NIS2-Umsetzungsgesetz: Fristen, Pflichten, Unterschiede zur EU-Richtlinie

Was ist das NIS2-Umsetzungsgesetz?

Das NIS2-Umsetzungsgesetz (Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung) ist das deutsche Gesetz zur Umsetzung der EU-Richtlinie (EU) 2022/2555, das seit 6. Dezember 2025 Unternehmen in 18 Sektoren zu erhöhten IT-Sicherheitsstandards, Meldepflichten und Risikomanagement verpflichtet.

Das Gesetz wurde am 13. November 2025 vom Bundestag beschlossen und im Dezember 2025 im Bundesgesetzblatt veröffentlicht. Es trat am 6. Dezember 2025 in Kraft. Das NIS2-Umsetzungsgesetz ändert das BSI-Gesetz (BSIG) grundlegend und erweitert die bisherige KRITIS-Regulierung erheblich.

Die EU-Richtlinie (EU) 2022/2555 – kurz NIS-2-Richtlinie – verfolgt das Ziel, europaweit einheitliche Cybersicherheitsstandards für kritische Infrastrukturen und wichtige Dienste zu schaffen. Deutschland hat die Vorgaben mit dem NIS2-Umsetzungsgesetz in nationales Recht überführt und dabei in einigen Bereichen strengere Anforderungen festgelegt als die Richtlinie vorschreibt.

Neben dem BSI-Gesetz ändert das NIS2-Umsetzungsgesetz weitere Gesetze, darunter das Telekommunikationsgesetz, das Energiewirtschaftsgesetz und das Gesetz über die Regulierung im Gesundheitswesen. Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Unterschiede zwischen NIS2-Richtlinie und deutschem Umsetzungsgesetz

Das deutsche NIS2-Umsetzungsgesetz weicht in mehreren Punkten von der EU-Richtlinie ab und nutzt nationale Spielräume, um strengere Anforderungen zu stellen.

Schwellenwerte: 50 Mitarbeiter und 10 Mio. Euro

Die EU-Richtlinie definiert mittelgroße Unternehmen ab 50 Mitarbeitern und 10 Millionen Euro Jahresumsatz oder Bilanzsumme als grundsätzlich erfasst. Deutschland hat diese Schwellenwerte übernommen, wendet sie aber konsequent an: Unternehmen, die diese Grenzen in einem der 18 definierten Sektoren überschreiten, fallen unter das Gesetz – unabhängig davon, ob sie bereits als KRITIS-Betreiber registriert sind.

Die EU-Richtlinie lässt den Mitgliedstaaten Spielraum, kleinere Unternehmen auszunehmen. Deutschland hat diesen Spielraum nur begrenzt genutzt und erfasst auch mittelständische Betriebe, sofern sie in einem regulierten Sektor tätig sind.

Sektorenabdeckung in Deutschland

Das NIS2-Umsetzungsgesetz erfasst 18 Sektoren, die sich in wesentliche und wichtige Einrichtungen gliedern. Die folgende Tabelle zeigt die Sektoren und ihre Kategorisierung nach Gesetz (im Einzelfall kann die Zuordnung abweichen):

Deutschland hat die Sektorenliste der EU-Richtlinie vollständig übernommen und in einigen Bereichen – etwa bei der Bundesverwaltung – präzisiert.

Meldepflichten: 24/72 Stunden/1 Monat

Die Meldepflichten bei Sicherheitsvorfällen sind im deutschen Gesetz strikt geregelt und entsprechen den EU-Vorgaben:

Die Fristen gelten ab dem Zeitpunkt, zu dem das Unternehmen Kenntnis vom Vorfall erlangt. Verspätete oder unterlassene Meldungen können mit Bußgeldern geahndet werden.

Wer ist vom NIS2-Umsetzungsgesetz betroffen?

Betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in 18 definierten Sektoren, darunter Energie, Gesundheit, Transport, Finanzen und digitale Dienste.

Das Gesetz unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Wesentliche Einrichtungen unterliegen strengeren Anforderungen und höheren Bußgeldern. Die Kategorisierung richtet sich nach dem Sektor und der Kritikalität der Dienstleistung.

Größenkriterien: Mitarbeiter, Umsatz, Bilanzsumme

Die folgende Tabelle zeigt die Schwellenwerte nach Unternehmensgröße:

Unternehmen, die mindestens zwei der drei Kriterien erfüllen, gelten als mittelgroß oder groß. Kleine Unternehmen unter 50 Mitarbeitern sind grundsätzlich ausgenommen, es sei denn, sie sind der einzige Anbieter einer kritischen Dienstleistung in ihrer Region oder erfüllen besondere Kriterien.

Ausnahmen und Sonderfälle

Ausgenommen sind:

• Kleinstunternehmen unter 50 Mitarbeitern und 10 Millionen Euro Jahresumsatz (mit Ausnahmen)
• Unternehmen, die ausschließlich als Tochtergesellschaften großer Konzerne tätig sind und deren Sicherheit durch die Muttergesellschaft gewährleistet wird
• Bestimmte öffentliche Stellen, die nicht in den Anwendungsbereich fallen

Die genaue Zahl der betroffenen Unternehmen in Deutschland wird vom BSI im Rahmen der Registrierung erfasst.

Fristen und Umsetzungsschritte für Unternehmen

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten; betroffene Unternehmen müssen sich seitdem beim BSI registrieren und die Pflichten umsetzen.

Registrierungsprozess beim BSI

Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Das BSI stellt dafür ein Online-Portal bereit. Die Registrierung umfasst:

1. Angabe der Unternehmensdaten (Name, Anschrift, Sektor, Größe)
2. Benennung eines Ansprechpartners für IT-Sicherheit
3. Nachweis der Zugehörigkeit zu einem regulierten Sektor
4. Bestätigung der Kenntnisnahme der Pflichten

Das BSI prüft die Angaben und ordnet das Unternehmen der Kategorie „wesentlich" oder „wichtig" zu. Die Registrierung ist Voraussetzung für die Erfüllung der Meldepflichten.

Empfohlener Zeitplan für Risikoanalyse und Maßnahmen

Unternehmen sollten folgende Schritte umsetzen:

• Bis Ende 2025: Selbstprüfung, ob das Unternehmen betroffen ist
• Bis Q1 2026: Registrierung beim BSI
• Bis Q2 2026: Durchführung einer Risikoanalyse und Dokumentation der IT-Systeme
• Bis Q3 2026: Umsetzung technisch-organisatorischer Maßnahmen (siehe unten)
• Ab Q4 2026: Erste Kontrollen durch das BSI

Das Gesetz sieht keine expliziten Übergangsfristen vor. Die Pflichten gelten ab Inkrafttreten. In der Praxis räumt das BSI Unternehmen jedoch eine angemessene Frist ein, um die Maßnahmen umzusetzen, sofern sie nachweislich an der Umsetzung arbeiten.

Pflichten für betroffene Unternehmen

Betroffene Unternehmen müssen Risikomanagement betreiben, technisch-organisatorische Maßnahmen umsetzen, Sicherheitsvorfälle melden und ihre Geschäftsleitung schulen.

Technisch-organisatorische Maßnahmen

Das NIS2-Umsetzungsgesetz fordert ein umfassendes Informationssicherheitsmanagement. Dazu gehören:

• Risikoanalyse und regelmäßige Überprüfung der IT-Sicherheit
• Incident-Management und Notfallpläne
• Business-Continuity-Management (Aufrechterhaltung des Betriebs)
• Sicherheit der Lieferkette (Überprüfung von Dienstleistern und Lieferanten)
• Zugriffskontrollen und Verschlüsselung
• Schulung der Mitarbeiter
• Einsatz von Multi-Faktor-Authentifizierung
• Regelmäßige Sicherheitsupdates und Patch-Management

Die Maßnahmen müssen dem Stand der Technik entsprechen und dokumentiert werden. Eine Zertifizierung nach ISO 27001 ist nicht vorgeschrieben, kann aber die Umsetzung erleichtern.

Dreistufiger Meldeprozess im Detail

Bei einem Cybersicherheitsvorfall – etwa einem Ransomware-Angriff, Datenleck oder Systemausfall – greift der dreistufige Meldeprozess:

1. Erstmeldung (24 Stunden): Das Unternehmen meldet den Vorfall an das BSI, sobald es Kenntnis erlangt. Die Meldung enthält vorläufige Informationen: Art des Vorfalls, betroffene Systeme, erste Einschätzung der Auswirkungen.
2. Folgemeldung (72 Stunden): Das Unternehmen aktualisiert die Meldung mit detaillierteren Informationen: Schweregrad, Anzahl betroffener Nutzer oder Kunden, ergriffene Sofortmaßnahmen, mögliche Ursachen.
3. Abschlussbericht (1 Monat): Das Unternehmen legt einen umfassenden Bericht vor: Ursachenanalyse, Auswirkungen auf den Betrieb, umgesetzte Abhilfemaßnahmen, Maßnahmen zur Verhinderung künftiger Vorfälle.

Die Fristen sind verbindlich. Verstöße gegen die Meldepflicht können mit Bußgeldern geahndet werden.

Persönliche Verantwortung der Geschäftsführung

Geschäftsführer und Vorstände tragen persönliche Verantwortung für die Einhaltung der IT-Sicherheitsmaßnahmen und müssen sich regelmäßig schulen lassen.

Das NIS2-Umsetzungsgesetz verpflichtet die Geschäftsleitung, die Umsetzung der Sicherheitsmaßnahmen zu überwachen und zu genehmigen. Sie muss:

• Regelmäßig an Schulungen zur Cybersicherheit teilnehmen
• Die Risikoanalyse und Sicherheitsmaßnahmen genehmigen
• Bei schwerwiegenden Vorfällen persönlich informiert werden
• Die Einhaltung der Meldepflichten sicherstellen

Bei schuldhafter Pflichtverletzung können aufsichtsrechtliche Konsequenzen drohen. Zudem haften Geschäftsführer zivilrechtlich gegenüber dem Unternehmen, wenn durch Fahrlässigkeit oder Vorsatz ein Schaden entsteht. Bei Einzelfragen zur persönlichen Haftung sollten Sie einen Fachanwalt für IT-Recht konsultieren.

Lieferkettenmanagement und Dienstleister

Unternehmen müssen die IT-Sicherheit ihrer Lieferanten und Dienstleister überprüfen. Das betrifft insbesondere:

• Cloud-Anbieter
• Managed Service Provider
• Softwarehersteller
• Hardwarelieferanten

Verträge mit Dienstleistern müssen Regelungen zur IT-Sicherheit enthalten. Unternehmen bleiben auch bei Auslagerung von IT-Dienstleistungen verantwortlich.

Sanktionen und persönliche Haftung

Wesentliche Einrichtungen müssen mit Bußgeldern bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes rechnen, wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent.

Das NIS2-Umsetzungsgesetz sieht empfindliche Sanktionen vor. Die Höhe richtet sich nach der Kategorie der Einrichtung:

Es gilt der jeweils höhere Betrag. Bei Konzernen wird der weltweite Jahresumsatz der gesamten Unternehmensgruppe herangezogen.

Bußgelder können verhängt werden bei:

• Verstoß gegen Meldepflichten
• Unterlassung technisch-organisatorischer Maßnahmen
• Verweigerung von Kontrollen durch das BSI
• Falschen oder unvollständigen Angaben bei der Registrierung

Das BSI ist zuständig für die Verhängung von Bußgeldern und kann auch Zwangsgelder festsetzen, um die Umsetzung der Pflichten durchzusetzen.

Zusätzlich zu den Bußgeldern tragen Geschäftsführer und Vorstände persönliche Verantwortung. Die persönliche Haftung umfasst zivilrechtliche Ansprüche des Unternehmens oder geschädigter Dritter bei schuldhafter Pflichtverletzung.

Abgrenzung zum bisherigen IT-Sicherheitsgesetz und BSIG

Das deutsche Gesetz setzt teils strengere Schwellenwerte als die EU-Richtlinie und erweitert die Pflichten für die Bundesverwaltung sowie bereits regulierte KRITIS-Betreiber.

Das NIS2-Umsetzungsgesetz ersetzt nicht das bisherige BSI-Gesetz (BSIG 2.0), sondern erweitert es grundlegend. Die wichtigsten Änderungen:

• Erweiterter Anwendungsbereich: Statt bisher rund 2.000 KRITIS-Betreiber sind nun deutlich mehr Unternehmen erfasst.
• Neue Sektoren: Bereiche wie Lebensmittel, Abfallwirtschaft, Chemie und verarbeitendes Gewerbe fallen erstmals unter die Regulierung.
• Strengere Meldepflichten: Die 24-Stunden-Frist für die Erstmeldung ist neu.
• Persönliche Verantwortung: Die Verantwortung der Geschäftsleitung ist im NIS2-Umsetzungsgesetz explizit geregelt.
• Lieferkettensicherheit: Die Pflicht zur Überprüfung von Dienstleistern ist neu.

Bereits regulierte KRITIS-Betreiber müssen ihre bestehenden Maßnahmen überprüfen und an die neuen Anforderungen anpassen. Die Meldepflichten müssen geprüft und gegebenenfalls angepasst werden.

Verhältnis zu anderen Compliance-Anforderungen

Das NIS2-Umsetzungsgesetz ergänzt bestehende Compliance-Anforderungen, etwa:

• DSGVO: Datenschutz und IT-Sicherheit überschneiden sich; ein Cybersicherheitsvorfall kann auch eine Datenschutzverletzung sein. Beide Meldepflichten müssen erfüllt werden.
• ISO 27001: Die Norm für Informationssicherheitsmanagement deckt viele Anforderungen des NIS2-Umsetzungsgesetzes ab. Eine Zertifizierung kann die Umsetzung erleichtern, ist aber nicht vorgeschrieben.
• KRITIS-Verordnung: Bereits regulierte Betreiber müssen beide Regelwerke beachten.

Unternehmen sollten ihre Compliance-Strukturen integrieren, um Doppelarbeit zu vermeiden.

Praktische Handlungsempfehlungen

Unternehmen sollten zunächst prüfen, ob sie betroffen sind, dann interne Verantwortlichkeiten klären, eine Risikoanalyse durchführen und sich beim BSI registrieren.

Selbstprüfung: Bin ich betroffen?

Folgende Fragen helfen bei der Selbstprüfung:

1. Ist mein Unternehmen in einem der 18 Sektoren tätig?
2. Beschäftigt mein Unternehmen mindestens 50 Mitarbeiter oder erzielt es einen Jahresumsatz von mindestens 10 Millionen Euro?
3. Bin ich bereits als KRITIS-Betreiber registriert?

Wenn Sie zwei der drei Fragen mit „Ja" beantworten, sind Sie wahrscheinlich betroffen. Im Zweifel sollten Sie das BSI oder einen Fachanwalt konsultieren.

Erste Schritte zur Umsetzung

1. Betroffenheit klären: Prüfen Sie Sektor, Größe und Kritikalität Ihres Unternehmens.
2. Verantwortlichkeiten festlegen: Benennen Sie einen IT-Sicherheitsbeauftragten und klären Sie die Rolle der Geschäftsleitung.
3. Risikoanalyse durchführen: Identifizieren Sie kritische IT-Systeme und Schwachstellen.
4. Registrierung beim BSI: Nutzen Sie das Online-Portal des BSI.
5. Maßnahmen umsetzen: Implementieren Sie technisch-organisatorische Maßnahmen nach dem Stand der Technik.
6. Dokumentation: Halten Sie alle Schritte schriftlich fest.
7. Schulung: Schulen Sie Geschäftsleitung und Mitarbeiter.

Externe Beratung und Zertifizierung

Viele Unternehmen benötigen externe Unterstützung. Anlaufstellen sind:

• BSI: Das Bundesamt bietet Leitfäden, Checklisten und Informationsveranstaltungen an.
• IHK: Die Industrie- und Handelskammern beraten Mitgliedsunternehmen zu Compliance-Fragen.
• Fachanwälte für IT-Recht: Bei rechtlichen Fragen zur Betroffenheit und Haftung.
• IT-Sicherheitsdienstleister: Für die Umsetzung technischer Maßnahmen und Zertifizierungen.

Eine Zertifizierung nach ISO 27001 oder vergleichbaren Standards kann die Umsetzung erleichtern und als Nachweis gegenüber dem BSI dienen.

Fazit

Das NIS2-Umsetzungsgesetz stellt mittelständische Unternehmen vor erhebliche Herausforderungen. Die Pflichten sind umfassend, die Fristen knapp, die Sanktionen empfindlich. Geschäftsführer und Vorstände tragen persönliche Verantwortung.

Unternehmen sollten jetzt handeln: Betroffenheit prüfen, Verantwortlichkeiten klären, Risikoanalyse durchführen, Maßnahmen umsetzen und sich beim BSI registrieren. Wer frühzeitig beginnt, vermeidet Bußgelder und schützt sein Unternehmen vor Cyberrisiken.

Bei Einzelfragen wenden Sie sich an das BSI, Ihre IHK oder einen Fachanwalt für IT-Recht. Rechtsberatung im Einzelfall kann dieser Artikel nicht ersetzen.