NIS-Umsetzungsgesetz 2017: Cybersicherheit wird reguliert
Cybersicherheit · NIS-Richtlinie / BSIG · 23. Juni 2017
Mit dem Gesetz vom 23. Juni 2017 hat Deutschland die erste europäische NIS-Richtlinie (EU) 2016/1148 umgesetzt. Erstmals galten damit auch für Anbieter bestimmter digitaler Dienste gesetzliche Sicherheits- und Meldepflichten gegenüber dem BSI.
- Gesetz vom 23. Juni 2017, verkündet im BGBl. I S. 1885
- Änderungen vor allem im BSI-Gesetz, unter anderem neue Pflichten für Anbieter digitaler Dienste
- Seit Dezember 2025 durch das deutlich erweiterte NIS-2-Regime abgelöst
Hintergrund
Die NIS-Richtlinie von 2016 war der erste horizontale EU-Rechtsakt zur Cybersicherheit. Sie verpflichtete die Mitgliedstaaten, Betreiber wesentlicher Dienste zu identifizieren, nationale Strategien und Behörden aufzubauen und Mindestanforderungen an Sicherheit und Vorfallmeldung festzulegen. Deutschland hatte mit dem IT-Sicherheitsgesetz von 2015 bereits Pflichten für Betreiber kritischer Infrastrukturen eingeführt. Das Umsetzungsgesetz von 2017 ergänzte diesen Rahmen um die europarechtlich geforderten Elemente.
Kernregelungen
Das BSI-Gesetz erhielt eine Definition der Anbieter digitaler Dienste. Erfasst waren Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste. Diese Anbieter mussten geeignete Maßnahmen zur Bewältigung von Risiken für ihre Systeme treffen und erhebliche Sicherheitsvorfälle melden. Zugleich wurden die Befugnisse des BSI gestärkt, etwa zur Unterstützung bei Vorfällen. Für Betreiber kritischer Infrastrukturen blieben die Pflichten aus dem IT-Sicherheitsgesetz maßgeblich.
Was 2017 als Spezialregelung für wenige Betreiber begann, ist heute ein Pflichtenkatalog für zehntausende Unternehmen.
Was sich seither geändert hat
Die EU hat die NIS-Richtlinie durch die NIS-2-Richtlinie (EU) 2022/2555 ersetzt. Das deutsche NIS-2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft und erweiterte den Kreis der erfassten Einrichtungen erheblich. Es führte Registrierungspflichten, gestufte Meldefristen und ausdrückliche Pflichten der Geschäftsleitung ein. Compliance-Konzepte aus der Zeit der ersten NIS-Umsetzung sollten daher nicht unverändert fortgeschrieben werden.
- Betroffenheit anhand des seit Dezember 2025 geltenden BSI-Gesetzes neu bewerten
- Risikomanagement und Meldewege an die aktuellen Fristen anpassen
- Historische Sicherheitskonzepte auf Lücken gegenüber NIS 2 überprüfen
Quelle: Bundesgesetzblatt 2017 I S. 1885 ↗
Fragen zu diesem Thema?
Wir unterstützen bei der Betroffenheitsanalyse, beim Aufbau von Melde- und Compliance-Prozessen und bei der Vertragsgestaltung mit IT-Dienstleistern.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet