NIS2-Umsetzung in Deutschland: alle Pflichten ab 06.12.2025

1. Status NIS2UmsuCG 2026

Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 06.12.2025 in Kraft (BGBl. 2025 I Nr. 301). Es hat das BSIG 2009 vollständig ersetzt — nicht nur novelliert — und an seine Stelle das BSI-Gesetz vom 2. Dezember 2025 gesetzt, amtlich „Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz – BSIG)“. Damit ist die NIS2-Richtlinie (EU) 2022/2555 in deutsches Recht umgesetzt.

Drei Punkte zählen für die Umsetzungsarbeit. Das BSIG ist ein Bundesgesetz, keine Verordnung: Die Pflichten der §§ 30, 32, 33 Abs. 1 und 38 BSIG gelten seit dem 06.12.2025 ohne Übergangsfrist; die Registrierungsfrist des § 33 Abs. 1 BSIG läuft ereignisbezogen drei Monate ab Eintritt der Einrichtungseigenschaft, und das BSI weist darauf hin, dass sie bereits abgelaufen ist (Abschnitt 6). Zuständig ist das Bundesamt für Sicherheit in der Informationstechnik — Bundesoberbehörde im Geschäftsbereich des Bundesministeriums des Innern und zentrale Stelle für Informationssicherheit auf nationaler Ebene (§ 1 BSIG). Und einzelne Vorschriften stehen unter dem Anwendungsvorbehalt des § 66 BSIG; für Betreiber kritischer Anlagen hat das eine konkrete Folge bei der Registrierung (Abschnitt 6).

2. Wer ist betroffen? Scope-Analyse

Betroffen sind in Deutschland nach Angabe des BSI rund 29.500 Einrichtungen in zwei Kategorien — besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Die Einordnung läuft in § 28 BSIG über zwei Stufen: Zuordnung zu einer in Anlage 1 oder Anlage 2 BSIG bestimmten Einrichtungsart und Erreichen der Größenschwelle — es sei denn, die Einrichtung gehört zu den größenunabhängig erfassten Fällen:

Zwei Fallstricke bei der Einordnung: Erstens genügt der Umsatz allein nie — § 28 Abs. 1 Nr. 4 Buchst. b BSIG verlangt Umsatz über 50 Mio. EUR und zusätzlich eine Bilanzsumme über 43 Mio. EUR; nur die Mitarbeiterzahl (ab 250) wirkt als eigenständiges Kriterium. Zweitens gibt es bei den wichtigen Einrichtungen keine Mitarbeiter-Obergrenze: Da § 28 Abs. 1 Nr. 4 BSIG ausschließlich Einrichtungsarten der Anlage 1 erfasst, bleibt ein Großunternehmen mit 5.000 Mitarbeitern, das nur einer Einrichtungsart der Anlage 2 zuzuordnen ist (z. B. verarbeitendes Gewerbe, Lebensmittel, Chemie, Post- und Kurierdienste, Abfallbewirtschaftung, digitale Dienste, Forschung), eine wichtige Einrichtung — es fällt also sehr wohl in den Anwendungsbereich. Für die Berechnung von Mitarbeiterzahl, Jahresumsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG).

Welche Anlage einschlägig ist, entscheidet daher mit über die erreichbare Kategorie. Anlage 1 BSIG (BGBl. 2025 I Nr. 301, S. 43–46): Energie, Transport und Verkehr, Finanzwesen (Bankwesen und Finanzmarktinfrastrukturen), Gesundheit, Wasser (Trinkwasser und Abwasser), Digitale Infrastruktur einschließlich der Verwaltung von IKT-Diensten, Weltraum. Anlage 2 BSIG (S. 47–48): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung. Einrichtungen der öffentlichen Verwaltung des Bundes werden nicht über Anlage 1 erfasst, sondern gesondert nach § 29 BSIG.

Praxisempfehlung: Prüfen Sie je Gesellschaft in dieser Reihenfolge und halten Sie jedes Zwischenergebnis mit Datum fest — Einrichtungsart, Größe (§ 28 Abs. 1 und 2), Konzernverbund (§ 28 Abs. 4), größenunabhängige Tatbestände. Die Zuordnung bleibt nicht intern: Bei der Registrierung nach § 33 Abs. 1 BSIG ist der relevante Sektor nach Anlage 1 oder 2 anzugeben (Abschnitt 6).

3. § 30 BSIG: 10 Pflichtmaßnahmen

§ 30 Abs. 2 BSIG nennt 10 Maßnahmenbereiche. Jede betroffene Einrichtung muss in jedem Bereich angemessene Maßnahmen treffen. Den Maßstab setzt § 30 Abs. 1 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten — und die Einhaltung ist zu dokumentieren.

„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen.“ — § 30 Abs. 2 Satz 1 BSIG. Der „Stand der Technik“ ist nicht statisch; Aufsichten orientieren sich in der Praxis an BSI-Grundschutz-Bausteinen, ISO 27002, der ENISA Technical Implementation Guidance v1.0 (26.06.2025) und branchenspezifischen Standards wie TISAX.

1. Konzepte für Risikoanalyse + Sicherheit von Informationssystemen — dokumentierte Methodik (Praxis: ISO 27005), Risiko-Register, Risikobehandlungsplan; steuert die Tiefe aller übrigen Bereiche.
2. Bewältigung von Sicherheitsvorfällen — Incident-Response-Policy, Playbooks je Vorfallstyp, vorbereitete Meldevorlagen für 24 h, 72 h und Abschlussmeldung.
3. Aufrechterhaltung des Betriebs (Backup, Disaster Recovery, Krise) — im Wortlaut „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ (§ 30 Abs. 2 Nr. 3 BSIG). Praxis: Business-Continuity-Plan mit RTO und RPO je Prozess, Backup-Strategie (3-2-1 oder gleichwertig), getestete Wiederherstellung, Krisenkommunikation.
4. Sicherheit der Lieferkette — Lieferantenbewertung mit Risikoklassifizierung, Cybersecurity-Klauseln im Standardvertrag, Right-to-Audit für kritische Lieferanten, vertraglich zugesagte Vorfall-Benachrichtigung (Praxis-Zusage, üblich binnen 24 Stunden).
5. Sicherheit beim Erwerb, Entwickeln und Warten — bei Eigenentwicklung typischerweise OWASP-orientiert, dazu Schwachstellenmanagement über einen CVD-Prozess.
6. Wirksamkeitsbewertung der Maßnahmen — verlangt sind Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen (§ 30 Abs. 2 Nr. 6 BSIG); praktisch Kennzahlen je Bereich, etwa Patch-Compliance-Rate, Phishing-Klickrate, Recovery-Time.
7. Cyberhygiene + Schulungen — der BSIG-Wortlaut lautet „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ (§ 30 Abs. 2 Nr. 7 BSIG); der Begriff „Cyberhygiene“ stammt aus Art. 21 Abs. 2 Buchst. g der Richtlinie (EU) 2022/2555.
8. Kryptografie und Verschlüsselung — in Transit TLS 1.3 (BSI TR-02102), at Rest AES-256 für Datenträger und Backups, S/MIME oder PGP für sensible E-Mail, Schlüsselverwaltung über HSM oder gleichwertiges Key-Management-System, Vorbereitung auf Post-Quantum (NIST-Standards 2024).
9. Personalsicherheit + Zugriffskontrolle — Berechtigungskonzept nach Need-to-Know, regelmäßige Überprüfung, Onboarding- und Offboarding-Workflow, ggf. Sicherheitsprüfung.
10. MFA, kontinuierliche Authentifizierung, sichere Kommunikation — der Wortlaut verlangt „Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung“ (§ 30 Abs. 2 Nr. 10 BSIG). Praxisempfehlung: alle Admin-Konten und externen Zugänge (VPN, Cloud); reine Office-Nutzung ist risikobasiert begründbar. Dazu gesicherte Sprach-, Video- und Textkommunikation sowie Notfallkommunikation.

Alle zehn Bereiche müssen adressiert sein, aber nicht gleich tief: § 30 Abs. 1 BSIG verlangt Angemessenheit und Verhältnismäßigkeit, die Tiefe skaliert mit dem Risiko — und die Begründung dafür gehört in die Dokumentation. Typische Lücken aus der Praxis (Erfahrungswert, keine Aufsichtsstatistik): Bereich 4 (fehlende Cybersecurity-Klauseln), Bereich 6 (keine dokumentierten Kennzahlen), Bereich 7 (keine Phishing-Simulation).

Praxis-Rhythmen (Erfahrungswerte, keine gesetzlichen Fristen): jährliche Schulung aller Mitarbeitenden mit Lernerfolgskontrolle, Onboarding-Schulung in den ersten vier Wochen, quartalsweise Phishing-Simulation, jährlicher Penetrationstest, internes und externes Audit alle zwei Jahre. Gesetzlich vorgegeben ist, dass Schulungen und eine Wirksamkeitsbewertung stattfinden (§ 30 Abs. 2 Nr. 6 und 7 BSIG); die genannten Takte sind Erfahrungswerte.

4. § 38 BSIG: Geschäftsleitungs-Pflichten

§ 38 BSIG verpflichtet die Geschäftsleitung persönlich in drei Punkten: Umsetzung und Überwachung der Maßnahmen nach § 30 BSIG (Abs. 1), Innenhaftung für schuldhaft verursachten Schaden (Abs. 2) und regelmäßige eigene Schulungsteilnahme (Abs. 3).

Absatz 1 ist zweigeteilt und deshalb im Audit zweimal prüfbar: als Umsetzung (das Maßnahmenpaket nach § 30 BSIG ist in Kraft gesetzt) und als Überwachung (der Umsetzungsstand wird nachvollziehbar weiterverfolgt). Die Überwachung ist auf Dauer angelegt: Ein einmaliger Beschluss dokumentiert die Umsetzung, die laufende Überwachung braucht einen eigenen Nachweis. Praxisempfehlung: Billigung als datierten Geschäftsführungsbeschluss festhalten und den Umsetzungsstand in festem Turnus berichten lassen; üblich ist quartalsweise (Erfahrungswert).

Die Innenhaftung nach Absatz 2 ist kein Bußgeld, sondern ein Schadensersatzanspruch der Einrichtung gegen ihre eigene Geschäftsleitung; sie tritt neben die Bußgelder aus § 65 BSIG (Abschnitt 7). Absatz 3 verlangt die regelmäßige Schulungsteilnahme der Geschäftsleitung — eine eigene, persönliche Pflicht, die nicht mit der Mitarbeiterschulung aus § 30 Abs. 2 Nr. 7 BSIG erfüllt ist. Das österreichische Pendant § 31 NISG 2026 weicht ab und gilt erst ab dem 01.10.2026 (Abschnitt 10).

5. Meldepflichten: 24 Stunden / 72 Stunden / 1 Monat

Bei einem erheblichen Sicherheitsvorfall greift eine dreistufige Meldekette; die 24- und die 72-Stunden-Frist laufen ab Kenntnis, nicht ab Beginn des Vorfalls — die Abschlussmeldung knüpft an die 72-Stunden-Meldung an (§ 32 Abs. 1 Nr. 4 BSIG). Adressat ist in jeder Stufe die gemeinsame Meldestelle von BSI und BBK.

Zusätzlich kann das BSI jederzeit eine Zwischenmeldung über relevante Statusaktualisierungen verlangen (§ 32 Abs. 1 Nr. 3 BSIG). Dauert der Vorfall nach einem Monat noch an, tritt an die Stelle der Abschlussmeldung zunächst eine Fortschrittsmeldung; die Abschlussmeldung folgt dann nach abschließender Bearbeitung des Vorfalls (§ 32 Abs. 2 BSIG).

Was zählt als meldepflichtiger Vorfall? Maßgeblich ist der „erhebliche Sicherheitsvorfall“ nach § 2 Nr. 11 BSIG: ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die EU-Durchführungsverordnung 2024/2690 konkretisiert diese Schwelle mit quantitativen Kriterien (u. a. Anzahl betroffener Nutzer, finanzielle Auswirkungen, Dauer) — allerdings nur für bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, TLD-Name-Registries, Cloud- und Rechenzentrumsdienste, CDN, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter (vgl. § 30 Abs. 3 BSIG). Für alle übrigen Einrichtungen gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG die Definition des § 2 Nr. 11 BSIG.

Praxisempfehlung: Legen Sie im Playbook fest, wer die Erheblichkeit bewertet, wer freigibt und wer die Meldung absetzt; Kenntniszeitpunkt und Bewertungsentscheidung gehören mit Zeitstempel ins Vorfallsprotokoll.

6. BSI-Registrierung

Die Registrierung erfolgt nach § 33 Abs. 1 BSIG über eine gemeinsam vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) eingerichtete Registrierungsmöglichkeit — praktisch über das Portal 'Mein Unternehmenskonto' — und zwar spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige bzw. wichtige Einrichtung gilt. Pflichtangaben: Name samt Rechtsform und ggf. Handelsregisternummer, Anschrift und aktuelle Kontaktdaten (inkl. E-Mail, öffentliche IP-Adressbereiche, Telefonnummern), relevanter Sektor nach Anlage 1 oder 2, Liste der EU-Mitgliedstaaten mit Diensterbringung sowie die zuständigen Aufsichtsbehörden des Bundes und der Länder. Änderungen dieser Angaben sind unverzüglich, spätestens zwei Wochen nach Kenntnis zu übermitteln (§ 33 Abs. 5 BSIG). Betreiber kritischer Anlagen registrieren sich abweichend nach § 8 KRITIS-Dachgesetz (§ 33 Abs. 2 BSIG); erfüllt eine Einrichtung ihre Registrierungspflicht nicht, kann das BSI die Registrierung selbst vornehmen (§ 33 Abs. 3 BSIG).

Zum abweichenden Weg für Betreiber kritischer Anlagen: § 33 Abs. 2 BSIG steht unter dem Anwendungsvorbehalt des § 66 BSIG. Die Vorschrift ist — ebenso wie § 2 Nr. 22 und 24 BSIG — erst anzuwenden, wenn eine auf der Grundlage von § 4 Abs. 3 und § 5 Abs. 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt; bis dahin sind § 2 Nr. 22 und 24 BSIG in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden. Solange der Vorbehalt greift, greift für Betreiber kritischer Anlagen der allgemeine Weg des § 33 Abs. 1 BSIG, der besonders wichtige und wichtige Einrichtungen erfasst; der KRITIS-Registrierungsweg ist damit kein Grund, die allgemeine Registrierung zu unterlassen.

Die gesetzliche Registrierungsfrist ist nach Angabe des BSI bereits abgelaufen. Wer noch nicht registriert ist, holt die Registrierung nach; die Pflicht besteht fort. Praxisempfehlung: Behandeln Sie die Registrierungsdaten als Stammdaten mit Änderungsdienst — die Zwei-Wochen-Frist greift bei jedem Wechsel von Anschrift, Kontaktdaten, IP-Bereichen oder Zuständigkeiten; hinterlegen Sie eine Funktions- statt einer Personenadresse.

7. Bußgelder + persönliche Haftung

Das BSIG staffelt die Bußgelder nach Einrichtungskategorie: bis 10 Mio. EUR für besonders wichtige, bis 7 Mio. EUR für wichtige Einrichtungen (§ 65 Abs. 5 BSIG). Die Umsatzvariante von 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes greift erst ab einem Gesamtumsatz über 500 Mio. EUR und nur für die dort bezeichneten Verstöße (§ 65 Abs. 6 und 7 BSIG). Daneben — nicht stattdessen — steht die persönliche Innenhaftung der Geschäftsleitung nach § 38 Abs. 2 BSIG.

Anders als die Richtlinie selbst kennt das BSIG kein pauschales „höherer Wert gilt“. Gesamtumsatz ist für die Umsatzvariante die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG).

Zwei Klarstellungen für die Risikoeinschätzung: Der Bußgeldrahmen knüpft an Verstöße gegen die dort bezeichneten Pflichten an, insbesondere gegen die Risikomanagementpflichten aus § 30 BSIG und die Meldepflichten aus § 32 BSIG — die Einrichtungskategorie bestimmt nur die Obergrenze, nicht den Anknüpfungspunkt. Und die Sperre des § 65 Abs. 11 BSIG gilt nur im Verhältnis zur DSGVO und nur für dasselbe Verhalten.

8. 12-Schritte-Roadmap

Die Roadmap führt in zwölf Schritten von der Scope-Analyse nach § 28 BSIG bis zur Geschäftsführungs-Billigung mit laufendem Reporting nach § 38 Abs. 1 BSIG. Die Reihenfolge ist eine Praxisempfehlung für den Aufbau, keine gesetzliche Fristenkette — gesetzliche Fristen stehen in Abschnitt 9. Jeder Schritt liefert die Grundlage des nächsten:

1. Scope-Analyse (besonders wichtig/wichtig?) — Ergebnis: datierte Einstufung je Gesellschaft nach § 28 BSIG.
2. BSI-Registrierung nachholen (falls nicht erfolgt) — § 33 Abs. 1 BSIG (Abschnitt 6).
3. GF-Briefing § 38 BSIG — Pflichten + Innenhaftung, einschließlich Subsidiarität (Abs. 2 Satz 2) und persönlicher Schulungspflicht (Abs. 3).
4. ISMS-Leitlinie aufsetzen, GF-genehmigen — der Beschluss dokumentiert die Umsetzungsentscheidung nach § 38 Abs. 1 BSIG.
5. Risikoanalyse-Methodik (ISO 27005) implementieren — Risiko-Register und Risikobehandlungsplan begründen die Angemessenheit nach § 30 Abs. 1 BSIG.
6. 10 § 30-Maßnahmen-Bereiche systematisch abdecken — je Bereich Verantwortlicher, Maßnahme, Nachweis (Abschnitt 3).
7. Incident Response Playbook + Meldevorlagen für 24 h, 72 h und Abschlussmeldung — mit Bewertungslogik für § 2 Nr. 11 BSIG und geregelter Rufbereitschaft.
8. Lieferanten-Risikobewertung + Vertragsklauseln — Risikoklassifizierung, Cybersecurity-Klauseln, Right-to-Audit (§ 30 Abs. 2 Nr. 4 BSIG).
9. Cyberhygiene-Schulung aller Mitarbeitenden — § 30 Abs. 2 Nr. 7 BSIG (Abschnitt 3).
10. Wirksamkeitsprüfung (KPIs, Pentest, Audit-Vorbereitung) — § 30 Abs. 2 Nr. 6 BSIG; Kennzahlen je Bereich statt einer Gesamtnote.
11. Dokumentations-Review + Versionsverwaltung — § 30 Abs. 1 BSIG verlangt die Dokumentation der Einhaltung.
12. GF-Billigung + turnusmäßiges Reporting — § 38 Abs. 1 BSIG (Abschnitt 4).

9. Nachweise, Aufsicht und die BSIG-Fristen im Überblick

Die turnusmäßige Nachweispflicht des BSIG richtet sich in erster Linie an Betreiber kritischer Anlagen: Sie weisen die Umsetzung der Maßnahmen nach § 30 Abs. 1 in Verbindung mit § 31 BSIG durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach und übermitteln die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel (§ 39 Abs. 1 BSIG); die Fristen dazu stehen in der Tabelle. Unabhängig davon gilt für alle betroffenen Einrichtungen die Dokumentationspflicht des § 30 Abs. 1 BSIG.

Auch die Aufsichtsintensität hängt an der Kategorie: Die NIS2-Systematik unterwirft wesentliche Einrichtungen — in Deutschland: besonders wichtige Einrichtungen — einer proaktiven Aufsicht, wichtige Einrichtungen einer Aufsicht im Nachhinein. Die Einstufung aus Abschnitt 2 entscheidet damit nicht nur über die Bußgeldobergrenze, sondern auch darüber, ob mit anlassunabhängigen Prüfungen zu rechnen ist; die österreichischen Fristen stehen in Abschnitt 10.

10. Deutschland und Österreich: was für Konzerne gilt

Für Konzerne mit deutschen und österreichischen Gesellschaften gilt: getrennte Registrierung in beiden Ländern und getrennte Meldewege — in Deutschland seit dem 06.12.2025, in Österreich ab dem 01.10.2026; übertragbar sind nur die inhaltlichen Bausteine. In Österreich gilt nicht das BSIG, sondern das NISG 2026 (BGBl. I Nr. 94/2025) — kundgemacht am 23.12.2025, anwendbar aber erst neun Monate danach zum nächstfolgenden Monatsersten, also ab dem 01.10.2026 (§ 51 Abs. 1 und 2 NISG 2026). Zum Stand dieses Artikels bestehen daraus noch keine wirksamen Pflichten; alle folgenden österreichischen Angaben gelten ab diesem Datum.

Übertragbar sind die inhaltlichen Bausteine: Risikomanagement, ISMS-Leitlinie, Incident-Response-Playbook, Lieferantenbewertung. Nicht übertragbar sind die österreichischen Aufsichts- und Meldeschnittstellen, die Selbstdeklaration nach § 33 NISG 2026 und die Strafbestimmungen. Für die Scope-Analyse zusätzlich relevant: In Österreich ist die öffentliche Verwaltung auf Bundes- und Landesebene erfasst (§ 24 Abs. 4 und 5 NISG 2026), Gemeinden und Gemeindeverbände sind ausgenommen (§ 24 Abs. 3 letzter Satz); für Einrichtungen im Anwendungsbereich von DORA gehen dessen Bestimmungen vor (§ 4 Abs. 2, § 24 Abs. 7 NISG 2026). Die vollständige österreichische Systematik steht im Artikel zum NISG 2026.