NIS2-Umsetzungsgesetz: Was seit Dezember 2025 gilt und was Unternehmen jetzt tun müssen
Ein Maschinenbauer mit 180 Beschäftigten bekommt von einem großen Kunden einen Lieferantenfragebogen. Frage 14: „Fallen Sie unter NIS2? Wenn ja, bestätigen Sie bitte Ihre Registrierung bei der zuständigen Behörde.“ Die IT-Leitung leitet die Frage an die Geschäftsführung weiter. Die schickt sie mit einer Zeile zurück: „Tun wir das?“
In Deutschland gibt es darauf seit dem 6. Dezember 2025 eine verbindliche Antwort. An diesem Tag trat das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft. Es hat das BSI-Gesetz neu gefasst und den Kreis der regulierten Unternehmen von einigen tausend Betreibern kritischer Infrastrukturen nach amtlicher Schätzung auf rund 29.500 Unternehmen erweitert. Eine Übergangsfrist gab es nicht.
Das Wichtigste in Kürze
- Das Gesetz gilt seit dem 6. Dezember 2025, ohne Übergangsfrist. Wer an diesem Tag betroffen war, musste sich bis zum 6. März 2026 beim BSI registrieren.
- Ob Sie betroffen sind, hängt von Sektor und Größe ab. Als Faustregel: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme in einem der genannten Sektoren.
- Zehn Bereiche von Sicherheitsmaßnahmen sind Pflicht, von Risikoanalyse und Datensicherung bis zur Sicherheit in der Lieferkette und Multi-Faktor-Authentifizierung.
- Erhebliche Sicherheitsvorfälle müssen gemeldet werden, nach 24 Stunden, 72 Stunden und einem Monat.
- Die Geschäftsleitung ist persönlich verantwortlich für Umsetzung und Überwachung der Maßnahmen und muss regelmäßig geschult werden.
- ISO 27001 oder TISAX® verschaffen Ihnen einen Vorsprung, aber keine vollständige Abdeckung. Registrierung, Meldefristen und Leitungspflichten sind neu.
Was das NIS2-Umsetzungsgesetz ist
NIS2 ist eine EU-Richtlinie, die Richtlinie (EU) 2022/2555. Richtlinien gelten nicht unmittelbar, jeder Mitgliedstaat muss sie in nationales Recht überführen. Deutschland hat das mit dem NIS2UmsuCG getan, verkündet am 5. Dezember 2025 im Bundesgesetzblatt und am Folgetag in Kraft getreten. Die meisten Pflichten für Unternehmen stehen jetzt im neuen BSI-Gesetz (BSIG). Deshalb lesen Sie Verweise wie „§ 30 BSIG“ statt Artikelnummern aus der Richtlinie.
Sind Sie betroffen?
§ 28 BSIG verbindet zwei Prüfungen: Ist Ihr Unternehmen in einem der Sektoren aus Anlage 1 oder Anlage 2 des Gesetzes tätig, und ist es groß genug?
Besonders wichtige Einrichtungen sind große Unternehmen in einem Sektor aus Anlage 1, etwa Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur oder verwaltete IKT-Dienste: ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme.
Wichtige Einrichtungen sind mittlere Unternehmen in Sektoren aus Anlage 1 sowie mittlere und große Unternehmen in Sektoren aus Anlage 2, etwa Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Herstellung von Maschinen, Fahrzeugen und Elektronik sowie Anbieter digitaler Dienste wie Online-Marktplätze und Suchmaschinen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme.
Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, darunter Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter.
Zwei Details übersehen viele. Erstens wird die Größe nach der EU-KMU-Empfehlung berechnet, die Zahlen von Partner- und verbundenen Unternehmen werden also hinzugerechnet: Eine Tochter mit 40 Beschäftigten in einem großen Konzern gilt in der Regel nicht als klein. Deutschland macht davon eine Ausnahme. Die Konzerndaten werden nicht hinzugerechnet, wenn das Unternehmen bei Beschaffenheit und Betrieb seiner IT-Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist. Zweitens können Tätigkeiten außer Betracht bleiben, die im Vergleich zur Gesamttätigkeit vernachlässigbar sind. Unser Leitfaden zur NIS2-Betroffenheitsprüfung je Gesellschaft geht beide Regeln im Detail durch. Unser Maschinenbauer ist in einem Sektor aus Anlage 2 tätig und hat mehr als 50 Beschäftigte. Er ist eine wichtige Einrichtung.
Registrierung beim BSI
Betroffene Unternehmen müssen sich innerhalb von drei Monaten registrieren, nachdem sie unter das Gesetz fallen. Für alle, die am 6. Dezember 2025 betroffen waren, lief die Frist am 6. März 2026 ab. Die Registrierung läuft über das BSI-Portal und umfasst Kontaktdaten, Sektor, Größe und die Mitgliedstaaten, in denen Sie Dienste erbringen. Änderungen müssen innerhalb von zwei Wochen gemeldet werden. Registriert sich ein Unternehmen nicht, kann das BSI die Registrierung selbst vornehmen.
Wenn Sie beim Lesen merken, dass Sie betroffen sind: Registrieren Sie sich jetzt. Eine verspätete Registrierung ist ein viel kleineres Problem als gar keine.
Die zehn Bereiche der Sicherheitsmaßnahmen
§ 30 BSIG verlangt geeignete, verhältnismäßige technische und organisatorische Maßnahmen nach einem gefahrenübergreifenden Ansatz. Sie müssen mindestens diese zehn Bereiche abdecken:
- Risikoanalyse und Richtlinien zur Informationssicherheit
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, inklusive Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement
- Sicherheit der Lieferkette, inklusive der Beziehungen zu unmittelbaren Anbietern und Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, inklusive Umgang mit und Offenlegung von Schwachstellen
- Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
- Grundlegende Verfahren der Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen und Geräten
- Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikation
Die Maßnahmen müssen Sie außerdem dokumentieren. „Machen wir“ reicht nicht, Sie müssen es zeigen können.
Erhebliche Sicherheitsvorfälle melden
Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Erhebliche Vorfälle gehen an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), in bis zu vier Stufen.
Die Erstmeldung innerhalb von 24 Stunden sagt, ob Sie eine rechtswidrige oder böswillige Handlung vermuten und ob der Vorfall grenzüberschreitende Auswirkungen haben könnte. Die Meldung innerhalb von 72 Stunden ergänzt eine erste Bewertung von Schweregrad und Auswirkungen und, soweit vorhanden, Kompromittierungsindikatoren. Das BSI kann eine Zwischenmeldung anfordern. Die Abschlussmeldung ist einen Monat nach der Meldung fällig und beschreibt Ursache, ergriffene Maßnahmen und grenzüberschreitende Auswirkungen.
Die Frist beginnt mit der Kenntnis vom Vorfall, nicht mit dem Ende der Analyse. Wer am Samstag Bereitschaft hat, muss das wissen und Zugang zum Meldeweg haben.
Was die Geschäftsleitung tun muss
§ 38 BSIG verpflichtet die Geschäftsleitung, die Sicherheitsmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Die Aufgabe lässt sich delegieren, die Verantwortung nicht. Geschäftsleiter, die diese Pflichten verletzen, können dem Unternehmen gegenüber haften. Die Mitglieder der Geschäftsleitung müssen außerdem regelmäßig an Schulungen teilnehmen, um Risiken erkennen und Risikomanagementpraktiken bewerten zu können.
In der Praxis heißt das: ein dokumentierter Beschluss der Geschäftsleitung zu den Maßnahmen, regelmäßige Berichte zum Stand und Nachweise über die Schulungen. Ein Bericht an die Geschäftsleitung zweimal im Jahr mit klarem Stand je Bereich ist ein gutes Minimum.
Aufsicht und Bußgelder
Das BSI überwacht die Einhaltung, kann Nachweise anfordern, Prüfungen anordnen und Anweisungen erteilen. Besonders wichtige Einrichtungen werden aktiver beaufsichtigt, wichtige Einrichtungen vor allem anlassbezogen. Bußgelder reichen bis 10 Millionen Euro für besonders wichtige und bis 7 Millionen Euro für wichtige Einrichtungen. Bei großen Unternehmensgruppen liegt die Obergrenze bei 2 bzw. 1,4 Prozent des weltweiten Jahresumsatzes, wenn das höher ist.
Der Vorsprung durch ISO 27001 und TISAX®
Wer bereits ein ISMS nach ISO 27001 betreibt oder ein TISAX®-Label hat, hat die meisten technischen Maßnahmen schon. Zugriffskontrolle, Datensicherung, Verschlüsselung, Schwachstellenmanagement und Lieferantensicherheit stehen alle in Anhang A. Was meist fehlt, ist die NIS2-spezifische Ebene: Registrierung, der 24-Stunden-Schritt im Vorfallprozess, Beschluss und Schulung der Geschäftsleitung und eine Zuordnung, welches Control welche Maßnahme abdeckt. Genau diesen Fall beschreibt unser Leitfaden zum Mapping mehrerer Frameworks.
Ein Hinweis für Österreich
Österreich hat NIS2 mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt, kundgemacht am 23. Dezember 2025. Es gilt seit dem 1. Oktober 2026. Die Größenschwellen sind dieselben, Einrichtungen haben drei Monate Zeit für die Registrierung, zuständig ist das neue Bundesamt für Cybersicherheit. Gemeldet wird ebenfalls nach 24 Stunden, 72 Stunden und einem Monat. Die Wirtschaftskammer rechnet mit rund 4.000 betroffenen Unternehmen und Einrichtungen. Die Strafen reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes für wesentliche und bis 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen.
Was Sie jetzt tun sollten
- Betroffenheit prüfen für jede Gesellschaft, auch für Konzerngesellschaften, nach Sektor und Größe.
- Registrieren Sie sich beim BSI, falls noch nicht geschehen, und legen Sie fest, wer die Daten aktuell hält.
- Gap-Analyse durchführen gegen die zehn Bereiche, ausgehend von den Controls, die Sie schon haben.
- Meldefristen in den Vorfallprozess aufnehmen, mit benanntem Entscheider und Vertretung, und den Ablauf testen.
- Beschluss der Geschäftsleitung zu den Maßnahmen einholen und die Schulung terminieren.
- Kritische Lieferanten prüfen, inklusive ihrer Verträge.
- Alles dokumentieren, damit Sie dem BSI und dem nächsten Kundenfragebogen mit Nachweisen antworten können.
