NIS-2-Umsetzung in Deutschland: Deutlich mehr Unternehmen müssen Cybersicherheit organisieren
Cybersicherheit · NIS-2-Umsetzungsgesetz · 6. Dezember 2025
Am 6. Dezember 2025 ist das deutsche NIS-2-Umsetzungsgesetz in Kraft getreten. Das neu gefasste BSI-Gesetz erweitert den Kreis regulierter Unternehmen erheblich und macht Cybersicherheit ausdrücklich zur Aufgabe der Geschäftsleitung.
- Umsetzung der Richtlinie (EU) 2022/2555, deren Frist bereits im Oktober 2024 abgelaufen war.
- Erfasst sind „besonders wichtige“ und „wichtige“ Einrichtungen in zahlreichen Sektoren, regelmäßig ab 50 Beschäftigten oder 10 Mio. Euro Umsatz und Bilanzsumme.
- Pflichten: Risikomanagement, Registrierung beim BSI, gestufte Meldung erheblicher Sicherheitsvorfälle.
Wer betroffen ist
Neben klassischen Betreibern kritischer Anlagen fallen nun auch viele mittelständische Unternehmen unter das Gesetz, etwa aus Produktion, Logistik, Lebensmitteln, digitalen Diensten oder Abfallwirtschaft. Maßgeblich sind Sektor, Tätigkeit und Unternehmensgröße. Die Betroffenheit muss jedes Unternehmen selbst prüfen; eine Mitteilung der Behörde erfolgt nicht automatisch.
Pflichten im Überblick
Betroffene Einrichtungen müssen angemessene technische und organisatorische Maßnahmen umsetzen, etwa zu Vorfallsbewältigung, Lieferkettensicherheit, Backup und Krisenmanagement. Erhebliche Sicherheitsvorfälle sind gestuft zu melden: eine erste Meldung innerhalb von 24 Stunden, eine Bewertung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat. Zudem ist eine Registrierung beim BSI vorgesehen.
Cybersicherheit wird zur Leitungsaufgabe – mit eigener Verantwortung und Schulungspflicht der Geschäftsleitung.
Verantwortung und Bußgelder
Geschäftsleitungen müssen die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verstöße können mit hohen Bußgeldern geahndet werden, die sich an EU-Vorgaben und dem weltweiten Umsatz orientieren.
- Betroffenheit nach Sektor und Größe dokumentiert prüfen und ggf. registrieren.
- Meldewege und Zuständigkeiten für Sicherheitsvorfälle festlegen.
- Lieferanten- und IT-Verträge um Sicherheits- und Meldepflichten ergänzen.
Quelle: BSI-Gesetz (BSIG 2025) ↗
Fragen zu diesem Thema?
Wir unterstützen bei der Betroffenheitsprüfung, Governance-Strukturen und der Vertragsgestaltung mit IT-Dienstleistern.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet