ENKontakt
Gilt fürEUDEAT

NIS2UmsuCG

Deutsches NIS2-Umsetzungsgesetz, in Kraft seit 06.12.2025

· Kategorie: NIS2 · Compliance-Kit

TL;DR

Das Gesetz zur Umsetzung der NIS2-Richtlinie (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, NIS2UmsuCG) wurde am 13.11.2025 vom Bundestag beschlossen, am 21.11.2025 vom Bundesrat gebilligt und ist seit 06.12.2025 in Kraft (BGBl. 2025 I Nr. 301). Es novelliert das BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, BSI-Gesetz) und implementiert die EU-NIS2-Richtlinie 2022/2555.

Was ist NIS2UmsuCG?

Wichtigste Änderungen durch das NIS2UmsuCG:

  • § 28 BSIG-neu: Definition besonders wichtiger und wichtiger Einrichtungen (nach Angaben des BSI rund 29.500 Einrichtungen in DE)
  • § 30 BSIG-neu: 10 Pflichtmaßnahmen-Bereiche
  • § 32 BSIG-neu: Meldepflichten 24h/72h/1 Monat
  • § 33 BSIG-neu: BSI-Registrierungspflicht (spätestens drei Monate nach Eintritt der Einrichtungseigenschaft; BSI: gesetzliche Registrierungsfrist bereits abgelaufen)
  • § 38 BSIG-neu: Geschäftsleitungspflichten + persönliche Innenhaftung (Abs. 2)
  • § 65 BSIG-neu: Bußgelder bis 10 Mio. / 7 Mio. EUR

Deutschland und Österreich: zwei nationale Umsetzungen

Das NIS2UmsuCG ist ausschließlich die deutsche Umsetzung der NIS2-Richtlinie (Novelle des BSIG). Österreich hat die NIS2-Richtlinie nicht über das BSIG, sondern über ein eigenes Gesetz umgesetzt: das NISG 2026 (Netz- und Informationssystemsicherheitsgesetz, BGBl. I Nr. 94/2025). Die inhaltlichen Pflichten sind – da beide auf derselben EU-Richtlinie beruhen – weitgehend deckungsgleich; Paragraphen und zuständige Behörden unterscheiden sich jedoch:

  • Deutschland – BSIG, Behörde: BSI (Bundesamt für Sicherheit in der Informationstechnik): Risikomanagement § 30, Meldepflichten § 32 (24 h / 72 h / 1 Monat an die gemeinsame Meldestelle von BSI und BBK), Registrierung § 33, Governance und Geschäftsleitungshaftung § 38, Bußgelder § 65 (bis 10 Mio. EUR bzw. 2 % bei besonders wichtigen, bis 7 Mio. EUR bzw. 1,4 % bei wichtigen Einrichtungen).
  • Österreich – NISG 2026, Behörde: Cybersicherheitsbehörde (Bundesamt für Cybersicherheit): Risikomanagement § 32, Meldepflichten § 34 (24 h / 72 h / 1 Monat an das zuständige CSIRT), Registrierung § 29, Governance § 31, Verwaltungsstrafen § 45 (bis 10 Mio. EUR bzw. 2 % bei wesentlichen, bis 7 Mio. EUR bzw. 1,4 % bei wichtigen Einrichtungen).

Praxisbeispiel

Einordnung nach Angaben des BSI zum Inkrafttreten (Pressemitteilung vom 05.12.2025):

  • Unternehmen müssen selbständig prüfen, ob sie betroffen sind — maßgeblich sind der Sektor und die gesetzlich festgelegten Schwellenwerte zu Mitarbeitenden, Umsatz und Bilanz (§ 28 BSIG)
  • Drei zentrale Pflichten betroffener Einrichtungen: Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle, Umsetzung und Dokumentation von Risikomanagementmaßnahmen
  • Betreiber kritischer Anlagen (KRITIS) gelten automatisch als besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG)

Häufig gestellte Fragen

Wann ist die BSI-Registrierungsfrist?
Spätestens drei Monate nach Eintritt der Einrichtungseigenschaft (§ 33 Abs. 1 BSIG) — die Frist läuft also nicht ab einem einheitlichen Kalenderdatum. Das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Verspätete Registrierung sofort nachholen.
Welche Übergangsfristen gibt es?
Eine allgemeine Schonfrist für die Umsetzung enthält das Gesetz nicht: Seit Inkrafttreten am 06.12.2025 gelten die Pflichten des BSIG nach Maßgabe der dort geregelten Fristen (zur Registrierung siehe oben). Einzelne Übergangsregeln betreffen Sonderfälle, z. B. die Registrierung kritischer Anlagen (§ 66 BSIG). Ein amtliches Datum für den Beginn der Aufsichts- oder Bußgeldpraxis ist nicht ersichtlich.
Wie unterscheidet es sich vom alten BSIG?
Erweiterung des Anwendungsbereichs (nach Angaben des BSI von bislang etwa 4.500 regulierten Organisationen auf rund 29.500 Einrichtungen), strengere Pflichten in 10 Bereichen, Innenhaftung der Geschäftsleitung, Meldepflichten 24 h / 72 h / 1 Monat, BSI-Registrierung.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.