NIS-2-Umsetzung in Deutschland: was das NIS2UmsuCG verlangt

Seit wann es gilt

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und ist am 6. Dezember 2025 in Kraft getreten. Es fasst das BSI-Gesetz (BSIG) neu. Eine allgemeine Übergangsfrist gibt es nicht: Die Pflichten gelten seit diesem Tag.

Wer betroffen ist

Betroffen sind Unternehmen in den Sektoren der Anlagen 1 und 2 des BSIG, sobald sie bestimmte Größen erreichen. Als Faustregel: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Das Gesetz unterscheidet:

besonders wichtige Einrichtungen: in der Regel ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme, in den Sektoren der Anlage 1, sowie bestimmte Einrichtungen unabhängig von ihrer Größe;
wichtige Einrichtungen: die übrigen betroffenen mittleren und großen Unternehmen.

Ob ein Unternehmen darunter fällt, hängt von der genauen Tätigkeit ab, nicht vom Branchennamen. Der kostenlose NIS-2-Betroffenheitscheck gibt eine erste Einschätzung; verbindlich ist das Gesetz.

Die vier Pflichten

Registrierung beim BSI. Wer beim Inkrafttreten betroffen war, musste sich innerhalb von drei Monaten registrieren, also bis zum 6. März 2026. Wer später betroffen wird, hat ab diesem Zeitpunkt drei Monate.
Risikomanagement. Angemessene technische und organisatorische Maßnahmen, darunter Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Meldepflichten. Erhebliche Sicherheitsvorfälle melden Sie dem BSI in Stufen: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats.
Verantwortung der Geschäftsleitung. Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Sie kann bei Pflichtverletzungen haften.

Bei Verstößen drohen Bußgelder: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen, jeweils der höhere Betrag.

Womit Sie anfangen

Betroffenheit klären und, falls nötig, die Registrierung nachholen.
Eine Liste der eigenen Domains, Dienste und Dienstleister erstellen: Ohne Inventar ist kein Risikomanagement möglich.
Den Meldeweg festlegen: wer entscheidet, ob ein Vorfall erheblich ist, und wer binnen 24 Stunden meldet.
Die Lieferkette einbeziehen: Das Gesetz verlangt, die Sicherheit der Dienstleister zu berücksichtigen. Siehe Die Sicherheit eines Lieferanten bewerten.

Was ein Blick von außen beiträgt, und was nicht

Ein passives Audit von außen, wie Perimetry es macht, zeigt einen Teil dessen, was das Gesetz unter Schwachstellenmanagement und Kryptografie fasst: veraltete Zertifikate, offene Ports, fehlende E-Mail-Authentifizierung, vergessene Subdomains. Es ersetzt weder die Risikoanalyse noch die organisatorischen Maßnahmen, die Meldeprozesse oder die Schulung der Geschäftsleitung. Für kleine Unternehmen, die nicht unter das Gesetz fallen, aber von Kunden danach gefragt werden, siehe NIS2 für kleine Unternehmen.

Dieser Leitfaden ist keine Rechtsberatung.