NIS2 in Deutschland: Was das BSIG seit Dezember 2025 verlangt
Am 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft getreten – mehr als ein Jahr nach der ursprünglichen EU-Frist vom 17. Oktober 2024. Kernstück ist die Novelle des BSI-Gesetzes (BSIG). Sie überträgt die Vorgaben der europäischen NIS2-Richtlinie in deutsches Recht und erweitert den Kreis der regulierten Unternehmen erheblich: Nach der ursprünglichen Schätzung des Gesetzgebers sind rund 29.500 Einrichtungen erfasst, ein Vielfaches der bisher regulierten KRITIS-Betreiber.
Eine Übergangsfrist sieht das Gesetz nicht vor. Wer in den Anwendungsbereich fällt, muss die Pflichten seit dem ersten Tag erfüllen. Das Gesetz unterscheidet dabei zwei Kategorien: besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Einstufung hängt vom Sektor und von der Unternehmensgröße ab und entscheidet über die Intensität der Aufsicht und den Bußgeldrahmen.
Die Pflichten im Überblick
Inhaltlich ruht das BSIG auf vier Säulen. Erstens verlangt § 30 technische und organisatorische Risikomanagementmaßnahmen in zehn Bereichen, von der Risikoanalyse über Backup-Management und Lieferkettensicherheit bis zu Verschlüsselung und Multi-Faktor-Authentifizierung. Zweitens führt § 32 eine dreistufige Meldepflicht für erhebliche Sicherheitsvorfälle ein: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht einen Monat später. Drittens müssen sich betroffene Einrichtungen nach §§ 33 und 34 beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Viertens nimmt § 38 die Geschäftsleitung persönlich in die Pflicht: Sie muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.
Die Aufsicht liegt beim BSI. Für besonders wichtige Einrichtungen kann die Behörde Nachweise verlangen und Prüfungen anordnen; wichtige Einrichtungen werden anlassbezogen beaufsichtigt. Die Bußgelder reichen je nach Kategorie bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Was das für den Mittelstand bedeutet
Viele der jetzt regulierten Unternehmen hatten bisher keine Berührung mit dem BSI. Für sie stellt sich zunächst eine einfache Frage: Sind wir betroffen, und wenn ja, in welcher Kategorie? Die Antwort ergibt sich aus Sektor, Beschäftigtenzahl und Umsatz – und sie lässt sich strukturiert ermitteln, ohne Gutachten zu beauftragen. Wie eine geführte Betroffenheitsprüfung nach § 28 BSIG abläuft und wie sich die übrigen Pflichten dokumentieren lassen, zeigt unsere Seite zum Modul NIS2.
