Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten — ohne Übergangsfrist. Es setzt die EU-Richtlinie NIS2 in deutsches Recht um und novelliert dafür das BSI-Gesetz. Rund 29.500 Unternehmen mussten sich bis 6. März 2026 beim BSI registrieren; eine Nachfrist lief bis 31. Juli 2026. Die Umsetzungspflichten gelten seit Inkrafttreten unmittelbar.
Kaum ein IT-Gesetz wurde so lange erwartet wie das NIS2-Umsetzungsgesetz. Die EU-Vorgabe stand seit Ende 2022 fest, die Umsetzungsfrist lief im Oktober 2024 ab — doch Regierungswechsel und Ressortabstimmungen verzögerten das deutsche Gesetz um mehr als ein Jahr. Seit dem 6. Dezember 2025 ist es in Kraft, und zwar ohne jede Übergangsfrist. Wer betroffen ist, steht seitdem in der Pflicht.
Dieser Artikel fasst den aktuellen Stand zusammen (September 2026): Wie das Gesetz zustande kam, was es regelt, welche Fristen bereits abgelaufen sind und was Unternehmen jetzt noch tun können, wenn sie spät dran sind. Er richtet sich an Geschäftsführer und IT-Verantwortliche, die Klarheit statt Paragrafendeutsch brauchen.
Was ist das NIS2-Umsetzungsgesetz?
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz — kurz NIS2UmsuCG — überführt die EU-Richtlinie (EU) 2022/2555 („NIS2“) in deutsches Recht. Es ist kein eigenständiges Gesetzbuch, sondern ein Artikelgesetz: Sein Kernstück ist eine umfassende Neufassung des BSI-Gesetzes (BSIG), daneben ändert es unter anderem das Energiewirtschaftsgesetz und das Telekommunikationsgesetz.
Praktisch bedeutet das: Wer wissen will, welche Pflichten gelten, schlägt nicht im „NIS2-Gesetz“ nach, sondern im neuen BSIG. Dort stehen die Einstufungskriterien, die Maßnahmenkataloge, die Meldepflichten und die Bußgeldvorschriften. Die Aufsicht liegt beim Bundesamt für Sicherheit in der Informationstechnik (BSI) — mit Ausnahme des Finanzsektors, für den die europäische DORA-Verordnung unter Aufsicht der BaFin als Spezialregelung vorgeht.
Mit dem Gesetz wächst der Kreis der regulierten Unternehmen deutlich: Statt einiger tausend KRITIS-Betreiber unter dem alten IT-Sicherheitsgesetz sind nun rund 29.500 Einrichtungen erfasst — vom Energieversorger über den Maschinenbauer bis zum Lebensmittelhersteller mit 50 Mitarbeitenden.
Wie kam das Gesetz zustande? Die Zeitleiste
Der Weg von der EU-Richtlinie zum deutschen Gesetz war lang. Die wichtigsten Stationen:
| Datum | Ereignis |
|---|---|
| 16.01.2023 | NIS2-Richtlinie (EU) 2022/2555 tritt auf EU-Ebene in Kraft |
| 17.10.2024 | Ablauf der EU-Umsetzungsfrist — Deutschland verpasst sie, wie die meisten Mitgliedstaaten |
| 2024–2025 | Mehrere Referenten- und Regierungsentwürfe; Verzögerung durch das Ende der Ampelkoalition und die Neuwahl |
| 13.11.2025 | Der Bundestag beschließt das NIS2UmsuCG |
| 20.11.2025 | Der Bundesrat billigt das Gesetz |
| 05.12.2025 | Verkündung im Bundesgesetzblatt |
| 06.12.2025 | Inkrafttreten — ohne Übergangsfrist |
| 06.01.2026 | Das BSI schaltet das Registrierungs- und Meldeportal frei |
| 06.03.2026 | Ablauf der regulären dreimonatigen Registrierungsfrist für Bestandsunternehmen |
| 31.07.2026 | Ablauf der vom BSI kommunizierten Nachfrist für die Registrierung |
Bemerkenswert ist der Verzicht auf Übergangsfristen: Anders als bei der DSGVO, die zwei Jahre Vorlauf gewährte, galten die NIS2-Pflichten ab dem ersten Tag. Der Gesetzgeber argumentierte, die Anforderungen seien seit 2022 bekannt gewesen. Für Unternehmen, die erst durch das Gesetz von ihrer Betroffenheit erfuhren, war das ein harter Start.
Welche Paragrafen des neuen BSIG muss ich kennen?
Für die betriebliche Praxis genügt ein Überblick über sechs Regelungskomplexe:
- § 28 BSIG — Einstufung: Definiert, wer „besonders wichtige Einrichtung“ und wer „wichtige Einrichtung“ ist. Maßgeblich sind Sektor (Anlagen 1 und 2 des Gesetzes) und Unternehmensgröße. Die deutsche Terminologie weicht von der EU-Richtlinie ab, die von „wesentlichen“ und „wichtigen“ Einrichtungen spricht — gemeint ist dasselbe Zwei-Klassen-System.
- § 30 BSIG — Risikomanagement: Der Katalog der zehn Pflichtmaßnahmen, von der Risikoanalyse über Backup-Management und Lieferkettensicherheit bis zur Multi-Faktor-Authentifizierung.
- § 32 BSIG — Meldepflichten: Das dreistufige Meldeverfahren für erhebliche Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach spätestens einem Monat.
- § 33 BSIG — Registrierung: Die Pflicht, sich binnen drei Monaten nach Erfüllen der Kriterien beim BSI zu registrieren.
- § 38 BSIG — Geschäftsleitung: Billigungs- und Überwachungspflicht der Geschäftsleitung, persönliche Schulungspflicht und Haftung gegenüber der eigenen Gesellschaft bei Pflichtverletzungen.
- §§ 60 ff. BSIG — Aufsicht und Bußgelder: Befugnisse des BSI und der Bußgeldrahmen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Betreiber kritischer Anlagen (KRITIS) unterliegen zusätzlich verschärften Anforderungen, etwa dem Einsatz von Systemen zur Angriffserkennung und turnusmäßigen Nachweispflichten gegenüber dem BSI.
Wer fällt unter das Gesetz?
Das Gesetz erfasst Unternehmen aus 18 Sektoren. Anlage 1 listet elf Sektoren hoher Kritikalität, darunter Energie, Transport und Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung und Weltraum. Anlage 2 ergänzt sieben weitere Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste sowie Forschung.
Innerhalb dieser Sektoren gelten zwei Größenschwellen: Ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme wird ein Unternehmen zur wichtigen Einrichtung. Ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme wird es — in den Anlage-1-Sektoren — zur besonders wichtigen Einrichtung. Einige Anbieter wie DNS-Dienste, TLD-Registrare und qualifizierte Vertrauensdiensteanbieter sind unabhängig von ihrer Größe erfasst, ebenso alle Betreiber kritischer Anlagen.
Wichtig: Es gibt keinen behördlichen Bescheid über die Betroffenheit. Jedes Unternehmen muss selbst prüfen, ob es unter das Gesetz fällt — das BSI stellt dafür eine Online-Betroffenheitsprüfung bereit. Details und einen Selbstcheck finden Sie im Artikel zur NIS2-Betroffenheit.
Welche Fristen gelten — und welche sind schon abgelaufen?
Stand September 2026 sind die zentralen Fristen bereits verstrichen:
- Registrierung: Bestandsunternehmen mussten sich bis zum 6. März 2026 beim BSI registrieren. Das BSI räumte anschließend eine Nachfrist bis zum 31. Juli 2026 ein. Wer die Kriterien erst später erfüllt — etwa durch Wachstum über die Schwellenwerte —, hat ab diesem Zeitpunkt drei Monate Zeit.
- Umsetzung der Maßnahmen: Für die zehn Risikomanagementmaßnahmen nach § 30 BSIG gab es nie eine Frist — sie gelten seit dem 6. Dezember 2025 unmittelbar.
- Meldepflichten: Auch sie gelten seit Inkrafttreten. Das Meldeportal des BSI ist seit dem 6. Januar 2026 online.
Was heißt das für Nachzügler? Eine versäumte Registrierung ist bußgeldbewehrt, lässt sich aber jederzeit nachholen — und sollte es auch, denn jede weitere Verzögerung verschlechtert die Position gegenüber der Aufsicht. Bei den Sicherheitsmaßnahmen zählt der nachweisbare, priorisierte Fortschritt: Ein dokumentierter Umsetzungsplan mit Risikoabwägung ist gegenüber dem BSI deutlich besser als Stillstand oder Aktionismus. Die Aufsichtspraxis des BSI setzt bisher erkennbar auf Kooperation vor Sanktion — verlassen sollte man sich darauf nicht.
Was verlangt das Gesetz inhaltlich von Unternehmen?
Die Pflichten lassen sich in vier Blöcke ordnen, die parallel angegangen werden sollten:
- Registrieren: Stammdaten, Sektor, Kontaktstelle und IP-Bereiche über das BSI-Portal melden. Aufwand: überschaubar, meist wenige Stunden.
- Risikomanagement aufbauen: Die zehn Maßnahmenbereiche des § 30 BSIG abdecken — verhältnismäßig zum Risiko und nach Stand der Technik. Das ist der eigentliche Arbeitsblock; je nach Ausgangslage dauert die Umsetzung mehrere Monate.
- Meldefähigkeit herstellen: Interne Prozesse aufsetzen, damit ein erheblicher Sicherheitsvorfall auch nachts und am Wochenende binnen 24 Stunden erkannt, bewertet und gemeldet werden kann.
- Geschäftsleitung einbinden: Die Leitungsebene muss die Maßnahmen billigen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen — nicht delegierbar.
Eine Zertifizierungspflicht sieht das Gesetz nicht vor. In der Praxis organisieren viele Unternehmen die Umsetzung entlang der Norm ISO 27001, weil deren Managementsystem-Logik die gesetzlichen Maßnahmenbereiche nahezu vollständig abdeckt und eine belastbare Dokumentation erzwingt. Registrierung, Meldewege und Geschäftsleiterschulung bleiben daneben eigenständige gesetzliche Pflichten.
Offene Punkte: Was sich noch ändern kann
Mit dem Inkrafttreten ist die Rechtsentwicklung nicht abgeschlossen. Drei Baustellen sollten Betroffene im Blick behalten (Stand: September 2026):
- Konkretisierende Rechtsverordnungen: Einzelheiten — etwa Schwellenwerte für kritische Anlagen oder Anforderungen an Nachweise — regelt der Verordnungsgeber nach und nach. Änderungen im Detail sind möglich.
- Aufsichtspraxis des BSI: Wie streng das BSI prüft, welche Nachweise es akzeptiert und wie es Bußgelder bemisst, wird sich erst in den kommenden Jahren herausbilden. Orientierungshilfen und FAQ des BSI werden laufend erweitert.
- Weitere EU-Regulierung: Mit dem Cyber Resilience Act (Produktsicherheit) und der CER-Richtlinie (physische Resilienz kritischer Einrichtungen) stehen verwandte Regelwerke bereit, die teils dieselben Unternehmen treffen.
Für die Praxis ändert das wenig am Kurs: Die Grundpflichten stehen fest, und wer sie systematisch umsetzt, ist auch für Detailänderungen gerüstet. Ein Managementsystem, das Risiken regelmäßig neu bewertet, fängt regulatorische Nachschärfungen im normalen Betrieb auf.
Häufige Fragen
Ja, seit dem 6. Dezember 2025. Der Bundestag hat es am 13. November 2025 beschlossen, der Bundesrat am 20. November 2025 gebilligt, verkündet wurde es am 5. Dezember 2025. Eine Übergangsfrist gab es nicht — sämtliche Pflichten gelten seit dem Inkrafttreten unmittelbar.
Die EU-Umsetzungsfrist lief am 17. Oktober 2024 ab. In Deutschland verzögerten das Ende der Ampelkoalition, die Neuwahl und strittige Detailfragen — etwa Ausnahmen für die Bundesverwaltung — den Abschluss. Deutschland stand damit nicht allein: Die Mehrheit der EU-Staaten überschritt die Frist, gegen viele leitete die EU-Kommission Vertragsverletzungsverfahren ein.
Die reguläre Frist betrug drei Monate ab Inkrafttreten und endete für Bestandsunternehmen am 6. März 2026. Das BSI gewährte anschließend eine Nachfrist bis zum 31. Juli 2026. Beide Termine sind abgelaufen (Stand: September 2026). Wer noch nicht registriert ist, sollte dies umgehend nachholen — die Pflicht besteht fort, und der Verstoß ist bußgeldbewehrt.
Im neu gefassten BSI-Gesetz (BSIG). Die wichtigsten Paragrafen: § 28 regelt die Einstufung als besonders wichtige oder wichtige Einrichtung, § 30 die zehn Risikomanagementmaßnahmen, § 32 die Meldepflichten, § 33 die Registrierung und § 38 die Pflichten und die Haftung der Geschäftsleitung.
Nein. Das Gesetz trat ohne Übergangsfristen in Kraft; die Risikomanagementmaßnahmen nach § 30 BSIG gelten seit dem 6. Dezember 2025. Unternehmen, die noch nicht vollständig umgesetzt haben, sollten mit einer dokumentierten Gap-Analyse und einem priorisierten Maßnahmenplan arbeiten — das belegt gegenüber der Aufsicht, dass die Umsetzung strukturiert läuft.
Nein. Das Gesetz schreibt Maßnahmen vor, aber kein Zertifikat. ISO 27001 ist dennoch das gängigste Werkzeug zur Umsetzung, weil die Norm dieselben Themenfelder systematisch abdeckt. Ein Zertifikat kann gegenüber Kunden und Behörden die Systematik belegen — für formale Nachweise, etwa in Ausschreibungen, wird in der Regel ein akkreditiertes Zertifikat erwartet.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT