Das deutsche NIS-2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Kern der Umsetzung ist das neu gefasste BSI-Gesetz (BSIG), das Pflichten für besonders wichtige und wichtige Einrichtungen, die Bundesverwaltung und Betreiber kritischer Anlagen regelt.
Wer heute die Betroffenheit prüft, muss daher den geltenden BSIG-Text verwenden — nicht Referentenentwürfe, alte Begriffe oder Zeitpläne aus 2024 und 2025.
Welches Gesetz gilt jetzt?
Der förmliche Titel lautet „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“. Der Bundestag nahm die geänderte Fassung am 13. November 2025 an. Das Gesetz wurde am 2. Dezember 2025 ausgefertigt und im Bundesgesetzblatt 2025 I Nr. 301 verkündet; das neue BSIG trat am 6. Dezember 2025 in Kraft.
Im März 2026 wurde das BSIG im Zusammenhang mit dem KRITIS-Dachgesetz geändert. Für eine aktuelle Prüfung ist deshalb die konsolidierte Fassung bei „Gesetze im Internet“ maßgeblich.
Wer fällt unter das BSIG?
Das deutsche Gesetz verwendet die Kategorien besonders wichtige Einrichtungen und wichtige Einrichtungen. Der Ausdruck „wesentliche Einrichtung“ stammt aus der deutschen NIS2-Richtlinienfassung, ist aber nicht die Kategoriebezeichnung des geltenden § 28 BSIG.
Besonders wichtige Einrichtungen
Dazu gehören insbesondere:
- Betreiber kritischer Anlagen,
- qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter,
- bestimmte Anbieter öffentlicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze,
- sonstige Einrichtungsarten aus Anlage 1, wenn sie mindestens 250 Beschäftigte haben oder mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme erreichen.
Wichtige Einrichtungen
Dazu gehören insbesondere:
- Vertrauensdiensteanbieter,
- bestimmte kleinere Telekommunikationsanbieter,
- sonstige Einrichtungsarten aus Anlage 1 oder 2, wenn sie mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Jahresbilanzsumme erreichen.
Die Anlagen decken die in NIS2 beschriebenen 18 Sektoren ab, darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IKT-Dienste, Post, Abfall, Chemie, Ernährung, bestimmte Produktion, digitale Dienste und Forschung.
Die Kurzform „jedes Unternehmen ab 50 Beschäftigten“ ist falsch. Zuerst müssen Einrichtungsart und Tätigkeit passen. Dann folgen Größen-, Gruppen- und Sonderregeln. Vernachlässigbare Tätigkeiten können nach § 28 Absatz 3 unberücksichtigt bleiben; für Partner- und verbundene Unternehmen enthält Absatz 4 eine besondere IT-Unabhängigkeitsregel. DORA-Finanzunternehmen sowie bestimmte Telekommunikations- und Energieeinrichtungen unterliegen für einzelne Pflichten vorrangigem Sektorrecht.
Die häufig genannte Zahl von rund 30.000 betroffenen Organisationen ist eine Prognose aus dem Gesetzgebungsverfahren, kein Registerstand und keine individuelle Betroffenheitsregel.
Welche Pflichten gelten?
Risikomanagement nach § 30 BSIG
Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und dokumentieren. Die zehn Mindestfelder umfassen:
- Risikoanalyse und Informationssicherheitskonzepte,
- Bewältigung von Sicherheitsvorfällen,
- Betriebskontinuität, Backup, Wiederherstellung und Krisenmanagement,
- Lieferkettensicherheit,
- sichere Beschaffung, Entwicklung, Wartung und Schwachstellenmanagement,
- Verfahren zur Wirksamkeitsbewertung,
- grundlegende Schulung und Sensibilisierung,
- Kryptografie,
- Personal-, Zugriffs- und Asset-Sicherheit,
- MFA oder kontinuierliche Authentifizierung sowie gegebenenfalls gesicherte Kommunikation.
Für Betreiber kritischer Anlagen gelten zusätzliche Anforderungen aus § 31, insbesondere zu Systemen zur Angriffserkennung. Für bestimmte digitale Einrichtungsarten konkretisiert die unmittelbar geltende Durchführungsverordnung (EU) 2024/2690 die technischen und methodischen Anforderungen.
Registrierung nach § 33 BSIG
Die Registrierung ist spätestens drei Monate erforderlich, nachdem die Organisation erstmals oder erneut unter eine der beiden Einrichtungskategorien fällt. Das BSI stellt dafür das BSI-Portal bereit. Für Organisationen, die bereits am 6. Dezember 2025 erfasst waren, endete der reguläre Dreimonatszeitraum am 6. März 2026.
Das BSI kann eine unterbliebene Registrierung selbst vornehmen und Unterlagen zur Betroffenheitsprüfung verlangen. Eine behördliche Erinnerung ist keine Voraussetzung der Pflicht.
Meldung erheblicher Sicherheitsvorfälle
§ 32 BSIG verlangt ein gestuftes Verfahren nur bei einem erheblichen Sicherheitsvorfall:
| Stufe | Frist ab Kenntnis | Kerninhalt |
|---|---|---|
| frühe Erstmeldung | unverzüglich, spätestens 24 Stunden | mögliche böswillige Ursache und grenzüberschreitende Wirkung |
| Vorfallmeldung | unverzüglich, spätestens 72 Stunden | erste Bewertung, Schwere, Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Ersuchen des BSI | relevante Statusaktualisierung |
| Abschlussmeldung | spätestens einen Monat nach der 72-Stunden-Meldung | Ursache, Auswirkungen, Abhilfe und gegebenenfalls grenzüberschreitende Wirkung |
Dauert der Vorfall nach einem Monat an, ist zunächst eine Fortschrittsmeldung und nach Abschluss der Bearbeitung die Abschlussmeldung abzugeben. Andere Meldepflichten, etwa nach DSGVO oder DORA, müssen separat bewertet werden.
Was muss die Geschäftsleitung tun?
Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen aus § 30 umsetzen und ihre Umsetzung überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen. Ein bestimmter jährlicher Mindestturnus steht nicht im Gesetz.
Verletzt die Leitung diese Pflichten schuldhaft und entsteht der Einrichtung dadurch ein Schaden, richtet sich die Innenhaftung vorrangig nach dem anwendbaren Gesellschaftsrecht. Das BSIG ordnet keine automatische persönliche Geldbuße und keine pauschale Außenhaftung an.
Bei besonders wichtigen Einrichtungen kann das BSI als letztes Mittel und unter engen Voraussetzungen die vorübergehende Untersagung einer Leitungsfunktion verlangen, wenn vollziehbare Anordnungen fortdauernd nicht befolgt werden. Das ist keine Standardsanktion für jeden Sicherheitsmangel.
Welche Aufsichtsbefugnisse hat das BSI?
Für besonders wichtige Einrichtungen sieht § 61 eine präventive Aufsicht vor. Das BSI kann unter anderem Audits, Prüfungen oder Zertifizierungen, Unterlagen und Auskünfte verlangen, Vor-Ort-Prüfungen durchführen sowie konkrete Abhilfemaßnahmen anordnen.
Wichtige Einrichtungen unterliegen nach § 62 grundsätzlich einer reaktiven Aufsicht, wenn Tatsachen oder Anhaltspunkte für Pflichtverstöße vorliegen. Betreiber kritischer Anlagen haben unabhängig davon besondere Nachweispflichten nach § 39.
Wie hoch sind die Bußgelder?
§ 65 BSIG enthält einen gestaffelten Tatbestandskatalog. Für bestimmte Kernverstöße können Geldbußen betragen:
- bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro,
- bei wichtigen Einrichtungen bis zu 7 Millionen Euro.
Gehört die Einrichtung zu einem Unternehmen mit mehr als 500 Millionen Euro weltweitem Gesamtumsatz, kann die Obergrenze für dieselben Kernverstöße stattdessen bis zu 2 Prozent bei besonders wichtigen beziehungsweise 1,4 Prozent bei wichtigen Einrichtungen betragen. Die Umsatzgrenze gilt also nicht pauschal für jedes Unternehmen und nicht für jeden Verstoß.
Verhältnis zum KRITIS-Dachgesetz
Das BSIG schützt Netz- und Informationssysteme und gilt für einen breiten Kreis von Einrichtungen. Das KRITIS-Dachgesetz ergänzt diesen Rahmen für die physische und organisatorische Resilienz kritischer Anlagen. Es trat am 17. März 2026 in Kraft, doch die konkrete Anlagenbestimmung hängt noch von der Rechtsverordnung nach §§ 4 und 5 KRITISDachG ab; Betreiberpflichten beginnen nach Registrierung zeitversetzt.
Eine ausstehende KRITIS-Verordnung verschiebt bestehende BSIG-Pflichten nicht. Umgekehrt macht eine NIS2-Einrichtung nicht automatisch jede Betriebsstätte zu einer kritischen Anlage.
Was jetzt priorisieren?
- Einrichtungsart, Größenwerte, Gruppenbezug und Sektorregeln dokumentieren.
- Registrierung und Kontaktdaten im BSI-Portal prüfen.
- §-30-Maßnahmen gegen bestehendes ISMS und reale Betriebsnachweise abgleichen.
- 24-/72-Stunden-Meldeentscheidung mit Leitung, IT, Recht und Datenschutz üben.
- Geschäftsleitungsbeschlüsse, regelmäßige Berichte und Schulung nachweisbar machen.
- Kritische Lieferanten und unmittelbare Diensteanbieter risikobasiert steuern.
Unsere NIS2-Beratung unterstützt bei Betroffenheitsprüfung, Registrierung, Governance, Gap-Analyse und einem priorisierten Nachweisplan.
Quellen und Prüfung
- BSI-Gesetz in der geltenden Fassung
- Deutscher Bundestag: Beschluss der deutschen NIS2-Umsetzung
- § 28 BSIG: Anwendungsbereich und Kategorien
- § 32 BSIG: Meldepflichten
- § 38 BSIG: Pflichten der Geschäftsleitung
- § 65 BSIG: Bußgeldvorschriften
- BSI: Registrierung und Meldung über das BSI-Portal
- Richtlinie (EU) 2022/2555 (NIS2)
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.