NIS2 in Deutschland: Das NIS2UmsuCG erklärt (2026)

Kurz gesagt: Deutschland hat NIS2 zwar spät, aber streng umgesetzt. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) und das neue BSI-Gesetz (BSIG) gelten seit dem 6. Dezember 2025 ohne Übergangsfrist. Der Geltungsbereich umfasst rund 29.500 Organisationen, die in „besonders wichtige“ und „wichtige“ Stellen unterteilt sind. Sie mussten sich innerhalb von drei Monaten, also bis zum 6. März 2026, beim BSI registrieren lassen; bis Mitte 2026 hatten schätzungsweise 10.500 dies noch nicht getan. Die Registrierung ist weiterhin verpflichtend, die Bußgelder betragen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes, und die Geschäftsführung haftet persönlich. Dieser Leitfaden erklärt, wer betroffen ist, was das BSI erwartet und was zu tun ist, wenn Sie in Verzug sind.

Zeitleiste: Wie es in Deutschland dazu kam

Wer ist betroffen: der deutsche Geltungsbereich

Offizielle Quellen: Auf der NIS2-Informationsseite des BSI für betroffene Unternehmen (auf Deutsch) und mithilfe des kostenlosen NIS2-Selbstbewertungstools (Betroffenheitsprüfung) erfahren Sie innerhalb von zehn Minuten, ob Sie in den Anwendungsbereich fallen. Der Gesetzestext ist das neue BSIG 2025 auf gesetze-im-internet.de.

Die BSIG folgt der NIS2-Logik, verwendet jedoch ihre eigenen Begriffe:

• Besonders wichtige Einrichtungen: Großunternehmen (mit mehr als 250 Beschäftigten oder einem Umsatz von 50 Millionen Euro und einer Bilanzsumme von 43 Millionen Euro) in den Sektoren mit hoher Kritikalität (Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Wasser, Abwasser, digitale Infrastruktur, IKT-Dienstmanagement, öffentliche Verwaltung, Raumfahrt) sowie Betreiber kritischer Infrastrukturen (KRITIS) unabhängig von ihrer Größe, qualifizierte Vertrauensdienstleister, TLD-Registrien und DNS-Anbieter.
• Wichtige Einrichtungen: mittelständische Unternehmen (ab 50 Beschäftigten oder 10 Millionen Euro Umsatz und Bilanzsumme) in den Sektoren mit hoher Kritikalität sowie mittlere und große Unternehmen in den übrigen kritischen Sektoren (Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung von Medizinprodukten, Maschinen, Fahrzeugen und Elektronik, digitale Dienstleister, Forschung).
• Bundesverwaltung: separat im BSIG geregelt, mit eigenen Verpflichtungen.

Das BSI schätzt die Gesamtzahl auf rund 29.500 Organisationen, von denen die meisten „wichtige“ Unternehmen im verarbeitenden Gewerbe sind. Das BSI stellt einen Online-Selbstcheck (Betroffenheitsprüfung) zur Verfügung; das Gesetz sieht vor, dass Sie Ihren eigenen Status selbst prüfen und nicht auf ein Schreiben warten.

Die Verpflichtungen gemäß dem BSIG

1. Registrierung beim BSI

Innerhalb von drei Monaten nach Eintritt in den Geltungsbereich sind über das BSI-Portal und das Unternehmenskonto „Mein Unternehmenskonto“ folgende Angaben zu übermitteln: Unternehmensdaten, Branche, Kontaktdaten, IP-Bereiche und die Mitgliedstaaten, in denen Sie tätig sind. Änderungen müssen innerhalb von zwei Wochen gemeldet werden. Die Frist für Unternehmen, die am ersten Tag unter den Geltungsbereich fielen, endete am 6. März 2026. Falls Sie sich noch nicht registriert haben, tun Sie dies bitte jetzt; die Verpflichtung erlischt nicht, und eine verspätete freiwillige Registrierung wird günstiger bewertet als eine nachträgliche Feststellung.

2. Maßnahmen zum Risikomanagement (§ 30 BSIG)

Die zehn risikoproportionalen NIS2-Mindestmaßnahmen: Risikoanalyse und Sicherheitsrichtlinien, Vorfallbearbeitung, Geschäftskontinuität und Datensicherung, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen zur Cybersicherheit, Kryptografie, Zugriffskontrolle und Anlagenverwaltung sowie Multi-Faktor-Authentifizierung und sichere Kommunikation. Besonders wichtige Stellen müssen zudem Angriffserkennungssysteme einsetzen, sofern sie KRITIS-Betreiber sind.

3. Meldung von Vorfällen (§ 32 BSIG)

Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats über das Meldeportal des BSI. Als „erhebliche“ Vorfälle gelten solche, die zu schwerwiegenden Betriebsstörungen oder finanziellen Verlusten führen oder Auswirkungen auf Dritte haben.

4. Aufgaben der Geschäftsführung (§ 38 BSIG)

Die Geschäftsleitung muss die Risikomanagementmaßnahmen genehmigen und überwachen und regelmäßig an Schulungen zum Thema Cybersicherheit teilnehmen. Führungskräfte haften nach deutschem Gesellschaftsrecht persönlich für Verstöße gegen diese Pflicht; das BSIG schließt ausdrücklich aus, dass das Unternehmen auf diese Haftung verzichten kann.

5. Nachweis und Überwachung

Die BSI kann Auskünfte und Nachweise anfordern, Prüfungen anordnen und bei besonders wichtigen Einrichtungen eine proaktive Aufsicht ausüben. Die Geldbußen betragen bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes und bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 %.

Hast du die Anmeldefrist verpasst? Dann mach Folgendes

1. Führen Sie noch heute den BSI-Selbstcheck durch und dokumentieren Sie das Ergebnis – auch dann, wenn Sie zu dem Schluss kommen, dass Sie nicht in den Geltungsbereich fallen.
2. Melden Sie sich umgehend an, falls Sie unter die Regelung fallen. Besser spät als gar nicht – und die Anmeldung selbst dauert weniger als eine Stunde, sobald Sie über ein Geschäftskonto verfügen.
3. Lückenanalyse gemäß § 30. Die meisten deutschen KMU stellen drei Lücken fest: Sicherheit in der Lieferkette, dokumentierte Vorfallbearbeitung und Schulungen ohne Nachweise.
4. Tragen Sie die Geschäftsleitung in ein Trainingsprotokoll ein. § 38 schreibt dies vor, und es ist das Erste, wonach ein Auditor fragt. Zu Guardey’s wöchentlichen Herausforderungen gehören ein Management-Track und die Erstellung von Abschlussberichten pro Person.
5. Testen Sie den 24-Stunden-Meldeweg. Wer nimmt es wahr, wer entscheidet, wer meldet es? Proben Sie das einmal.

Schulungen als Nachweis: Was das BSI akzeptiert

Weder die Richtlinie noch die BSIG schreiben ein bestimmtes Format vor, doch „Schulungen zu Cyberhygiene und Cybersicherheit“ müssen nachweisbar sein. Eine jährliche Präsentation mit Anwesenheitsliste ist ein schwacher Nachweis; ein fortlaufendes Programm mit Abschlussdaten pro Mitarbeiter, Ergebnissen von Phishing-Simulationen und einem Nachweis über Schulungen für Führungskräfte ist ein starker Nachweis. Die Sicherheitsschulungen von Guardey sind auf Deutsch verfügbar, dauern drei Minuten pro Woche, beinhalten Phishing-Simulationen und erstellen Berichte für NIS2, ISO 27001 und andere Rahmenwerke.

Häufig gestellte Fragen

Ist NIS2 in Deutschland bereits in Kraft getreten?

Ja. Die NIS2UmsuCG und die neue BSIG gelten seit dem 6. Dezember 2025. Es gibt keine Übergangsfrist.

Wer muss sich beim BSI registrieren lassen?

Jede besonders wichtige und bedeutende Einrichtung muss sich innerhalb von drei Monaten nach Eintritt in den Geltungsbereich registrieren lassen. Für Organisationen, die am 6. Dezember 2025 unter den Geltungsbereich fielen, war der Stichtag der 6. März 2026. Falls Sie diesen Termin versäumt haben, ist eine Registrierung weiterhin erforderlich.

Was ist der Unterschied zwischen „besonders wichtig“ und „wichtig“?

Größe und Branche. Große Unternehmen in Branchen mit hoher Kritikalität sowie KRITIS-Betreiber gelten als „besonders wichtig“ (proaktive Aufsicht, höhere Bußgelder); mittelständische Unternehmen in diesen Branchen sowie mittelständische und große Unternehmen in den übrigen Branchen gelten als „wichtig“ (reaktive Aufsicht).

Ist im Rahmen von NIS2 in Deutschland eine Schulung der Mitarbeiter erforderlich?

Ja. In § 30 BSIG werden Cyberhygiene und Schulungen zur Cybersicherheit als obligatorische Maßnahmen aufgeführt, und § 38 verpflichtet die Geschäftsleitung, selbst an solchen Schulungen teilzunehmen.

Wo finde ich den offiziellen Text?

Die NIS2UmsuCG wurde im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) veröffentlicht. Auf den NIS-2-Seiten des BSI finden Sie den Selbstcheck, das Registrierungsportal und häufig gestellte Fragen (FAQs). Einen Überblick über die Situation auf EU-Ebene bieten unser NIS2-Leitfaden 2026 sowie der Vergleich „NIS1 vs. NIS2“.