Nexvyra

NIS-2-Umsetzungsgesetz – Cybersecurity-Pflichten für KRITIS und besonders wichtige Einrichtungen In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-09-09 · letzte Prüfung: 2026-09-09 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Die **NIS-2-Richtlinie (EU) 2022/2555** ist in Deutschland umgesetzt. Das **NIS-2-Umsetzungsgesetz** (amtlich: „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung", verbreitete Kurzform: NIS2UmsuCG) wurde am **05.12.2025 verkündet** (**BGBl. 2025 I Nr. 301**, ausgefertigt am 02.12.2025) und ist **seit dem 06.12.2025 in Kraft**. Es setzt die Richtlinie vor allem durch eine vollständige Novellierung des **BSI-Gesetzes (BSIG)** um. Betroffen sind nach BSI-Angaben **rund 29.500 Einrichtungen** (zuvor rund 4.500 nach altem BSIG), eingeteilt in „**besonders wichtige**" und „**wichtige**" Einrichtungen. Kernpflichten: **Registrierung beim BSI binnen drei Monaten** (§ 33 BSIG), **Risikomanagementmaßnahmen** (§ 30 BSIG) und die **Meldung erheblicher Sicherheitsvorfälle** mit **Erstmeldung binnen 24 Stunden** (§ 32 BSIG). Betreiber kritischer Anlagen (KRITIS) gelten automatisch als besonders wichtige Einrichtungen. Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, haftet dafür gegenüber der Einrichtung und muss **regelmäßig an Schulungen teilnehmen** (§ 38 BSIG).

Kernfakten

PunktWert
EU-RechtsgrundlageRichtlinie (EU) 2022/2555 (NIS-2) [eur-lex.europa.eu, CELEX:32022L2555]
Deutsche UmsetzungNIS-2-Umsetzungsgesetz, verkündet 05.12.2025, ausgefertigt 02.12.2025 [BGBl. 2025 I Nr. 301]
In Kraft seit06.12.2025 [BSI-Pressemitteilung vom 05.12.2025]
Umgesetzt imneu gefasstes BSI-Gesetz (BSIG) vom 02.12.2025
EU-Umsetzungsfrist17. Oktober 2024 (von Deutschland überschritten) [Art. 41 NIS-2-RL]
Anzahl betroffene Einrichtungen DErund 29.500 (zuvor rund 4.500 nach altem BSIG) [BSI]
Schwelle „besonders wichtig"≥ 250 Mitarbeitende oder Jahresumsatz > 50 Mio. € und Jahresbilanzsumme > 43 Mio. €, in einer Einrichtungsart der Anlage 1 [§ 28 Abs. 1 Satz 1 Nr. 4 BSIG]
Schwelle „wichtig"≥ 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils > 10 Mio. €, in einer Einrichtungsart der Anlagen 1 oder 2 [§ 28 Abs. 2 Satz 1 Nr. 3 BSIG]
KRITIS-BetreiberBetreiber kritischer Anlagen gelten ohne Schwellenwert als besonders wichtige Einrichtungen [§ 28 Abs. 1 Satz 1 Nr. 1 BSIG]
Ohne Schwellenwert erfasstqualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter [§ 28 Abs. 1 Satz 1 Nr. 2 BSIG]
Sektoren18 insgesamt: 11 Sektoren hoher Kritikalität (Anlage 1) und 7 sonstige kritische Sektoren (Anlage 2) [Anlagen 1 und 2 BSIG; Anhänge I und II NIS-2-RL]
Sektoren mit hoher KritikalitätEnergie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum
Sonstige kritische SektorenPost- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung
Registrierungspflichtbinnen drei Monaten, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige bzw. wichtige Einrichtung gilt [§ 33 Abs. 1 BSIG]
Frist für BestandsfälleFür am 06.12.2025 bereits betroffene Einrichtungen lief die Drei-Monats-Frist am 06.03.2026 ab
Registrierungswegzweistufig: erst „Mein Unternehmenskonto" (MUK), dann BSI-Portal [BSI]
BSI-Portal freigeschaltet06.01.2026 [BSI]
ÄnderungsmeldungÄnderungen der Registrierungsangaben unverzüglich, spätestens binnen zwei Wochen [§ 33 Abs. 5 BSIG]
Meldepflicht Frühwarnungunverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung [§ 32 Abs. 1 Satz 1 Nr. 1 BSIG]
Meldepflicht Bewertungsmeldungunverzüglich, spätestens binnen 72 Stunden [§ 32 Abs. 1 Satz 1 Nr. 2 BSIG]
Meldepflicht Abschlussmeldungspätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall an, zunächst Fortschrittsmeldung [§ 32 Abs. 1 Satz 1 Nr. 4, Abs. 2 BSIG]
Risikomanagement-Pflichten10 Mindestmaßnahmen: Risikoanalyse, Incident-Handling, Business-Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Schulungen, Kryptografie, MFA, Zugriffskontrolle, Asset-Management – mit Dokumentationspflicht [§ 30 BSIG, Art. 21 NIS-2-RL]
Übergangsfrist für § 30 BSIGkeine – die Risikomanagementmaßnahmen gelten seit Inkrafttreten
Bußgeld besonders wichtige Einrichtungbis 10 Mio. € (u. a. Risikomanagement, Dokumentation, Melde- und Unterrichtungspflichten) [§ 65 Abs. 5 Satz 1 Nr. 1 lit. a BSIG]
Bußgeld wichtige Einrichtungbis 7 Mio. € in denselben Fällen [§ 65 Abs. 5 Satz 1 Nr. 1 lit. b BSIG]
Umsatzbezogener RahmenNur bei Gesamtumsatz über 500 Mio. €: abweichend bis 2 % (besonders wichtig) bzw. 1,4 % (wichtig) des weltweiten Gesamtumsatzes des Vorjahres [§ 65 Abs. 6 bis 8 BSIG]
Bußgeld Registrierungsverstoßbis 500.000 € [§ 65 Abs. 2 Nr. 6 i. V. m. Abs. 5 Satz 1 Nr. 5 BSIG]
Pflichten der GeschäftsleitungUmsetzung und Überwachung der Risikomanagementmaßnahmen [§ 38 Abs. 1 BSIG]
Haftung GeschäftsleitungHaftung gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts [§ 38 Abs. 2 BSIG]
Schulungspflicht LeitungGeschäftsleitungen müssen regelmäßig an Schulungen teilnehmen [§ 38 Abs. 3 BSIG]
Aufsichtsbehörde DEBundesamt für Sicherheit in der Informationstechnik (BSI) [§ 59 BSIG]

Geltungsbereich

Das Gesetz erfasst alle Einrichtungen – unabhängig von der Rechtsform – mit Geschäftstätigkeit in Deutschland in den erfassten Sektoren, sofern die Schwellenwerte zu Mitarbeiterzahl, Umsatz und Bilanzsumme überschritten sind. Für die Bestimmung von Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme gilt die KMU-Empfehlung der Kommission (2003/361/EG) – ausgenommen Artikel 3 Absatz 4 des Anhangs (§ 28 Abs. 4 BSIG). Konzernstrukturen werden damit grundsätzlich konsolidiert betrachtet; die Daten von Partner- oder verbundenen Unternehmen bleiben aber ausnahmsweise außer Betracht, wenn das Unternehmen mit Blick auf seine informationstechnischen Systeme tatsächlich unabhängig ist.

Anders als unter dem alten BSIG gilt das Gesetz automatisch (Selbst-Identifikation); das BSI benennt die Unternehmen nicht mehr einzeln. Das BSI stellt dafür eine Betroffenheitsprüfung bereit. Unabhängig von den Schwellenwerten erfasst sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter. Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gelten eigene, niedrigere Schwellen (§ 28 Abs. 1 Satz 1 Nr. 3, Abs. 2 Satz 1 Nr. 2 BSIG).

Bereichsausnahmen: Für Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554 sowie für die Gesellschaft für Telematik und bestimmte Betreiber von Telematikinfrastruktur-Diensten gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG). Ähnliches gilt für Telekommunikations- und Energienetzbetreiber, soweit sie den §§ 5c bis 5e EnWG unterliegen (§ 28 Abs. 5 BSIG).

Auch Einrichtungen der Bundesverwaltung fallen unter das Gesetz: Bundesbehörden, öffentlich-rechtlich organisierte IT-Dienstleister des Bundes sowie bestimmte Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts. Für sie gelten IT-Risikomanagementmaßnahmen auf IT-Grundschutz-Basis und zusätzlich die BSI-Mindeststandards.

Registrierung

Das BSI sieht einen zweistufigen Registrierungsprozess vor:

  1. Anmeldung bei „Mein Unternehmenskonto" (MUK) – ein Nutzerkonto im Sinne des Onlinezugangsgesetzes (OZG) für juristische Personen, technisch auf ELSTER-Basis. Es ist das geschäftliche Pendant zur BundID.
  2. Registrierung im BSI-Portal mit dem MUK-Konto. Das BSI-Portal ist seit dem 06.01.2026 freigeschaltet und dient zugleich als Meldestelle für erhebliche Sicherheitsvorfälle.

Gesetzlich vorgegeben ist die Frist des § 33 Abs. 1 BSIG: drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Einrichtungen, die bereits am Tag des Inkrafttretens betroffen waren, lief diese Frist am 06.03.2026 ab. Die Registrierung von kritischen Anlagen richtet sich nach § 8 des KRITIS-Dachgesetzes (§ 33 Abs. 2 BSIG). Erfüllt eine Einrichtung ihre Registrierungspflicht nicht, kann das BSI die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst vornehmen (§ 33 Abs. 3 BSIG); der Verstoß bleibt gleichwohl bußgeldbewehrt.

Häufige Fehler

Änderungsverlauf

Stand

Quellen

Letzte Änderung:
2026-09-09
Letzte Prüfung:
2026-09-09
In Kraft seit:
2025-12-06
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.