwellenwerte für wichtige beziehungsweise besonders wichtige Einrichtungen überschreiten – dann liegt die Aufsicht beim BSI.

Das Gesetz ändert als Artikelgesetz neben dem BSIG weitere Fachgesetze, etwa im Telekommunikations-, Energie- und Sozialversicherungsrecht. Das vollständige BSIG ist bei Gesetze-im-Internet abrufbar; die EU-NIS-2-Richtlinie ist im Amtsblatt der Europäischen Union vom 27. Dezember 2022 veröffentlicht.

Auch für die Bundesverwaltung legt das Gesetz Grundzüche des Informationssicherheitsmanagements fest. Das BSI hatte im Vorfeld wiederholt auf die Relevanz der Meldewege hingewiesen: Frühwarnungen nach § 32 BSIG sollen es der Behörde ermöglichen, Lagebilder zu erstellen und betroffene Einrichtungen frühzeitig zu unterstützen. Für die Praxis empfiehlt das BSI, interne Abläufe für die 24- und 72-Stunden-Fristen zu dokumentieren, da die Fristen bereits mit der Kenntnis des Vorfalls beginnen.

Unsicher ist nach wie vor die Zahl der tatsächlich betroffenen Einrichtungen. Das BSI veröffentlicht unter dem Titel „NIS-2 in Zahlen“ laufende Statistiken zu Registrierungen und Meldungen. Fachverbände und Beratungshäuser weisen darauf hin, dass viele mittelständische Unternehmen ihre Betroffenheit noch nicht abschließend geprüft haben. Gleichzeitig betont das BSI, dass eine fehlende Registrierung die Pflichten nicht entfallen lässt – sie gelten kraft Gesetzes seit dem 6. Dezember 2025.

Quellen

Wie hilfreich war dieser Beitrag?

Klicke auf die Sterne um zu bewerten!