NIS2-Umsetzung in Deutschland: Gesetz, Behörden und Ablauf

Die NIS2-Richtlinie der EU verpflichtet Unternehmen in vielen Sektoren zu mehr IT-Sicherheit. NIS steht für Netz- und Informationssicherheit. Eine EU-Richtlinie gilt aber nicht unmittelbar für Unternehmen. Jeder Mitgliedstaat muss sie erst in eigenes Recht übertragen. Dieser Beitrag beschreibt, wie Deutschland das getan hat: welches Gesetz gilt, seit wann, welche Behörde zuständig ist und wie Registrierung, Meldungen und Nachweise ablaufen.

Wer betroffen ist und welche Pflichten im Einzelnen gelten, erklärt unser Beitrag NIS-2-Richtlinie: Betroffenheit, Pflichten, erste Schritte. Beide Beiträge beschreiben die Rechtslage. Sie ersetzen keine Rechtsberatung im Einzelfall.

Vom EU-Recht zum deutschen Gesetz

Die Richtlinie (EU) 2022/2555 sah vor, dass die Mitgliedstaaten ihre Vorschriften bis zum 17. Oktober 2024 erlassen und ab dem 18. Oktober 2024 anwenden (Artikel 41). Das deutsche Gesetz kam später. Der Bundestag hat es am 13. November 2025 beschlossen.

Der amtliche Titel lautet „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301). Nach seinem Artikel 30 trat es am Tag nach der Verkündung in Kraft, also am 6. Dezember 2025. Im Folgenden heißt es kurz Umsetzungsgesetz.

Wie das Umsetzungsgesetz aufgebaut ist

Das Umsetzungsgesetz ist ein sogenanntes Artikelgesetz. Es bündelt Änderungen an vielen Gesetzen und Verordnungen in einem Text. Für Unternehmen ist vor allem Artikel 1 wichtig. Er enthält eine Neufassung des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen, kurz BSI-Gesetz oder BSIG. Dort stehen Einstufung, Pflichten, Aufsicht und Bußgelder.

Weitere Artikel passen Fachrecht an, zum Beispiel das Energiewirtschaftsgesetz und das Fünfte Buch Sozialgesetzbuch. Dort geht es unter anderem um die IT-Sicherheit in Krankenhäusern (§ 391 SGB V). Wer in einem regulierten Sektor arbeitet, sollte deshalb neben dem BSIG auch das eigene Fachrecht prüfen.

Der zweite Teil des Titels betrifft die Bundesverwaltung. Ihre Stellen müssen Mindestanforderungen an die Informationssicherheit erfüllen, die das BSI koordiniert. Für Unternehmen ist dieser Teil nur mittelbar von Bedeutung.

Was sich gegenüber dem bisherigen BSI-Gesetz ändert

Das bisherige BSI-Gesetz richtete sich vor allem an Betreiber kritischer Infrastrukturen, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse. Nach Angaben des BSI waren das rund 4.500 Einrichtungen. Mit dem neuen Recht beaufsichtigt das BSI nach eigener Angabe rund 29.500 Einrichtungen (BSI-Pressemitteilung vom 13.11.2025).

Neu sind vor allem diese Punkte:

• Zwei neue Kategorien: Das Gesetz unterscheidet „wichtige“ und „besonders wichtige“ Einrichtungen. Die Einstufung richtet sich nach Sektor und Unternehmensgröße (§ 28 BSIG).
• Meldung in Stufen: Erhebliche Sicherheitsvorfälle werden in Stufen gemeldet. Eine frühe Erstmeldung ist innerhalb von 24 Stunden fällig, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung (§ 32 BSIG).
• Pflichten der Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG).

Eine allgemeine Übergangsfrist sieht das Gesetz laut BSI nicht vor. Die Pflichten gelten also grundsätzlich seit dem 6. Dezember 2025 (BSI: Fragen und Antworten zu NIS-2).

Wer in Deutschland zuständig ist

• Bundesamt für Sicherheit in der Informationstechnik (BSI): Es ist die zuständige Behörde für wichtige und besonders wichtige Einrichtungen. Bei ihm laufen Registrierung, Meldungen und Aufsicht zusammen.
• Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK): Das Registrierungsverfahren richten BSI und BBK gemeinsam ein (§ 33 Abs. 1 BSIG). Kritische Anlagen werden nach § 8 des KRITIS-Dachgesetzes registriert (§ 33 Abs. 2 BSIG). Dieses Gesetz regelt den physischen Schutz kritischer Anlagen und ist am 17. März 2026 in Kraft getreten.
• Länder: Für die Cybersicherheit der Landes- und Kommunalverwaltung sind laut BSI die Länder selbst zuständig.

Registrierung in zwei Schritten

Betroffene Einrichtungen müssen sich beim BSI registrieren. Das muss spätestens drei Monate geschehen, nachdem sie erstmals oder erneut als wichtige oder besonders wichtige Einrichtung gelten (§ 33 Abs. 1 BSIG). Anzugeben sind unter anderem Name und Rechtsform, Anschrift und Kontaktdaten, der Sektor nach Anlage 1 oder 2 des BSIG und die EU-Staaten, in denen das Unternehmen Dienste erbringt. Ändern sich diese Angaben, müssen Sie das dem BSI unverzüglich mitteilen, spätestens zwei Wochen nachdem Sie davon erfahren haben (§ 33 Abs. 5 BSIG).

Laut BSI läuft die Registrierung in zwei Schritten. Zuerst meldet sich das Unternehmen bei „Mein Unternehmenskonto“ an. Das ist der Zugang für Unternehmen zu digitalen Verwaltungsleistungen und beruht auf einem ELSTER-Organisationszertifikat. Danach folgt die Registrierung im BSI-Portal. Hat Ihr Unternehmen noch kein ELSTER-Organisationszertifikat, sollten Sie dafür Vorlauf einplanen.

Meldungen über das BSI-Portal

Erhebliche Sicherheitsvorfälle gehen an eine gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG). Laut BSI werden die Meldungen über das BSI-Portal übermittelt. Die Einzelheiten des Verfahrens legt das BSI fest und veröffentlicht sie auf seiner Website (§ 32 Abs. 4 BSIG). Wie Sie Zuständigkeiten und Meldeweg im Unternehmen festlegen, zeigt unser Beitrag zum Incident-Response-Plan.

Nachweise: auf Anordnung oder regelmäßig

Wichtige und besonders wichtige Einrichtungen müssen dokumentieren, dass sie die Risikomanagementmaßnahmen nach § 30 BSIG einhalten. Nachweise legen sie dem BSI nach dessen Angaben nur vor, wenn das BSI sie anordnet. Für Betreiber kritischer Anlagen ist das anders: Sie müssen Nachweise auch ohne Aufforderung erbringen. Ihr Nachweiszyklus verlängert sich laut BSI von zwei auf drei Jahre.

Sonderregeln für bestimmte Anbieter und Branchen

Für einige Einrichtungsarten hat ein Durchführungsrechtsakt der EU-Kommission Vorrang vor den deutschen Vorgaben zu den Maßnahmen (§ 30 Abs. 3 BSIG). Er legt die technischen Anforderungen fest. Dazu gehören unter anderem Cloud-Anbieter, Rechenzentrumsdienste, Managed Service Provider und Managed Security Service Provider. Wenn Sie IT-Dienste für andere Unternehmen betreiben, sollten Sie diesen Rechtsakt kennen.

Branchenverbände können eigene Sicherheitsstandards vorschlagen. Das BSI stellt auf Antrag fest, ob sie geeignet sind (§ 30 Abs. 8 BSIG). Ein Beispiel ist der branchenspezifische Sicherheitsstandard „Medizinische Versorgung“ der Deutschen Krankenhausgesellschaft. Was für Krankenhäuser insgesamt gilt, beschreibt unser Beitrag IT-Sicherheit im Krankenhaus.

Für Finanzunternehmen, die unter die EU-Verordnung DORA fallen, gelten zentrale Pflichten des BSIG nicht, etwa zu Maßnahmen und Meldungen (§ 28 Abs. 6 BSIG). Registrieren müssen sie sich laut BSI trotzdem.

Schulungen der Geschäftsleitung planen

Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). Ziel ist, Risiken und Risikomanagement in der Informationssicherheit zu erkennen, zu bewerten und ihre Auswirkungen auf die eigenen Dienste einzuschätzen. Einen festen Takt nennt das Gesetz nicht. Das BSI verweist auf die Gesetzesbegründung: Danach gilt eine Schulung mindestens alle drei Jahre als regelmäßig. Je nach Risikolage können kürzere Abstände sinnvoll sein. Eine Dauer von vier Stunden nennt das BSI als Richtwert, nicht als feste Vorgabe. Jedes Mitglied der Geschäftsleitung muss die Schulung absolvieren.

So gehen Sie die Umsetzung an

Aus den Regeln ergibt sich eine sinnvolle Reihenfolge. Wir empfehlen diese Schritte:

1. Betroffenheit klären: Prüfen Sie Sektor und Größe und halten Sie das Ergebnis schriftlich fest. Wie das geht, beschreibt unser Beitrag zur NIS-2-Richtlinie.
2. Zugang vorbereiten: Klären Sie das ELSTER-Organisationszertifikat und den Zugang zu Mein Unternehmenskonto. Registrieren Sie sich dann im BSI-Portal.
3. Meldeweg festlegen: Wer erkennt einen Vorfall, wer bewertet ihn, wer meldet? Legen Sie auch fest, wer in Vertretung Zugang zum BSI-Portal hat. Wie Sie zusätzlich Beschäftigte, Kunden und Partner informieren, beschreibt unser Beitrag Krisenkommunikation bei Cyberangriffen.
4. Maßnahmen abgleichen: Vergleichen Sie Ihren Stand mit den Mindestbereichen aus § 30 Abs. 2 BSIG und dokumentieren Sie das Ergebnis. Eine Anleitung finden Sie in unserem Beitrag zum IT-Risikomanagement. Welchen Beitrag der Schutz der Endgeräte dazu leisten kann, beschreibt unser Beitrag Managed Endpoint Security.
5. Schulung terminieren: Planen Sie die Schulung aller Mitglieder der Geschäftsleitung.
6. Fachrecht und Verträge prüfen: Klären Sie, ob für Ihre Branche weitere Vorgaben gelten und was Sie mit Ihren IT-Dienstleistern vereinbart haben.

Wie wir Sie unterstützen

Die rechtliche Einordnung im Einzelfall gehört zu Ihrer Rechtsberatung. Wir unterstützen Sie bei der technischen und organisatorischen Umsetzung. Wie wir dabei vorgehen, lesen Sie auf unserer Seite NIS2 und Risikomanagement. Mit einem Security-Check nehmen wir den Stand Ihrer IT-Sicherheit auf und zeigen, wo Sie nachbessern sollten. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis.

Sprechen Sie mit uns

Sie möchten wissen, welche Schritte für Ihr Unternehmen anstehen? Wir betreuen Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeiten wir mit einem Partnersystemhaus zusammen. Nehmen Sie Kontakt mit uns auf, und wir besprechen Ihre Fragen in einem ersten Gespräch.