NIS2 in Deutschland: was das BSI-Gesetz verlangt und seit wann
Deutschland hat NIS2 mit dem NIS2UmsuCG umgesetzt. Die Pflichten stehen im neuen BSI-Gesetz (BSIG) und gelten seit dem 6. Dezember 2025. Betroffene Unternehmen registrieren sich beim BSI, ergreifen Sicherheitsmaßnahmen und melden erhebliche Vorfälle. Ihre Geschäftsleitung setzt die Maßnahmen um und überwacht sie.
Das Gesetz
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) hat das BSI-Gesetz neu gefasst. Es ist am 6. Dezember 2025 in Kraft getreten.
Die Pflichten gelten seit diesem Tag. Nur für Nachweise gegenüber dem BSI gibt es spätere Termine.
Zuständig ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
BGBl. 2025 I Nr. 301
Die wichtigsten Daten
27. Dezember 2022
Die Richtlinie (EU) 2022/2555 erscheint im Amtsblatt der EU.
16. Januar 2023
Die Richtlinie tritt in Kraft.
17. Oktober 2024
Frist der EU für die Umsetzung. Deutschland hat sie verpasst.
6. Dezember 2025
Das neue BSIG tritt in Kraft. Die Pflichten gelten ab sofort.
Januar 2026
Das BSI öffnet sein Portal für die Registrierung.
6. März 2026
Frist für die Registrierung der Unternehmen, die seit Dezember 2025 betroffen sind.
6. Dezember 2028
Frühestens ab dann kann das BSI von besonders wichtigen Einrichtungen Nachweise anfordern.
Wer betroffen ist
Ein Unternehmen ist betroffen, wenn es in einem Sektor der Anlagen 1 oder 2 des BSIG tätig ist und groß genug ist.
Wichtige Einrichtung ist ein solches Unternehmen mit mindestens 50 Beschäftigten oder mit einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro.
Besonders wichtige Einrichtung ist ein Unternehmen in einem Sektor der Anlage 1 mit mindestens 250 Beschäftigten oder mit über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Dazu kommen Betreiber kritischer Anlagen und einige Anbieter unabhängig von ihrer Größe, etwa qualifizierte Vertrauensdiensteanbieter.
Die EU-Richtlinie sagt „wesentliche Einrichtung“, das BSIG „besonders wichtige Einrichtung“. Gemeint ist dieselbe Gruppe.
Das BSI bietet eine Betroffenheitsprüfung an. Ihr Ergebnis ist nach Angabe des BSI nicht rechtlich bindend.
§ 28 BSIG · Anlagen 1 und 2
Die vier Pflichten
Beim BSI registrieren
Spätestens drei Monate, nachdem Ihr Unternehmen betroffen ist, über das BSI-Portal. Ändert sich etwas, tragen Sie es binnen zwei Wochen nach.
§ 33 BSIG
Mehr dazuSicherheitsmaßnahmen ergreifen
Maßnahmen in zehn Bereichen, vom Notfallplan bis zum zweiten Faktor, so gründlich, wie es Größe und Risiko Ihres Unternehmens verlangen. Was Sie umsetzen, halten Sie schriftlich fest.
§ 30 BSIG
Mehr dazuErhebliche Vorfälle melden
In drei Stufen an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, die erste binnen 24 Stunden.
§ 32 BSIG
Mehr dazuDie Geschäftsleitung
Sie setzt die Maßnahmen um, überwacht die Umsetzung und nimmt regelmäßig an Schulungen teil.
§ 38 BSIG
Mehr dazuWie das BSI prüft
Besonders wichtige Einrichtungen kann das BSI prüfen, auch mit Hilfe Dritter, und Audits anordnen. Nachweise kann es frühestens ab dem 6. Dezember 2028 anfordern.
Wichtige Einrichtungen prüft es nur, wenn Tatsachen annehmen lassen, dass sie § 30, § 32 oder § 38 Abs. 3 BSIG nicht einhalten.
Bußgelder regelt § 65 BSIG. Für Verstöße gegen Maßnahmen und Meldepflicht liegt die Obergrenze bei 10 Millionen Euro für besonders wichtige und 7 Millionen Euro für wichtige Einrichtungen.
§§ 61, 62, 65 BSIG
Die Bußgelder im EinzelnenWas das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
In einem Sektor der Anlagen 1 oder 2 ist ein solches Unternehmen in der Regel eine wichtige Einrichtung.
Die vier Pflichten gelten für wichtige und besonders wichtige Einrichtungen gleich. Anders ist die Aufsicht: Wichtige Einrichtungen prüft das BSI nur bei Anhaltspunkten.
Wie gründlich jede Maßnahme sein muss, richtet sich nach Risiko, Größe und Kosten. Ein Betrieb mit 80 Beschäftigten muss nicht aufbauen, was ein Konzern braucht.
§ 30 Abs. 1 Satz 2 BSIG
Ein Beispiel
Eine erfundene Firma: ein Entsorgungsbetrieb mit 75 Beschäftigten.
Abfallbewirtschaftung steht in Anlage 2 des BSIG. Mit 75 Beschäftigten ist der Betrieb eine wichtige Einrichtung.
Für die Steuer hat er schon ein ELSTER-Organisationszertifikat. Damit meldet er sich im BSI-Portal an und registriert sich.
Er schreibt auf, womit er arbeitet: Tourenplanung, Waagen, Abrechnung, Fahrzeugortung. Daraus folgen die Maßnahmen.
Im Notfallplan steht, wer einen Vorfall meldet. Der Geschäftsführer besucht eine Schulung und gibt die Dokumente frei.
So geht das im Durchgang
Der Durchgang auf nisd2.eu führt Schritt für Schritt durch die Pflichten aus dem BSIG.
20 Schritte. Betreiber kritischer Anlagen haben einen Schritt mehr.
Neben jedem Schritt steht die Vorschrift, in einfachen Worten erklärt.
Registrierung, Maßnahmen, Meldung und Schulung der Geschäftsleitung sind eigene Schritte.
Aus Ihren Antworten entstehen sechs Dokumente, darunter die Leitlinie und die beiden Notfallpläne.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang. Name und Datum stehen danach auf jedem Dokument.
Häufige Fragen
Seit wann gilt NIS2 in Deutschland?
Seit dem 6. Dezember 2025. An diesem Tag ist das neue BSI-Gesetz in Kraft getreten.
Wie heißt das deutsche NIS2 Gesetz?
NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, kurz NIS2UmsuCG. Es hat vor allem das BSI-Gesetz (BSIG) neu gefasst. Die Pflichten der Unternehmen stehen dort, etwa in den §§ 30, 32, 33 und 38.
Muss sich jedes betroffene Unternehmen beim BSI registrieren?
Ja, jede besonders wichtige und jede wichtige Einrichtung, spätestens drei Monate nachdem sie betroffen ist (§ 33 Abs. 1 BSIG). Die Pflicht gilt, ohne dass das BSI Sie dazu auffordert.
Wer prüft die Umsetzung?
Das BSI. Besonders wichtige Einrichtungen kann es prüfen, wichtige nur bei Anhaltspunkten für einen Verstoß (§§ 61 und 62 BSIG).
Quellen
- BSI-Gesetz (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65 und Anlagen 1 und 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I Nr. 301
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 41 und 45, EUR-Lex
- BSI: Betroffenheitsprüfung NIS 2, betroffenheitspruefung-nis-2.bsi.de
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Vorfallbehandlung
Wissen, wie Sie einen Vorfall melden
Drei Meldungen an das BSI, mit festen Fristen.
Governance & Haftung
Die Geschäftsführung schulen lassen
Jedes Mitglied der Geschäftsführung, regelmäßig.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
