NIS2UmsuCG: Das deutsche NIS2-Gesetz ist in Kraft
Am 6. Dezember 2025 ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Deutschland in Kraft getreten. Damit gelten die Anforderungen der europäischen NIS2-Richtlinie nun als verbindliches deutsches Recht. Für tausende Unternehmen beginnt eine Phase, in der schnelles und strukturiertes Handeln entscheidend ist.
In diesem Artikel erfahren Sie, welche konkreten Pflichten jetzt gelten, welche Fristen laufen und wie Sie die Umsetzung effizient angehen.
Wer ist betroffen? Die endgültige Klarheit
Mit dem NIS2UmsuCG ist die Frage der Betroffenheit nun eindeutig geregelt. Es gibt keine Auslegungsspielräume mehr:
Besonders wichtige Einrichtungen
- Unternehmen in Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur und Weltraum
- Ab 250 Mitarbeiter oder 50 Mio. Euro Umsatz
- Bestimmte Einrichtungen sind unabhängig von der Größe betroffen (z.B. qualifizierte Vertrauensdiensteanbieter, DNS-Dienste)
Wichtige Einrichtungen
- Unternehmen in Sektoren wie Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste
- Ab 50 Mitarbeiter oder 10 Mio. Euro Umsatz und 10 Mio. Euro Bilanzsumme
- Größenunabhängig betroffen sind unter anderem DNS-Dienste, TLD-Registrierungen und qualifizierte Vertrauensdiensteanbieter
Tipp: Nutzen Sie den kostenlosen NIS2-Betroffenheitscheck von NIS2coPilot, um in 2 Minuten Ihre Einstufung zu erfahren.
Die 5 Kernpflichten im Überblick
1. Risikomanagement nach § 30 BSIG
Das Herzstück der NIS2-Compliance: Sie müssen ein umfassendes Risikomanagement für Ihre Netz- und Informationssysteme etablieren. Das umfasst 10 Maßnahmenbereiche:
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen (Incident Management)
- Aufrechterhaltung des Betriebs (Business Continuity)
- Sicherheit der Lieferkette
- Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
- Konzepte zur Bewertung der Wirksamkeit von Maßnahmen
- Grundlegende Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit und Zugangskontrollen
- Multi-Faktor-Authentifizierung und sichere Kommunikation
Wichtig: Der Ansatz muss verhältnismäßig sein. Kleine Unternehmen brauchen kein Enterprise-SIEM — aber sie brauchen nachweisbar angemessene Maßnahmen.
2. Meldepflichten nach § 32 BSIG
Bei erheblichen Sicherheitsvorfällen gelten strenge Meldefristen:
- 24 Stunden: Frühwarnung an das BSI
- 72 Stunden: Detaillierte Meldung mit Bewertung und Gegenmaßnahmen
- 1 Monat: Abschlussbericht mit Ursachenanalyse
Mehr dazu in unserem Artikel zur NIS2-Meldepflicht.
3. BSI-Registrierung nach § 33 BSIG
Betroffene Unternehmen müssen sich innerhalb von 3 Monaten nach Inkrafttreten beim BSI registrieren. Das bedeutet: Die Frist läuft bis März 2026.
Für die Registrierung benötigen Sie:
- Unternehmensdaten und Rechtsform
- NIS2-Einstufung (besonders wichtig oder wichtig)
- Benennung einer Kontaktstelle (24/7 erreichbar)
- IP-Adressbereiche und Domains
- ELSTER-Zertifikat zur Authentifizierung
4. Geschäftsleiterpflichten nach § 38 BSIG
Die Geschäftsleitung ist persönlich verantwortlich und muss:
- Die Umsetzung der Risikomanagement-Maßnahmen überwachen
- An Schulungen zur Cybersicherheit teilnehmen
- Die Pflicht ist nicht delegierbar
Details finden Sie in unserem Artikel zur NIS2-Geschäftsführerhaftung.
5. Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG
Sie müssen die Cybersicherheit Ihrer Lieferanten und Dienstleister:
- Bewerten (Due Diligence)
- Vertraglich regeln (Sicherheitsanforderungen in Verträgen)
- Regelmäßig überprüfen
Mehr dazu: NIS2 und die Lieferkette.
Zeitplan: Welche Fristen laufen jetzt?
| Frist | Datum | Was zu tun ist |
|---|---|---|
| BSI-Registrierung | März 2026 | Registrierung mit allen Pflichtangaben |
| Risikomanagement | Sofort | Verhältnismäßige Maßnahmen müssen greifen |
| Meldeprozesse | Sofort | 24h-Frühwarnung muss möglich sein |
| Geschäftsleiterschulung | Sofort | Nachweisbare Schulungsteilnahme |
| Lieferkettenbewertung | Laufend | Systematische Bewertung der Lieferanten |
Die Kernbotschaft: Seit Inkrafttreten des NIS2UmsuCG gelten die Pflichten sofort. Es gibt keine Übergangsfrist für das Risikomanagement oder die Meldepflichten. Nur die BSI-Registrierung hat eine 3-Monats-Frist.
7 Schritte zur NIS2-Umsetzung — jetzt starten
Schritt 1: Betroffenheit und Einstufung klären
Nutzen Sie den NIS2coPilot Betroffenheitscheck, um Ihre genaue Einstufung zu ermitteln. Die Kategorie bestimmt den Umfang Ihrer Pflichten und die Höhe möglicher Bußgelder.
Schritt 2: Gap-Analyse durchführen
Wo stehen Sie heute? Die NIS2coPilot Gap-Analyse bewertet Ihren Reifegrad in allen 10 Maßnahmenbereichen und identifiziert die kritischsten Lücken.
Schritt 3: Geschäftsleitung einbinden
Informieren Sie Ihre Geschäftsleitung über die persönliche Haftung und planen Sie Schulungstermine. Dokumentieren Sie jede Aktivität.
Schritt 4: BSI-Registrierung vorbereiten
Sammeln Sie alle erforderlichen Daten und führen Sie die Registrierung innerhalb der 3-Monats-Frist durch. Der NIS2coPilot BSI-Wizard hilft Ihnen dabei.
Schritt 5: Prioritäre Maßnahmen umsetzen
Beginnen Sie mit den dringendsten Maßnahmen:
- Multi-Faktor-Authentifizierung einführen
- Incident-Response-Plan erstellen
- Backup-Strategie prüfen und dokumentieren
Schritt 6: Dokumentation aufbauen
Erstellen Sie die erforderlichen Richtlinien und Nachweise. Der NIS2coPilot Dokumentengenerator erstellt diese KI-gestützt.
Schritt 7: Schulungen durchführen
Schulen Sie Geschäftsleitung, IT-Team und alle Mitarbeiter. Die NIS2coPilot Schulungsmodule decken alle Pflichtkategorien ab.
Häufige Fehler bei der NIS2-Umsetzung
- Abwarten: Es gibt keine Übergangsfrist. Die Pflichten gelten seit Inkrafttreten.
- Nur technische Maßnahmen: NIS2 verlangt auch organisatorische Maßnahmen, Schulungen und Dokumentation.
- Geschäftsleitung nicht einbinden: Die persönliche Haftung macht die Einbindung zwingend.
- Lieferkette ignorieren: Die Lieferkettenpflichten sind ein zentraler Bestandteil von NIS2.
- Keine Dokumentation: Im Ernstfall müssen Sie nachweisen, dass Sie Ihre Pflichten erfüllt haben.
Bußgelder: Was bei Verstößen droht
| Kategorie | Maximales Bußgeld |
|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. Euro oder 2% des Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. Euro oder 1,4% des Jahresumsatzes |
Es gilt jeweils der höhere Betrag. Zusätzlich droht die persönliche Haftung der Geschäftsleitung.
Fazit: Jetzt handeln, nicht abwarten
Das NIS2UmsuCG ist geltendes Recht. Die Pflichten gelten ab sofort. Unternehmen, die jetzt nicht handeln, riskieren nicht nur Bußgelder, sondern auch die persönliche Haftung ihrer Geschäftsleitung.
Der strukturierte Ansatz ist entscheidend: Betroffenheit klären, Gap-Analyse durchführen, priorisiert umsetzen. NIS2coPilot begleitet Sie auf diesem Weg — von der ersten Bestandsaufnahme bis zur vollständigen Compliance.
Starten Sie jetzt kostenlos und sichern Sie Ihr Unternehmen ab.