Umsetzung der EU-Direktive NIS-2 in Deutschland (NIS2UmsuCG)

Meilensteine der Gesetzgebung

April 2023: Erster Referentenentwurf 

Das Bundesinnenministerium veröffentlicht den ersten Entwurf zur Umsetzung der EU-NIS-2-Richtlinie. Dieser bildet die Grundlage für die nationale Gesetzgebung und definiert erste Anforderungen an Unternehmen im Bereich der Cybersicherheit.

Juli 2023: Überarbeiteter Entwurf mit sektorunabhängiger Einstufung „wichtiger Einrichtungen“

In der überarbeiteten Fassung wurde die Einstufung von Unternehmen nicht mehr ausschließlich sektorspezifisch vorgenommen. Stattdessen wurde eine neue Kategorie eingeführt: „wichtige Einrichtungen“, deren Relevanz sich aus Größe, Umsatz und Bedeutung für die Gesellschaft ergibt – unabhängig vom Sektor.

Dezember 2023 – bis Juni 2025: Verbändeanhörungen und weitere Entwürfe

In dieser Phase fanden umfangreiche Konsultationen mit Branchenverbänden, Unternehmen und Fachgremien statt. Die Rückmeldungen flossen in mehrere überarbeitete Entwürfe ein, die die Anforderungen weiter konkretisieren und auf Praxistauglichkeit prüfen.

Juli 2025: Kabinettsbeschluss

Die Bundesregierung verabschiedete den finalen Gesetzesentwurf im Kabinett. Damit wurde der Weg für die parlamentarische Beratung und die formale Gesetzgebung geebnet.

August 2025: Vorlage im Bundesrat

Der Gesetzesentwurf wurde dem Bundesrat zur Stellungnahme vorgelegt. Dies ist ein entscheidender Schritt im Gesetzgebungsverfahren, bevor ein Gesetz in Kraft treten kann.

November 2025: Verabschiedung durch den Bundestag

Der Bundestag beschloss das deutsche NIS2 Umsetzungsgesetz.

November 2025: Zustimmung des Bundesrats

Der Bundesrat stimmte dem Umsetzungsgesetz zu und schloss damit das Gesetzgebungsverfahren ab.

Dezember 2025: Inkrafttreten (ohne Übergangsfristen)

Mit Veröffentlichung im Bundesgesetzblatt trat die deutsche Umsetzung der NIS2 Richtlinie unmittelbar in Kraft. Das überarbeitete BSI Gesetz (BSIG) ist somit seit dem 6. Dezember 2025 verbindlich in Kraft.

Erweiterter Geltungsbereich: Mehr als 30.000 Unternehmen betroffen

Die NIS2 und die neuen Anforderungen an Betreiber kritischer Anlagen (KRITIS) betreffen deutlich mehr Unternehmen als bisher. Neuerdings werden auch sogenannte „besonders wichtige“ und „wichtige Einrichtungen“ reguliert. Die Einstufung erfolgt dabei nach Unternehmensgröße, Umsatz und Sektorenzugehörigkeit. Auch Organisationen ohne bestimmte Schwellenwerte können betroffen sein, etwa Anbieter digitaler Dienste, DNS-Dienste, Betreiber öffentlicher Telekommunikationsnetze und die öffentliche Verwaltung.

Neue Anforderungen und Pflichten

Die Anforderungen des NIS2-Umsetzungsgesetzes für die Bundesverwaltung und die Wirtschaft umfassen:

• Einführung eines dreistufigen Melderegimes bei Sicherheitsvorfällen (24h Erstmeldung, 72h Zwischenmeldung, Abschlussbericht nach einem Monat)
• Verpflichtende Registrierung beim BSI – auch bei Nichtmeldung kann eine zwangsweise Registrierung erfolgen
• Erweiterte Aufsichtsbefugnisse des BSI, inklusive Stichprobenprüfungen und Nachweispflichten
• Haftung der Geschäftsführung mit Privatvermögen bei Verstößen, die öffentliche Verwaltung ist hiervon ausgenommen
• Bußgelder bis zu 10 Mio. EUR oder 2 Prozent des Gesamtumsatzes (Ausnahme: Bundesverwaltung)
• Verpflichtende NIS2 Schulung für die Geschäftsführung (Für mehr Informationen zu dieser Schulung lesen Sie gerne unser Whitepaper „NIS2 Schulungspflicht für Geschäftsleitungen - Verantwortung, Umsetzung und Compliance im Lichte des BSIG-E“)

Auf Landesebene gibt es eine eigenständige Gesetzgebung für die Verwaltung, während Bildungseinrichtungen (z.B. Universitäten) und Kommunen bundesweit ausgeschlossen sind.

Technische und organisatorische Maßnahmen

Unternehmen müssen ein umfassendes Informationssicherheitsmanagementsystem (ISMS) etablieren oder bestehende Systeme erweitern. Die geforderten Maßnahmen umfassen:

• Sicherheits- und Risikomaßnahmen
• Vorfalls-, Notfall- und Krisenmanagement
• Lieferketten- und Beschaffungsmanagement
• Schulungen und Awareness
• Verschlüsselung, Authentifizierung, Zugangskontrollen
• Asset- und Schwachstellenmanagement
• Sichere Kommunikation und Notfallkommunikation

Empfohlene strategische Umsetzung

Deloitte empfiehlt eine strukturierte Vorgehensweise in vier Phasen zur Erreichung der NIS2-Compliance. Unternehmen sollten frühzeitig mit der Umsetzung beginnen, da das Gesetz unmittelbar ohne Übergangsfristen in Kraft getreten ist.

Eine Zertifizierung des ISMS und BCM nach ISO/IEC 27001:2022 bzw. ISO 22301 oder BSI IT-Grundschutz kann als Nachweis der Compliance dienen.

NIS2 verstehen – im Live-Seminar mit Deloitte

Erfahren Sie aus erster Hand, was die NIS2 für Ihr Unternehmen bedeutet und wie Sie sich optimal vorbereiten. Unsere Expert:innen geben in einem Live-Seminar – wahlweise vor Ort oder remote – einen Überblick über den aktuellen Stand der Gesetzgebung und zeigen praxisnah, wie Deloitte Sie bei der Umsetzung unterstützen kann – von der Risikoanalyse bis zur Compliance-Zertifizierung.

Jetzt anmelden!

Bei Fragen zu NIS2 kontaktieren Sie gerne unsere Expert:innen Fabian Mihailowitsch und Tamara Okropiridze.