Die europaeische NIS2-Richtlinie musste bis 17. Oktober 2024 in nationales Recht umgesetzt werden. Deutschland hat diese Frist verpasst. Das NIS2-Umsetzungs- und Cybersicherheitsstaerkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Es gibt keine allgemeine Uebergangsfrist. Dieser Artikel erklaert den Stand im November 2026, Ihre Pflichten und die Fristen.
Was ist das NIS2-Umsetzungsgesetz?
Das NIS2UmsuCG ist die deutsche Umsetzung der EU-Richtlinie (EU) 2022/2555 (NIS2). Es aendert hauptsaechlich:
- Das BSI-Gesetz (BSIG), das neu gefasst wurde und die meisten neuen Pflichten enthaelt
- Das Telekommunikationsgesetz (TKG) fuer Netzbetreiber
- Das Energiewirtschaftsgesetz (EnWG) fuer Energieversorger
- Diverse Fachgesetze (z.B. gesundheitsrechtliche Bestimmungen)
Das Gesetz ueberfuehrt NIS2 in deutsches Recht und erweitert es teilweise (z.B. niedrigere Schwellenwerte in kritischen Sektoren).
Gesetzgebungsstand (Stand November 2026)
Chronologie:
- Oktober 2024: EU-Umsetzungsfrist verpasst
- Ende 2024: Der erste Regierungsentwurf scheitert mit dem Ende der Ampel-Koalition (Diskontinuitaet)
- 2025: Die neue Bundesregierung bringt den Entwurf erneut ein
- 13. November 2025: Beschluss im Bundestag
- 20. November 2025: Bundesrat
- 6. Dezember 2025: Verkuendung im Bundesgesetzblatt und Inkrafttreten
- 6. Maerz 2026: Ende der Frist fuer die Registrierung beim BSI (3 Monate nach Inkrafttreten)
Die Pflichten gelten also seit dem 6. Dezember 2025. Wer sich noch nicht beim BSI registriert hat, sollte das jetzt nachholen.
Was bedeutet das in der Praxis?
Das Gesetz gilt. Zusaetzlich wirken die Pflichten auch ueber andere Wege:
- Das BSI kann Nachweise anfordern und Anordnungen treffen
- Die Geschaeftsleitung muss die Massnahmen billigen, ueberwachen und sich schulen lassen
- Versicherungen pruefen Cyber-Deckung zunehmend gegen NIS2-Kriterien
- Kunden und Auftraggeber fordern NIS2-Konformitaet als Vertragsvoraussetzung
- Vertragspflichten entlang der Lieferkette setzen NIS2 praktisch voraus
Wer weiter abwartet, riskiert Bussgelder, Vertragsverluste und Haftungsansprueche bei Sicherheitsvorfaellen.
Zwei Arten von Einrichtungen
Das NIS2UmsuCG unterscheidet — wie NIS2 — zwischen:
Wesentliche Einrichtungen (§ BSIG-neu)
- Grossunternehmen (>= 250 Mitarbeiter oder >= 50 Mio. Jahresumsatz) in bestimmten Sektoren
- Sektoren: Energie, Verkehr, Bank, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, oeffentliche Verwaltung, Weltraum
- Bussgelder bis EUR 10 Mio. oder 2% des weltweiten Jahresumsatzes
Wichtige Einrichtungen (§ BSIG-neu)
- Mittlere Unternehmen (ab 50 MA oder 10 Mio. Umsatz) in erweiterten Sektoren
- Erweitert: Post und Kurier, Abfall, Chemie, Lebensmittel, Herstellung (kritische Produkte), digitale Anbieter
- Bussgelder bis EUR 7 Mio. oder 1,4% des weltweiten Jahresumsatzes
Groesse ist nicht allein entscheidend. Einige Einrichtungen fallen unabhaengig von der Groesse unter NIS2, z.B.:
- Kritische Betreiber (wie im KritisV gelistet)
- Vertrauensdiensteanbieter
- TLD-Registries
- Bestimmte oeffentliche Einrichtungen
Sind Sie betroffen? NIS2-Betroffenheitscheck — in 5 Minuten klaeren.
Die 10 zentralen Pflichten nach § 30 BSIG-neu
Das deutsche Gesetz uebernimmt im Wesentlichen die 10 Massnahmen aus NIS2 Art. 21:
- Risikoanalyse und Sicherheitsrichtlinien — dokumentiert, regelmaessig aktualisiert
- Behandlung von Sicherheitsvorfaellen — Incident Response Plan mit Playbooks
- Business Continuity Management — BCM/DR-Plaene, Backup-Konzept
- Lieferkettensicherheit — Lieferantenmanagement, Pruefung der Lieferanten
- Sicherheit bei Erwerb, Entwicklung und Wartung — sichere SDLC, Patch-Management
- Wirksamkeitsbewertung — regelmaessige Pruefungen (implizit Pentests)
- Cyber-Hygiene und Schulung — verpflichtend fuer alle Mitarbeitenden
- Kryptographie — Verschluesselung, Zertifikatsmanagement
- Personalsicherheit — Hintergrundpruefungen, Zugriffskontrollen, Beendigung
- Multi-Faktor-Authentifizierung und Kommunikationssicherheit
Mehr zu Massnahme 6 ("Wirksamkeitsbewertung") im Artikel NIS2 und Penetrationstests.
Neuigkeiten im Vergleich zur NIS2-Richtlinie
Das deutsche Gesetz geht in Teilen ueber die EU-Mindestanforderungen hinaus:
Erweiterte Sektorenliste
- DE erfasst manche Sektoren frueher oder breiter als die Richtlinie verlangt
- KRITIS-Sektoren (bereits unter BSIG alt) werden in NIS2 aufgenommen, erweitert
Strengere Meldefristen
- Erstmeldung: unverzueglich, spaetestens 24 Stunden nach Kenntnis
- Update-Meldung: 72 Stunden nach Kenntnis
- Abschlussbericht: einen Monat nach der Update-Meldung
Mehr dazu: NIS2 Meldepflicht.
Erweiterte Registrierungspflicht
- Bestimmte Einrichtungen muessen sich aktiv beim BSI registrieren
- Frist: 3 Monate nach Inkrafttreten des Gesetzes (also bis 6. Maerz 2026) bzw. 3 Monate nach Erfuellung der Kriterien
Mehr: NIS2 Registrierungspflicht.
Haftung der Geschaeftsleitung (§ 38 BSIG-neu)
- Geschaeftsleitungen sind persoenlich verantwortlich fuer die Einhaltung
- Bei grober Fahrlaessigkeit: persoenliche Haftung moeglich
- Schulungspflicht: Geschaeftsleitungen muessen regelmaessig geschult werden
Klagebefugnis
- Wettbewerber koennen bei Nicht-Einhaltung unter Umstaenden abmahnen (UWG-Bezug)
Was Sie jetzt tun sollten
Das Gesetz ist in Kraft. Gehen Sie diese Schritte jetzt an:
- Betroffenheitscheck — sind Sie wesentliche, wichtige oder nicht-relevante Einrichtung? Jetzt pruefen
- Gap-Analyse gegen die 10 Pflichtmassnahmen — NIS2 Readiness
- Geschaeftsleitung informieren — Haftungsrisiken transparent machen
- Pilot-Budget fuer 2026 einplanen (Tooling + externe Beratung + Pentest)
- Registrierungsvorbereitung — welche Daten werden gebraucht, welche Ansprechpersonen?
- Dokumentationsbasis aufbauen — Richtlinien, Risikoanalyse, Vorfallprozess dokumentieren
- Meldewege intern und Richtung BSI vorbereiten
- Lieferantenpruefung starten — welche Lieferanten brauchen welche Nachweise?
Fristen nach Inkrafttreten
Das NIS2UmsuCG sieht keine allgemeine Uebergangsfrist vor. Die Pflichten gelten seit dem 6. Dezember 2025. Pruefen Sie Einzelfristen fuer Ihren Sektor im Gesetzestext und in den Hinweisen des BSI.
| Pflicht |
Frist |
| Registrierung beim BSI |
3 Monate nach Inkrafttreten bzw. nach Erfuellung der Kriterien |
| Risikomanagementmassnahmen |
seit Inkrafttreten |
| Meldewege fuer erhebliche Sicherheitsvorfaelle |
seit Inkrafttreten |
| Schulung der Geschaeftsleitung |
regelmaessig, seit Inkrafttreten |
Was das fuer Ihre Planung bedeutet
- Schliessen Sie offene Luecken 2026
- Rechnen Sie ab 2027 mit Pruefungen und Nachweisanforderungen
- Holen Sie eine fehlende BSI-Registrierung sofort nach
- Kommunizieren Sie die Pflichten intern als verbindlich
Wie Matproof unterstuetzt
Matproof bildet alle 10 NIS2-Pflichtmassnahmen (Art. 21 / § 30 BSIG-neu) in einer Compliance-Plattform ab:
- Richtlinien-Bibliothek mit 40+ NIS2-relevanten Templates
- Automatisierte Kontrollen-Pruefung (MFA, Logging, Access Reviews)
- Integriertes AI Pentesting fuer die Wirksamkeitsbewertung
- Lieferantenmanagement mit SOC 2 / ISO 27001-Dokumenten-Tracking
- Incident-Response-Workflow mit BSI-Meldefrist-Tracker
- Schulungsmodule fuer Mitarbeitende und Geschaeftsleitung
- In Deutschland (EU) gehostet, DSGVO-nativ
NIS2 Readiness Assessment • NIS2 Umsetzungsleitfaden • 14 Tage kostenlos testen
Weiter lesen
Weiterführende Artikel
Bereit für den nächsten Schritt? Matproof führt kontinuierliche KI-Penetrationstests und Compliance-Überwachung durch. 14 Tage kostenlos testen.