Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist das deutsche Gesetz, das die europäische NIS2-Richtlinie in nationales Recht überführt. Es ist am 6. Dezember 2025 in Kraft getreten. Die zentralen Pflichten für Unternehmen sind im BSI-Gesetz (BSIG) geregelt. Das Gesetz betrifft deutlich mehr Unternehmen als die bisherige Regelung — in der Regel ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz in einem der 18 NIS2-Sektoren.
Die wichtigsten Pflichten
| Pflicht | Rechtsgrundlage | Kern |
|---|---|---|
| Risikomanagement | § 30 BSIG | Verhältnismäßige Maßnahmen in 10 Bereichen, u. a. Risikoanalyse, Incident Management, Lieferkettensicherheit, Kryptografie, MFA |
| Meldepflicht | § 32 BSIG | Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach 1 Monat |
| BSI-Registrierung | § 33 BSIG | Registrierung innerhalb von 3 Monaten nach Inkrafttreten — die Frist endete im März 2026 |
| Geschäftsleiterpflichten | § 38 BSIG | Überwachung der Umsetzung, Schulungsteilnahme, persönliche Haftung — nicht delegierbar |
Für wen gilt das Gesetz?
Das NIS2UmsuCG unterscheidet zwei Kategorien: besonders wichtige Einrichtungen (ab 250 Mitarbeiter oder 50 Mio. Euro Umsatz) und wichtige Einrichtungen (ab 50 Mitarbeiter oder 10 Mio. Euro Umsatz) — jeweils in den 18 NIS2-Sektoren wie Energie, Verkehr, Gesundheit, Chemie, Lebensmittel oder verarbeitendes Gewerbe. Bestimmte Einrichtungen wie DNS-Dienste oder qualifizierte Vertrauensdiensteanbieter sind unabhängig von der Größe betroffen.
Welche Fristen gelten?
Die Pflichten gelten seit Inkrafttreten sofort — es gibt keine Übergangsfrist für Risikomanagement, Meldeprozesse oder Geschäftsleiterschulungen. Nur die BSI-Registrierung hatte eine eigene Frist von 3 Monaten (bis März 2026) — wer noch nicht registriert ist, sollte das unverzüglich nachholen.
Was passiert bei Verstößen?
Besonders wichtigen Einrichtungen drohen Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis 7 Mio. Euro oder 1,4 % — es gilt jeweils der höhere Betrag. Hinzu kommt die persönliche Geschäftsführerhaftung nach § 38 BSIG.
Wie starten Sie?
Prüfen Sie zuerst Ihre Betroffenheit und Einstufung — der kostenlose Betroffenheitscheck dauert etwa 5 Minuten. Eine ausführliche Übersicht der Pflichten bietet der Artikel NIS2-Richtlinie: Was müssen deutsche Unternehmen umsetzen?