NIS2-Umsetzungsgesetz (NIS2UmsuCG): Pflichten, Fristen und Haftung

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Damit gelten die Cybersicherheitsanforderungen der europäischen NIS-2-Richtlinie in Deutschland verbindlich, und zwar für einen deutlich größeren Kreis von Unternehmen als bisher. Wer die Registrierung beim BSI versäumt oder sein Risikomanagement nicht nachweisen kann, riskiert Bußgelder bis zu zehn Millionen Euro und die persönliche Verantwortung der Geschäftsleitung.

Dieser Beitrag fasst zusammen, was tatsächlich im Gesetz steht. Alle Angaben sind am amtlichen Text im Bundesgesetzblatt geprüft, nicht an Zusammenfassungen Dritter.

Was das NIS2-Umsetzungsgesetz ist

Der vollständige amtliche Titel lautet "Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung". Gebräuchlich ist die Abkürzung NIS2UmsuCG.

Das Gesetz datiert vom 2. Dezember 2025 und wurde am 5. Dezember 2025 im Bundesgesetzblatt Teil I, Nr. 301 verkündet. Die Schlussvorschrift ist knapp: "Dieses Gesetz tritt am Tag nach der Verkündung in Kraft." Maßgeblich ist damit der 6. Dezember 2025.

Wichtig für das Verständnis: Es handelt sich um ein Artikelgesetz. Es schafft keinen eigenen Pflichtenkatalog, sondern ändert bestehende Gesetze. Kern ist das vollständig neu gefasste BSI-Gesetz. Wenn im Folgenden von Paragraphen die Rede ist, sind die des neuen BSIG gemeint. Das ist auch der Grund, warum die Suche nach "NIS2-Gesetz" oft ins Leere läuft: Die Pflichten stehen im BSIG.

Wen das Gesetz betrifft

Das Gesetz unterscheidet zwei Stufen, besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Zuordnung folgt zwei Kriterien, die zusammen erfüllt sein müssen: die Zugehörigkeit zu einer Einrichtungsart nach Anlage 1 oder Anlage 2 und das Erreichen bestimmter Größenschwellen.

Die Größenschwellen

Für besonders wichtige Einrichtungen gilt nach § 28 Absatz 1 unter anderem: mindestens 250 Mitarbeitende oder ein Jahresumsatz über 50 Millionen Euro zusammen mit einer Jahresbilanzsumme über 43 Millionen Euro. Für Anbieter öffentlich zugänglicher Telekommunikationsdienste liegt die Schwelle niedriger, dort genügen 50 Mitarbeitende oder Umsatz und Bilanzsumme von jeweils über 10 Millionen Euro.

Wichtige Einrichtungen erfasst § 28 Absatz 2. Dort genügen mindestens 50 Mitarbeitende oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. Wer bereits als besonders wichtige Einrichtung gilt, fällt nicht zusätzlich hierunter; Einrichtungen der Bundesverwaltung sind ausgenommen. Der Unterschied zwischen beiden Stufen ist keine Formalie, er entscheidet über die Aufsichtsintensität und über den Bußgeldrahmen.

Für die Berechnung von Mitarbeiterzahl, Umsatz und Bilanzsumme verweist § 28 Absatz 4 auf die KMU-Empfehlung der EU-Kommission (2003/361/EG). Daten von Partner- und verbundenen Unternehmen werden unter bestimmten Voraussetzungen nicht hinzugerechnet. Wer im Konzern rechnet, sollte diese Ausnahme genau prüfen, sie entscheidet häufig über die Betroffenheit.

Die Vernachlässigbarkeitsregel in § 28 Absatz 3

Eine Vorschrift wird in der Praxis regelmäßig unterschätzt. § 28 Absatz 3 lautet: "Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind."

Das klingt nach Entlastung und ist doch vor allem ein Beurteilungsrisiko. Das Gesetz definiert nicht, was vernachlässigbar bedeutet. Wer eine Nebentätigkeit für unerheblich hält und sich deshalb nicht registriert, trägt die Begründungslast, wenn die Aufsicht das anders sieht. Die Einschätzung gehört dokumentiert, nicht bloß gedacht.

Registrierungspflicht: die erste Frist, die zählt

Nach § 33 Absatz 1 müssen besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, beim Bundesamt registrieren. Übermittelt werden unter anderem Name und Rechtsform, Anschrift und Kontaktdaten, öffentliche IP-Adressbereiche, der einschlägige Sektor nach Anlage 1 oder 2 und die EU-Mitgliedstaaten, in denen Dienste erbracht werden.

Daraus ergibt sich die vielzitierte Frist: Wer bereits beim Inkrafttreten am 6. Dezember 2025 unter das Gesetz fiel, musste sich bis zum 6. März 2026 registrieren. Für Unternehmen, die erst später die Schwellen überschreiten, läuft die Dreimonatsfrist ab diesem Zeitpunkt. Die Frist ist also kein einmaliges Datum, sondern eine dauerhafte Pflicht.

Ändern sich die gemeldeten Angaben, sind sie nach § 33 Absatz 5 unverzüglich zu aktualisieren, spätestens innerhalb von zwei Wochen ab Kenntnis der Änderung. Angaben zu kritischen Komponenten sind einmal jährlich zu übermitteln. Für bestimmte Einrichtungsarten enthält § 34 eine besondere Registrierungspflicht mit eigener Dreimonatsfrist.

Praktisch bedeutsam ist § 33 Absatz 3: Das Bundesamt kann die Registrierung selbst vornehmen, wenn ein Unternehmen seine Pflicht nicht erfüllt. Nichtstun führt also nicht dazu, unentdeckt zu bleiben.

Wie die Registrierung im BSI-Portal Schritt für Schritt abläuft, welche Angaben vorbereitet sein müssen und welches Zertifikat dafür nötig ist, beschreibt unsere Anleitung zur NIS2-Registrierung beim BSI.

Risikomanagement nach § 30

§ 30 verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Der Maßstab ist risikobasiert: Er richtet sich nach dem Ausmaß der Risikoexposition, der Größe der Einrichtung, der Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle sowie deren gesellschaftlichen und wirtschaftlichen Auswirkungen.

Wer bereits ein Managementsystem nach ISO/IEC 27001 oder BSI-Grundschutz betreibt, hat einen großen Teil der Grundlage. Deckungsgleich ist es nicht, insbesondere bei Meldeprozessen und bei der Nachweisführung gegenüber dem Bundesamt.

Kritische Anlagen: die zusätzliche Stufe

Für Betreiber kritischer Anlagen bleibt es nicht bei § 30. § 31 stellt besondere Anforderungen an deren Risikomanagementmaßnahmen, und § 39 begründet eigene Nachweispflichten. Der Nachweis ist der entscheidende Unterschied: Während § 30 ein angemessenes Schutzniveau verlangt, geht es hier darum, dieses Niveau gegenüber dem Bundesamt in geeigneter Form zu belegen.

Für die Praxis heißt das, dass KRITIS-Betreiber zwei Regelungsebenen zugleich bedienen. Wer aus der bisherigen KRITIS-Welt kommt, sollte nicht annehmen, dass die vorhandenen Nachweise unverändert weitergelten. Das BSI-Gesetz ist im Zuge des Umsetzungsgesetzes vollständig neu gefasst worden, einschließlich der Systematik von Anlagen und Schwellenwerten.

Meldepflichten nach § 32: die 24-72-Regel und der Monat danach

Bei einem erheblichen Sicherheitsvorfall greift eine gestufte Meldekette an die gemeinsame Meldestelle von BSI und BBK:

Erstmeldung: unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung. Anzugeben ist, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht und ob grenzüberschreitende Auswirkungen möglich sind.

Meldung: unverzüglich, spätestens innerhalb von 72 Stunden. Sie bestätigt oder aktualisiert die Erstmeldung und enthält eine erste Bewertung mit Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren.

Zwischenmeldung: auf Ersuchen des Bundesamtes, mit relevanten Statusaktualisierungen.

Abschlussmeldung: spätestens einen Monat nach der 72-Stunden-Meldung, mit ausführlicher Beschreibung des Vorfalls, Angaben zur Bedrohungsart und zur zugrunde liegenden Ursache.

Die 24 Stunden sind der eigentliche organisatorische Prüfstein. Sie laufen ab Kenntniserlangung, nicht ab Feierabend und nicht ab Montagmorgen. Wer keinen geübten Meldeprozess mit klarer Rufbereitschaft hat, verpasst diese Frist im Ernstfall.

Pflichten der Geschäftsleitung nach § 38

Der Abschnitt mit dem größten Geschäftsbezug ist § 38, überschrieben mit "Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen". Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Cybersicherheit ist damit ausdrücklich Leitungsaufgabe und nicht delegierbare IT-Angelegenheit.

Hinzu kommt eine Schulungspflicht: Die Geschäftsleitung muss sich selbst regelmäßig fortbilden, um Risiken beurteilen und Managementpraktiken bewerten zu können. Die operative Umsetzung darf delegiert werden, die Verantwortung dafür nicht.

Bußgelder

Der Bußgeldrahmen ist gestaffelt. Für besonders wichtige Einrichtungen reicht er bis zu zehn Millionen Euro, für wichtige Einrichtungen bis zu sieben Millionen Euro. Für einzelne Tatbestände sieht das Gesetz Rahmen bis zu fünf Millionen und bis zu zwei Millionen Euro vor.

Für Unternehmen mit einem Gesamtumsatz von mehr als 500 Millionen Euro enthält das Gesetz eine abweichende, umsatzbezogene Regelung. Für große Konzerne ist der absolute Höchstwert also nicht die Obergrenze.

Wie die Aufsicht 2026 tatsächlich vorgeht, welche Prüfungen das BSI ansetzt und was bei versäumten Fristen konkret droht, behandelt unser Beitrag zur Durchsetzung von NIS2 durch das BSI.

Was Unternehmen jetzt konkret tun sollten

Erstens die Betroffenheit prüfen und das Ergebnis dokumentieren, einschließlich der Begründung, falls Tätigkeiten nach § 28 Absatz 3 als vernachlässigbar eingestuft werden.

Zweitens die Registrierung beim Bundesamt vornehmen oder nachweisen, dass sie erfolgt ist, und einen Prozess einrichten, der Änderungen innerhalb von zwei Wochen meldet.

Drittens den Meldeprozess für Sicherheitsvorfälle aufsetzen und üben, mit klarer Zuständigkeit für die 24-Stunden-Erstmeldung.

Viertens die Maßnahmen nach § 30 gegen den vorhandenen Stand abgleichen und die Lücken priorisieren. Bestehende Managementsysteme sind die Basis, nicht das Ziel.

Fünftens die Geschäftsleitung einbinden und die Schulung nach § 38 nachweisbar dokumentieren.

Mittelständische Unternehmen ohne eigene Sicherheitsabteilung finden einen auf ihre Verhältnisse zugeschnittenen Ablauf in unserem Praxisleitfaden für den Mittelstand.

Wenn Sie die Betroffenheit und den Umsetzungsstand strukturiert klären wollen, unterstützt Sie unsere NIS2-Betroffenheitsprüfung von der Einordnung über die Registrierung bis zum nachweisfähigen Sicherheitskonzept.

Häufige Fragen

Seit wann gilt das NIS2-Umsetzungsgesetz?

Seit dem 6. Dezember 2025. Das Gesetz vom 2. Dezember 2025 wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und tritt nach seiner Schlussvorschrift am Tag nach der Verkündung in Kraft.

Wie heißt das Gesetz richtig?

"Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung", abgekürzt NIS2UmsuCG. Die materiellen Pflichten stehen im neu gefassten BSI-Gesetz.

Bis wann musste die Registrierung erfolgen?

Nach § 33 Absatz 1 innerhalb von drei Monaten, nachdem eine Einrichtung erstmals oder erneut unter das Gesetz fällt. Für bereits bei Inkrafttreten betroffene Unternehmen war das der 6. März 2026. Wer die Schwellen später überschreitet, hat ab diesem Zeitpunkt drei Monate.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Zwischenmeldung auf Ersuchen des Bundesamtes und Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung (§ 32 Absatz 1).

Wie hoch sind die Bußgelder?

Bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen Euro für wichtige Einrichtungen, daneben Rahmen bis fünf und bis zwei Millionen Euro für einzelne Tatbestände. Ab einem Gesamtumsatz von mehr als 500 Millionen Euro gilt eine abweichende, umsatzbezogene Regelung.

Haftet die Geschäftsführung persönlich?

§ 38 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich regelmäßig zu schulen. Die operative Umsetzung ist delegierbar, die Leitungsverantwortung nicht.

Reicht ISO 27001 für die Erfüllung des Gesetzes?

Ein Managementsystem nach ISO/IEC 27001 oder BSI-Grundschutz deckt einen großen Teil der Anforderungen aus § 30 ab, ist aber nicht deckungsgleich. Ergänzt werden müssen insbesondere der gesetzliche Meldeprozess und die Nachweisführung gegenüber dem Bundesamt.