NIS2 in Duitsland: de NIS2UmsuCG uitgelegd (2026)

In het kort: Duitsland zette NIS2 laat maar streng om. De NIS2 implementatiewet (NIS2UmsuCG) en de nieuwe BSI wet (BSIG) gelden sinds 6 december 2025, zonder overgangsperiode. Ongeveer 29.500 organisaties vallen eronder, verdeeld in "bijzonder belangrijke" (besonders wichtige) en "belangrijke" (wichtige) entiteiten. Zij moesten zich binnen drie maanden bij het BSI registreren, dus vóór 6 maart 2026; medio 2026 hadden naar schatting 10.500 dat nog niet gedaan. Registratie blijft verplicht, boetes lopen op tot €10 miljoen of 2% van de wereldwijde omzet, en het bestuur is persoonlijk aansprakelijk. Deze gids legt uit wie eronder valt, wat het BSI verwacht en wat je doet als je te laat bent.

Tijdlijn: hoe Duitsland hier kwam

Wie valt eronder: de Duitse reikwijdte

Officiële bronnen: de NIS2 informatiepagina van het BSI voor gereguleerde bedrijven (Duitstalig) en de gratis NIS2 zelfcheck van het BSI (Betroffenheitsprüfung) vertellen je binnen tien minuten of je eronder valt. De wettekst is de nieuwe BSIG 2025 op gesetze-im-internet.de.

De BSIG volgt de NIS2 logica, maar gebruikt eigen termen:

• Bijzonder belangrijke entiteiten (besonders wichtige Einrichtungen): grote bedrijven (250+ medewerkers of €50 miljoen omzet en €43 miljoen balanstotaal) in de sectoren met hoge kriticiteit (energie, transport, bankwezen, financiële marktinfrastructuur, zorg, water, afvalwater, digitale infrastructuur, beheer van ICT diensten, overheid, ruimtevaart), plus exploitanten van kritieke infrastructuur (KRITIS) ongeacht omvang, gekwalificeerde vertrouwensdiensten, TLD registers en DNS aanbieders.
• Belangrijke entiteiten (wichtige Einrichtungen): middelgrote bedrijven (50+ medewerkers of €10 miljoen omzet en balanstotaal) in de sectoren met hoge kriticiteit, en middelgrote en grote bedrijven in de overige kritieke sectoren (post en koeriers, afval, chemie, voeding, productie van medische hulpmiddelen, machines, voertuigen en elektronica, digitale aanbieders, onderzoek).
• Federale overheid: apart geregeld in de BSIG, met eigen verplichtingen.

Het BSI schat het totaal op zo'n 29.500 organisaties, de meeste "belangrijke" entiteiten in de maakindustrie. Het BSI biedt een online zelfcheck (Betroffenheitsprüfung); de wet verwacht dat je zelf je status beoordeelt en niet op een brief wacht.

De verplichtingen onder de BSIG

1. Registratie bij het BSI

Binnen drie maanden nadat je onder de wet valt, via het BSI portaal en het bedrijfsaccount "Mein Unternehmenskonto": bedrijfsgegevens, sector, contactgegevens, IP reeksen en de lidstaten waarin je actief bent. Wijzigingen moeten binnen twee weken worden doorgegeven. De deadline voor entiteiten die vanaf dag één onder de wet vielen was 6 maart 2026. Heb je je niet geregistreerd, doe het dan nu; de verplichting vervalt niet en vrijwillige late registratie wordt gunstiger behandeld dan ontdekt worden.

2. Risicobeheersmaatregelen (§ 30 BSIG)

De tien NIS2 minimummaatregelen, in verhouding tot het risico: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit en back-up, beveiliging van de toeleveringsketen, veilige inkoop en ontwikkeling, effectiviteitsbeoordeling, cyberhygiëne en cybersecuritytraining, cryptografie, toegangsbeheer en assetmanagement, en multifactorauthenticatie en veilige communicatie. Bijzonder belangrijke entiteiten moeten als KRITIS exploitant ook systemen voor aanvalsdetectie gebruiken.

3. Incidentmelding (§ 32 BSIG)

Vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand, via het meldportaal van het BSI. "Significante" incidenten zijn incidenten die ernstige operationele verstoring of financiële schade veroorzaken, of anderen raken.

4. Bestuursplichten (§ 38 BSIG)

Het bestuur moet de risicobeheersmaatregelen goedkeuren en bewaken en moet regelmatig cybersecuritytraining volgen. Bestuurders zijn naar Duits vennootschapsrecht persoonlijk aansprakelijk bij schending van deze plicht; de BSIG sluit expliciet uit dat het bedrijf van die aansprakelijkheid afziet.

5. Bewijs en toezicht

Het BSI kan informatie en bewijs opvragen, audits gelasten en bij bijzonder belangrijke entiteiten proactief toezicht houden. Boetes lopen op tot €10 miljoen of 2% van de wereldwijde omzet voor bijzonder belangrijke entiteiten en €7 miljoen of 1,4% voor belangrijke entiteiten.

Registratiedeadline gemist? Doe dit

1. Doe vandaag de zelfcheck van het BSI en documenteer de uitkomst, ook als je concludeert dat je er niet onder valt.
2. Registreer meteen als je eronder valt. Laat is beter dan afwezig, en de registratie zelf kost minder dan een uur zodra je het bedrijfsaccount hebt.
3. Doe een gap analyse tegen § 30. De meeste Duitse mkb bedrijven vinden drie gaten: beveiliging van de toeleveringsketen, gedocumenteerde incidentafhandeling en training zonder bewijs.
4. Zet het bestuur op een trainingsregistratie. § 38 vereist het, en het is het eerste waar een auditor om vraagt. De wekelijkse challenges van Guardey bevatten een managementtraject en leveren voltooiingsrapporten per persoon.
5. Test het 24-uurs-meldpad. Wie merkt het op, wie beslist, wie meldt? Oefen het één keer.

Training als bewijs: wat het BSI accepteert

Noch de richtlijn noch de BSIG schrijft een vorm voor, maar "cyberhygiëne en cybersecuritytraining" moet aantoonbaar zijn. Een jaarlijkse presentatie met een presentielijst is zwak bewijs; een doorlopend programma met voltooiingsdata per medewerker, resultaten van phishing simulaties en een trainingsregistratie van het bestuur is sterk bewijs. De security awareness training van Guardey is beschikbaar in het Duits, kost drie minuten per week, bevat phishing simulaties en genereert de rapporten voor NIS2, ISO 27001 en andere normen.

Veelgestelde vragen

Is NIS2 al van kracht in Duitsland?

Ja. De NIS2UmsuCG en de nieuwe BSIG gelden sinds 6 december 2025. Er is geen overgangsperiode.

Wie moet zich registreren bij het BSI?

Elke bijzonder belangrijke en belangrijke entiteit, binnen drie maanden nadat ze onder de wet valt. Voor organisaties die op 6 december 2025 al in scope waren, was de deadline 6 maart 2026. Registratie blijft verplicht als je die hebt gemist.

Wat is het verschil tussen "besonders wichtig" en "wichtig"?

Omvang en sector. Grote bedrijven in sectoren met hoge kriticiteit en KRITIS exploitanten zijn "bijzonder belangrijk" (proactief toezicht, hogere boetes); middelgrote bedrijven in die sectoren en middelgrote en grote bedrijven in de overige sectoren zijn "belangrijk" (reactief toezicht).

Vereist NIS2 in Duitsland training van medewerkers?

Ja. § 30 BSIG noemt cyberhygiëne en cybersecuritytraining als verplichte maatregel, en § 38 verplicht het bestuur zelf training te volgen.

Waar vind ik de officiële tekst?

De NIS2UmsuCG is gepubliceerd in het Bundesgesetzblatt (BGBl. 2025 I Nr. 301). De NIS-2-pagina's van het BSI bevatten de zelfcheck, het registratieportaal en FAQ's. Voor het Europese beeld, zie onze NIS2 gids 2026 en NIS1 versus NIS2.