NIS2 in Duitsland: wat de BSI-wet vereist en sinds wanneer
Duitsland heeft NIS2 omgezet met de NIS2UmsuCG. De plichten staan in de nieuwe BSI-wet (BSIG) en gelden sinds 6 december 2025. Bedrijven die eronder vallen, registreren zich bij het BSI, nemen beveiligingsmaatregelen en melden significante incidenten. Hun directie voert de maatregelen in en houdt er toezicht op.
De wet
De wet ter omzetting van NIS 2 en ter versterking van de cyberbeveiliging (NIS2UmsuCG) heeft de BSI-wet herschreven. Zij trad in werking op 6 december 2025.
De plichten gelden sinds die dag. Alleen het bewijs aan het BSI heeft latere data.
De bevoegde instantie is het Bundesamt für Sicherheit in der Informationstechnik (BSI), de Duitse federale dienst voor informatiebeveiliging.
BGBl. 2025 I nr. 301
De belangrijkste data
27 december 2022
Richtlijn (EU) 2022/2555 wordt gepubliceerd in het Publicatieblad van de EU.
16 januari 2023
De richtlijn treedt in werking.
17 oktober 2024
EU-termijn voor de omzetting. Duitsland haalde die niet.
6 december 2025
De nieuwe BSIG treedt in werking. De plichten gelden direct.
Januari 2026
Het BSI opent zijn portaal voor de registratie.
6 maart 2026
Registratietermijn voor bedrijven die er sinds december 2025 onder vallen.
6 december 2028
Vanaf dan kan het BSI op zijn vroegst essentiële entiteiten om bewijs vragen.
Wie eronder valt
Een bedrijf valt eronder als het werkt in een sector uit bijlage 1 of 2 van de BSIG en groot genoeg is.
Zo'n bedrijf is een belangrijke entiteit met minstens 50 medewerkers, of met een jaaromzet en een balanstotaal van elk meer dan 10 miljoen EUR.
Een bedrijf in een sector uit bijlage 1 is een essentiële entiteit met minstens 250 medewerkers, of met meer dan 50 miljoen EUR omzet en meer dan 43 miljoen EUR balanstotaal. Ook exploitanten van kritieke installaties en enkele aanbieders ongeacht hun omvang, zoals gekwalificeerde verleners van vertrouwensdiensten, zijn essentiële entiteiten.
De EU-richtlijn zegt “essentiële entiteit”, de BSIG “besonders wichtige Einrichtung” (bijzonder belangrijke entiteit). Beide bedoelen dezelfde groep.
Het BSI biedt een toets of NIS 2 van toepassing is. Volgens het BSI is de uitkomst niet juridisch bindend.
§ 28 BSIG · bijlagen 1 en 2
De vier plichten
Registreren bij het BSI
Uiterlijk drie maanden nadat uw bedrijf eronder valt, via het portaal van het BSI. Verandert er iets, dan werkt u het binnen twee weken bij.
§ 33 BSIG
Meer hieroverBeveiligingsmaatregelen nemen
Maatregelen op tien gebieden, van het incidentresponsplan tot de tweede factor, zo grondig als de omvang en het risico van uw bedrijf vragen. Wat u invoert, legt u schriftelijk vast.
§ 30 BSIG
Meer hieroverSignificante incidenten melden
In drie fasen bij het gezamenlijke meldpunt van het BSI en het Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), de eerste binnen 24 uur.
§ 32 BSIG
Meer hieroverDirectie
Zij voert de maatregelen in, houdt toezicht op de invoering en volgt regelmatig een training.
§ 38 BSIG
Meer hieroverHoe het BSI controleert
Het BSI kan essentiële entiteiten controleren, ook met hulp van derden, en audits opleggen. Bewijs kan het op zijn vroegst vanaf 6 december 2028 vragen.
Belangrijke entiteiten controleert het alleen als feiten erop wijzen dat zij § 30, § 32 of § 38(3) BSIG niet naleven.
Boetes staan in § 65 BSIG. Bij schending van de maatregelen en de meldplicht is de bovengrens 10 miljoen EUR voor essentiële en 7 miljoen EUR voor belangrijke entiteiten.
§§ 61, 62, 65 BSIG
De boetes in detailWat dit betekent bij 50 tot 150 medewerkers
In een sector uit bijlage 1 of 2 is zo'n bedrijf meestal een belangrijke entiteit.
De vier plichten zijn gelijk voor belangrijke en essentiële entiteiten. Het toezicht verschilt: belangrijke entiteiten controleert het BSI alleen als er aanwijzingen zijn voor een schending.
Hoe grondig elke maatregel moet zijn, hangt af van risico, omvang en kosten. Een bedrijf met 80 medewerkers hoeft niet te bouwen wat een groot concern nodig heeft.
§ 30(1), tweede zin, BSIG
Een voorbeeld
Een verzonnen bedrijf: een afvalbedrijf met 75 medewerkers.
Afvalbeheer staat in bijlage 2 van de BSIG. Met 75 medewerkers is het bedrijf een belangrijke entiteit.
Het heeft al een organisatiecertificaat van ELSTER voor de belastingen. Daarmee logt het in op het portaal van het BSI en registreert het zich.
Het schrijft op waarmee het werkt: routeplanning, weegbruggen, facturatie, voertuigvolgsysteem. Daaruit volgen de maatregelen.
In het incidentresponsplan staat wie een incident meldt. De directeur volgt een training en keurt de documenten goed.
Zo gaat het in de doorloop
De doorloop op nisd2.eu leidt u stap voor stap door de plichten uit de BSIG.
20 stappen. Exploitanten van kritieke installaties hebben er één meer.
Naast elke stap staat de wet, in eenvoudige woorden uitgelegd.
Registratie, maatregelen, melden en de training van de directie zijn elk een eigen stap.
Uit uw antwoorden ontstaan zes documenten, waaronder het beveiligingsbeleid en de twee noodplannen.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account. Naam en datum staan daarna op elk document.
Veelgestelde vragen
Sinds wanneer geldt NIS2 in Duitsland?
Sinds 6 december 2025. Op die dag trad de nieuwe BSI-wet in werking.
Hoe heet de Duitse NIS2-wet?
De wet ter omzetting van NIS 2 en ter versterking van de cyberbeveiliging, kortweg NIS2UmsuCG. Zij heeft vooral de BSI-wet (BSIG) herschreven. Daar staan de plichten van de bedrijven, bijvoorbeeld in §§ 30, 32, 33 en 38.
Moet elk bedrijf dat eronder valt zich bij het BSI registreren?
Ja, elke essentiële en elke belangrijke entiteit, uiterlijk drie maanden nadat zij eronder valt (§ 33(1) BSIG). De plicht geldt zonder dat het BSI u erom vraagt.
Wie controleert de invoering?
Het BSI. Het kan essentiële entiteiten controleren; belangrijke entiteiten alleen als er aanwijzingen zijn voor een schending (§§ 61 en 62 BSIG).
Bronnen
- BSI-wet (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65 en bijlagen 1 en 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I nr. 301
- Richtlijn (EU) 2022/2555 (NIS 2), art. 41 en 45, EUR-Lex
- BSI: toets of NIS 2 van toepassing is, betroffenheitspruefung-nis-2.bsi.de
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
