NIS2 Umsetzung in Deutschland: Gesetz, Fristen und nächste Schritte

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 13. November 2025 vom Bundestag verabschiedet, am 20. November 2025 vom Bundesrat bestätigt und trat am 6. Dezember 2025 in Kraft. Rund 29.500 Unternehmen in Deutschland müssen seitdem neue Pflichten in der Informationssicherheit erfüllen. Eine Übergangsfrist sieht das Gesetz nicht vor.

Dieser Artikel erklärt, wie das Gesetz entstanden ist, welche Paragraphen Unternehmen kennen müssen, wie die BSI-Registrierung funktioniert und welche Fristen jetzt gelten. Wenn Sie noch nicht wissen, ob Ihr Unternehmen überhaupt betroffen ist, lesen Sie zuerst unseren Artikel dazu, für wen NIS2 gilt. Einen vollständigen Überblick über die EU-Richtlinie finden Sie in unserem Hauptartikel zu NIS2.

Chronik: Vom Referentenentwurf zum Bundesgesetzblatt

Die EU-Richtlinie NIS2 trat im Januar 2023 in Kraft. Die Mitgliedstaaten hatten bis Oktober 2024 Zeit, sie in nationales Recht umzusetzen. Deutschland hat diese Frist deutlich überschritten.

Der erste Referentenentwurf des BMI lag bereits im Juli 2023 vor. Im Juli 2024 folgte der Kabinettsbeschluss. Danach stockte das Verfahren: Die Bundestagswahl und Koalitionsverhandlungen verzögerten die parlamentarische Behandlung um Monate. Am 13. November 2025 verabschiedete der Bundestag das Gesetz, am 20. November 2025 stimmte der Bundesrat zu. Am 6. Dezember 2025 wurde es im Bundesgesetzblatt verkündet und trat sofort in Kraft.

Die Verzögerung hat Konsequenzen. Viele Unternehmen haben die Vorbereitungszeit genutzt, andere haben abgewartet und stehen jetzt unter Zeitdruck. Denn das Gesetz gilt ab Verkündung, nicht erst ab einem späteren Stichtag. Die EU-Kommission hatte zwischenzeitlich Vertragsverletzungsverfahren gegen Deutschland und andere säumige Mitgliedstaaten eingeleitet, was den politischen Druck erhöhte.

Für Unternehmen hat die Verzögerung einen positiven und einen negativen Effekt. Positiv: Wer ab 2023 bereits mit der Vorbereitung begonnen hat, hatte mehr als zwei Jahre Zeit. Negativ: Viele Detailfragen (Sektorzuordnung, Ausnahmen, Konkretisierung der Maßnahmen durch Rechtsverordnung) sind erst seit Dezember 2025 verbindlich geklärt. Der Gesetzgeber hat im parlamentarischen Verfahren noch wesentliche Änderungen vorgenommen, etwa bei der Rolle der Telekommunikationsanbieter und bei der Definition kritischer Komponenten.

NIS2UmsuCG: Aufbau und zentrale Paragraphen

Das NIS2UmsuCG ist das deutsche Gesetz zur Umsetzung der EU-Richtlinie NIS2. Es ändert vor allem das BSI-Gesetz (BSIG) und verpflichtet rund 29.500 Unternehmen in 18 Sektoren zu Risikomanagement, Vorfallsmeldung und Registrierung beim BSI. Anders als die Vorgängerregelung (IT-Sicherheitsgesetz 2.0, beschränkt auf KRITIS-Betreiber) erfasst das neue Gesetz auch mittlere und große Unternehmen in Sektoren wie Abfallwirtschaft, Lebensmittelproduktion, Chemie und digitale Infrastruktur. Die Schwelle liegt bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in einem der 18 Sektoren.

Fünf Paragraphen sind für betroffene Unternehmen besonders relevant. Sie bilden den Kern dessen, was Compliance-Verantwortliche, IT-Leiter und Geschäftsführer kennen und umsetzen müssen.

§30 ist der Paragraph, den Unternehmen am meisten beschäftigt. Die zehn Maßnahmenbereiche reichen von Risikoanalyse und Sicherheitskonzepten über Vorfallsbewältigung, Business Continuity und Backup-Management bis hin zu Kryptografie und Multifaktor-Authentifizierung. Wer sich diese Anforderungen genauer ansehen will, findet in unserem Artikel zu den NIS2-Anforderungen eine vollständige Aufschlüsselung. Das Meldeverfahren nach §32 mit allen Praxistipps erklären wir im Artikel zur NIS2-Meldepflicht. Und wie sich die persönliche Haftung nach §38 konkret auswirkt, lesen Sie in unserem Artikel zur NIS2-Geschäftsführerhaftung.

Was auffällt: Der Gesetzgeber hat sich beim Maßnahmenkatalog erkennbar an ISO 27001 orientiert. Risikoanalyse, Vorfallsbewältigung, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugangskontrolle: Das sind keine NIS2-Erfindungen, sondern ISMS-Standardprozesse. Unternehmen, die bereits ein ISMS nach ISO 27001 betreiben, erfüllen erfahrungsgemäß 70 bis 80 % der NIS2-Anforderungen. Wer noch kein ISMS hat, baut nicht "NIS2-Compliance" auf, sondern ein Informationssicherheitsmanagementsystem, das NIS2 als Nebeneffekt abdeckt.

Die restlichen 20 bis 30 % betreffen NIS2-spezifische Pflichten, die ISO 27001 nicht kennt: die BSI-Registrierung, das gestufte Meldeverfahren nach §32 und die Geschäftsleitungspflichten nach §38. Genau diese Lücken müssen Unternehmen gezielt schließen. Tools wie das SECJUR Digital Compliance Office bilden beide Seiten ab: den ISMS-Kern und die NIS2-spezifischen Ergänzungen in einer Plattform.

"Das NIS2UmsuCG kennt keine Schonfrist. Unternehmen, die auf eine Übergangsfrist gehofft haben, müssen jetzt handeln. Die BSI-Registrierungsfrist ist abgelaufen, und das BSI hat angekündigt, die Einhaltung aktiv zu prüfen. Wer die zehn Maßnahmenbereiche aus §30 liest, liest das Inhaltsverzeichnis eines ISMS. Der schnellste Weg zur Compliance führt über den systematischen Aufbau eines solchen Systems."

Niklas Hanitsch, Gründer & Geschäftsführer bei SECJUR

BSI-Registrierungsportal: Anmeldung und Fristen

Die BSI-Registrierung für NIS2-betroffene Unternehmen erfolgt über das Melde- und Unterrichtungskanal-Portal (MUK) unter muk.bsi.bund.de. Die dreimonatige Registrierungsfrist begann mit Inkrafttreten des Gesetzes am 6. Dezember 2025 und ist am 6. März 2026 abgelaufen. Eine verspätete Registrierung ist weiterhin möglich und auch ratsam, weil sie dem BSI zeigt, dass das Unternehmen reagiert. Nicht registriert zu sein, ist hingegen ein eigenständiger Bußgeldtatbestand.

Ein häufiger Stolperstein bei der Registrierung ist die Sektorzuordnung. Das Gesetz definiert 18 Sektoren in zwei Kategorien: 11 Sektoren hoher Kritikalität (Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, ICT-Service-Management, öffentliche Verwaltung und Weltraum) und 7 sonstige kritische Sektoren (Post und Kurier, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung). Unternehmen, die in mehreren Sektoren tätig sind, müssen prüfen, ob sie als besonders wichtige oder als wichtige Einrichtung gelten, weil sich daraus unterschiedliche Pflichten ergeben.

Wer sich unsicher ist, ob das eigene Unternehmen registrierungspflichtig ist, findet Orientierung in unserem Artikel dazu, für wen NIS2 gilt. Das BSI bietet zudem eigene Infopakete und eine Roadmap an, die den Einstieg erleichtern.

Übergangsfristen: Was gilt ab wann?

Das NIS2UmsuCG sieht keine Übergangsfrist für betroffene Unternehmen vor. Seit dem 6. Dezember 2025 gelten Registrierungspflicht, Meldepflicht und Risikomanagementpflichten. Besonders wichtige Einrichtungen müssen ihre Maßnahmen innerhalb von drei Jahren (also bis Dezember 2028) gegenüber dem BSI nachweisen. Die Unterscheidung zwischen Sofort-Pflichten und Nachweisfristen ist in der Praxis wichtig, weil sie die Priorisierung bestimmt.

Die Sofort-Pflichten bedeuten nicht, dass am Tag des Inkrafttretens alles fertig sein muss. Sie bedeuten, dass Unternehmen den Aufbau begonnen haben müssen und bei einem Vorfall meldepflichtig sind. Das BSI wird in den ersten Monaten voraussichtlich Unternehmen priorisieren, die weder registriert sind noch erkennbare Maßnahmen ergriffen haben. Wer zumindest registriert ist und einen dokumentierten Umsetzungsplan vorlegen kann, steht deutlich besser da.

In der Praxis empfiehlt sich ein Stufenmodell: Zuerst die BSI-Registrierung abschließen (sofern noch nicht geschehen), dann eine Gap-Analyse gegen die zehn Maßnahmenbereiche aus §30 durchführen, anschließend die Lücken priorisiert schließen. Unternehmen sollten nicht versuchen, alle Bereiche gleichzeitig aufzubauen, sondern mit den Themen beginnen, bei denen die größten Defizite bestehen. Ein dokumentierter Meldeprozess für Sicherheitsvorfälle gehört zu den ersten Prioritäten, weil die Meldepflicht keine Vorbereitungszeit kennt: Wenn morgen ein Ransomware-Angriff erfolgt, muss die 24-Stunden-Frist eingehalten werden.

Für besonders wichtige Einrichtungen kommt die Nachweispflicht nach §39 BSIG hinzu. Innerhalb von drei Jahren nach Inkrafttreten muss das BSI durch Audits, Prüfungen oder Zertifizierungen den Nachweis erhalten, dass die Risikomanagementmaßnahmen wirksam umgesetzt sind. Eine ISO-27001-Zertifizierung kann dabei als Nachweis dienen, deckt aber nicht alle NIS2-spezifischen Anforderungen ab (insbesondere das Meldeverfahren und die Geschäftsleitungspflichten fallen nicht unter ISO 27001).

Parallel arbeitet das Bundesministerium des Innern an einer Rechtsverordnung, die die Maßnahmen aus §30 weiter konkretisieren soll. Diese Verordnung wird voraussichtlich branchenspezifische Anforderungen definieren und sich an etablierten Standards wie dem BSI IT-Grundschutz und ISO 27001 orientieren. Bis die Rechtsverordnung vorliegt, gilt der Maßnahmenkatalog aus §30 BSIG als Orientierungsrahmen. Unternehmen, die sich an ISO 27001 oder dem BSI IT-Grundschutz ausrichten, sind auf der sicheren Seite.

NIS2-Umsetzung mit SECJUR beschleunigen

Die zehn Maßnahmenbereiche aus §30 BSIG laufen auf eines hinaus: ein funktionierendes Informationssicherheitsmanagementsystem. Risikoanalyse, Dokumentation, Vorfallsmanagement, Lieferkettensicherheit, Schulungsnachweise, Wirksamkeitsprüfung. All das sind ISMS-Kernprozesse. Unternehmen, die diese Prozesse manuell in Excel-Tabellen und E-Mail-Ordnern abbilden, stoßen bei der Nachweisführung schnell an Grenzen.

ISMS-Plattformen wie SECJUR Digital Compliance Office strukturieren den Aufbau: Risikoinventar, Maßnahmenplanung, Dokumentation und Nachweisführung laufen in einer Lösung zusammen. Der interne Aufwand sinkt erfahrungsgemäß um bis zu 50 %, weil die Plattform Workflows, Vorlagen und Mappings mitbringt. Statt 9 bis 12 Monate mit einem Berater rechnen viele Unternehmen mit einer Plattform mit 3 bis 6 Monaten bis zum auditierbaren ISMS.

Der Vorteil liegt nicht nur in der Geschwindigkeit. Ein ISMS, das auf einer Plattform läuft, bleibt im Unternehmen. Es ist kein Beratungsprojekt, das nach dem Audit in der Schublade verschwindet, sondern ein System, das für die regelmäßigen Nachweise nach §39 BSIG weiterarbeitet. Wer die NIS2-Umsetzung als Startpunkt für ein dauerhaftes ISMS nutzt, investiert in eine Infrastruktur, die auch für künftige Regulierung (DORA, CRA, KRITIS-Dachgesetz) trägt.