Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft. Rund 29.500 Einrichtungen in 18 Sektoren sind betroffen, sofern sie mindestens 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz haben. Die gesetzliche Registrierungsfrist beim BSI ist bereits abgelaufen — wer noch nicht registriert ist, sollte umgehend handeln.
Offizielle Referenzquelle: BSI — NIS-2-regulierte Unternehmen
Redaktion: Cybersécurité Solution.
Dokumentarische Zusammenfassung auf Grundlage institutioneller Quellen und der im Artikel zitierten offiziellen Dokumentationen. Unsere redaktionelle Methodik einsehen.
Redaktionelle Überprüfung: 24. August 2026. Dieser Inhalt dient der Information und stellt keine individuelle rechtliche oder technische Beratung dar.
Diese Seite enthält allgemeine Informationen aus offiziellen Veröffentlichungen. Cybersécurité Solution führt keine technischen Eingriffe durch, erteilt keine individuelle Beratung und ist keine Rechtsberatung. Die endgültige Betroffenheitsprüfung sollte anhand des Gesetzestexts und gegebenenfalls mit rechtlichem Beistand erfolgen.
NIS2 erweitert den Kreis der Organisationen, die verschärften Anforderungen an Governance, Risikomanagement und Meldung von Cybervorfällen unterliegen. In Deutschland ist die Rechtslage anders als in vielen Nachbarländern: Das NIS2UmsuCG wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am 6. Dezember 2025 ohne jede Übergangsfrist in Kraft. Es novelliert das BSI-Gesetz (BSIG) grundlegend und macht das BSI zur zentralen Aufsichtsbehörde.
Ein KMU kann sich nicht allein anhand der Mitarbeiterzahl aus dem Anwendungsbereich herausrechnen. Sektor, Art der Dienstleistung, Konzernzugehörigkeit, bestimmte Ausnahmen und die genaue Auslegung des BSIG können die Einschätzung verändern.
Das BSI stellt zur Vorbereitung eine Betroffenheitsprüfung, das Registrierungsportal sowie Informationsmaterial bereit. Seit Anfang 2026 ist zudem der Zugang „Mein Unternehmenskonto" (MUK) auf Basis von ELSTER-Organisationszertifikaten Voraussetzung für die Registrierung.
Diese Seite bietet eine allgemeine Orientierung und stellt keine rechtliche Qualifizierung dar. Ein möglicherweise betroffenes Unternehmen sollte den Gesetzestext, die offiziellen BSI-Werkzeuge prüfen und bei Bedarf fachkundigen Rat einholen.
Das NIS2UmsuCG ist seit dem 6. Dezember 2025 vollständig in Kraft. Die reguläre Registrierungsfrist endete am 6. März 2026; das BSI räumte eine Nachfrist bis zum 31. Juli 2026 ein. Beide Fristen sind mittlerweile verstrichen. Seit dem 7. März 2026 kann das BSI gegen nicht registrierte Einrichtungen Zwangsgelder festsetzen, um die Registrierung durchzusetzen.
Anders als in Ländern, in denen die Umsetzung noch aussteht, ist die deutsche Rechtslage eindeutig geklärt: Das BSIG in seiner NIS2-Fassung ist unmittelbar anwendbares Recht. Es gibt keine Schonfrist für die materiellen Sicherheitsanforderungen nach § 30 BSIG — sie gelten seit Inkrafttreten des Gesetzes.
In der Praxis bedeutet das: Wer unter das Gesetz fällt und noch nicht registriert oder vorbereitet ist, befindet sich bereits im Verzug. Der pragmatischste Weg besteht darin, die eigene Betroffenheit umgehend zu dokumentieren, sich zu registrieren, sofern erforderlich, und parallel mit der Umsetzung der Risikomanagementmaßnahmen zu beginnen.
Das BSIG unterscheidet „besonders wichtige Einrichtungen" (u. a. Betreiber kritischer Anlagen und große Unternehmen in hochkritischen Sektoren) und „wichtige Einrichtungen" (weitere Unternehmen in den regulierten Sektoren). Diese Einstufung bestimmt vor allem die Aufsichtsintensität: Besonders wichtige Einrichtungen werden proaktiv und regelmäßig durch das BSI überwacht, wichtige Einrichtungen eher anlassbezogen.
Die Einstufung erfolgt nicht durch einen behördlichen Bescheid, sondern durch Selbsteinschätzung anhand der gesetzlichen Kriterien in § 28 BSIG — eine wesentliche Neuerung gegenüber dem früheren KRITIS-System.
Die grobe Zuordnung zu einer Branche reicht nicht immer aus. Zu prüfen sind der tatsächlich erbrachte Dienst, die Größenschwellen (50 Beschäftigte oder 10 Mio. Euro Umsatz bzw. Bilanzsumme), die Konzernzugehörigkeit und mögliche Sondertatbestände.
Bestimmte Anbieter fallen unabhängig von ihrer Größe unter das Gesetz: qualifizierte Vertrauensdiensteanbieter nach eIDAS, Anbieter von DNS-Diensten und TLD-Namenregistries, sowie Anbieter öffentlicher Telekommunikationsnetze und -dienste. Auch ein nicht direkt betroffenes Unternehmen kann über Kunden oder Auftraggeber, die selbst unter NIS2 fallen, mit vertraglichen Sicherheitsanforderungen konfrontiert werden — die Lieferkettensicherheit ist ausdrücklich Teil der Pflichten betroffener Einrichtungen.
NIS2 betont die persönliche Verantwortung der Geschäftsleitung. § 38 BSIG verpflichtet Leitungsorgane betroffener Einrichtungen zur Teilnahme an Schulungen zu Cybersicherheitsrisiken und zur Überwachung der Umsetzung von Risikomanagementmaßnahmen. Eine Pflichtverletzung kann zu persönlicher Haftung führen.
Ein auf die Zahl der Warnmeldungen reduziertes Dashboard reicht nicht aus. Die Geschäftsleitung muss Risiken mit kritischen Tätigkeiten, Abhängigkeiten, Kosten und Maßnahmenplänen verknüpfen können.
§ 30 BSIG verlangt mindestens zehn Maßnahmenbereiche: Risikoanalyse und Sicherheit der Informationssysteme, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs (Business Continuity, Backup-Management), Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, Bewertung der Wirksamkeit der Maßnahmen, Grundlagen der Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Der BSI IT-Grundschutz und das darauf basierende IT-Grundschutz-Profil „Cybersicherheit für KMU" bieten eine praxisnahe Grundlage, um diese Anforderungen strukturiert umzusetzen, auch ohne eigenes IT-Sicherheitsteam.
Betroffene Einrichtungen müssen einen erheblichen Sicherheitsvorfall erkennen, seine Auswirkungen einschätzen und die zuständigen Personen mobilisieren können. § 32 BSIG sieht ein dreistufiges Meldeverfahren an das BSI vor: eine Frühwarnung binnen 24 Stunden, eine Erstmeldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats.
Diese Fristen erfordern vorbereitete Kontakte, Protokolle, Kriterien und getestete Verfahren. Es empfiehlt sich, schon jetzt festzulegen, wer im Ernstfall meldet, welche Informationen gesammelt werden und über welchen Kanal das BSI kontaktiert wird.
Richtlinien, Protokolle von Lenkungsausschüssen, Inventare, Analysen, Tests, Verträge und Korrekturmaßnahmen belegen, dass die Cybersicherheit aktiv gesteuert wird. Sie sollten die tatsächliche Praxis widerspiegeln und nicht allein für eine Prüfung erstellt werden.
Ein Fahrplan kann mit den kritischen Tätigkeiten, privilegierten Zugängen, Backups, Dienstleistern und dem Vorfallmanagement beginnen. Diese Grundlagen sind auch dann nützlich, wenn sich am Ende herausstellt, dass das Unternehmen nicht unmittelbar reguliert ist.
Ein möglicherweise betroffenes Unternehmen kann unabhängig vom rechtlichen Ausgang bereits nützliche Unterlagen zusammenstellen: eine Liste der kritischen Tätigkeiten, eine Übersicht der Dienstleister, die Verantwortlichkeiten der Geschäftsleitung, signifikante Vorfälle und getroffene Entscheidungen. Diese Vorbereitung verkürzt die benötigte Zeit, sobald eine Registrierung oder Prüfung tatsächlich greift.
Der Ordner muss für die Geschäftsleitung verständlich sein. Er verknüpft jede Maßnahme mit einem Risiko, einer verantwortlichen Person, einer Frist und einem Nachweis. Eine Sammlung kopierter Richtlinien belegt nicht, dass Backups tatsächlich wiederherstellbar sind oder die Zugänge eines Dienstleisters regelmäßig überprüft werden.
Die Veröffentlichungen des BSI sollten kontinuierlich verfolgt werden. Auslegungshinweise und Schwellenwerte können sich im Zuge weiterer Rechtsetzung ändern; interne Analysen sollten daher stets mit Prüfdatum versehen werden.
Wenn Ihr Bedarf anschließend eine externe Leistung erfordert, können Sie an einen Fachpartner vermittelt werden.
Jedes Unternehmen hat ein anderes Umfeld, andere Verträge und Rahmenbedingungen. Sie können Ihren Bedarf sachlich beschreiben, ohne Passwort oder sensible Daten zu übermitteln. Mit Ihrer Zustimmung können Ihre Kontaktdaten an einen unabhängigen Partner weitergegeben werden, der allein für seine Analyse, seine Preise und die vorgeschlagenen weiteren Schritte verantwortlich bleibt.
Zum FormularDas Registrierungsportal des BSI ermöglicht betroffenen Einrichtungen, sich als „wichtige" oder „besonders wichtige Einrichtung" einzutragen. Voraussetzung ist ein Zugang über „Mein Unternehmenskonto" (MUK) mit einem ELSTER-Organisationszertifikat, das viele Unternehmen bereits aus Steuerverfahren kennen. Das Portal ersetzt keine rechtliche Analyse bei komplexer Unternehmenssituation, ist aber der offizielle Ausgangspunkt zur Prüfung der Kriterien und zur Registrierung.
Diese Checkliste ist eine dokumentarische Vorbereitung, keine Konformitätsbescheinigung. Die endgültigen Pflichten müssen anhand des BSIG und der offiziellen BSI-Ressourcen geprüft werden.
Der erste NIS2-Schritt in Deutschland ist nicht der Kauf eines Tools, sondern die Klärung der eigenen Betroffenheit und – falls noch nicht erfolgt – die umgehende Registrierung beim BSI. Technische Maßnahmen entfalten ihren Sinn erst, wenn sie auf konkrete Risiken, Verantwortlichkeiten und erwartete Nachweise antworten.
Da Auslegungsfragen und Schwellenwerte sich weiterentwickeln können, bleiben die BSI-Seite zu NIS-2-regulierten Unternehmen und das Registrierungsportal die maßgeblichen Referenzen. Ein KMU kann dennoch schon jetzt vorankommen, indem es Inventar, Kontinuität, Zugänge und Lieferkette verbessert.
Nein. Betroffen sind grundsätzlich Einrichtungen ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in einem der 18 regulierten Sektoren. Bestimmte Anbieter sind unabhängig von ihrer Größe betroffen.
Nein. Die gesetzliche Frist endete am 6. März 2026, eine vom BSI eingeräumte Nachfrist lief am 31. Juli 2026 ab. Wer sich noch nicht registriert hat, bleibt gesetzlich verpflichtet und riskiert Zwangs- und Bußgelder.
Nein. Beide Regelwerke verfolgen unterschiedliche Ziele und Pflichten, auch wenn ein Sicherheitsvorfall Meldepflichten nach beiden auslösen kann.
Nein. Kunden oder Partner, die selbst unter NIS2 fallen, geben Sicherheitsanforderungen über Verträge und Lieferketten weiter. Die Basismaßnahmen bleiben auch für die eigene Resilienz sinnvoll.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das NIS2UmsuCG hat dazu das BSI-Gesetz umfassend novelliert.
Diese öffentlichen Quellen dienten zur Überprüfung und Einordnung der dargestellten Informationen.
Links geprüft am 24. August 2026.