Quelle: Bundesgesetzblatt, BSI | Datum: 08.12.2025
NIS2-Umsetzungsgesetz in Deutschland: Ab sofort neue Pflichten für tausende Unternehmen
Zusammenfassung
Am 5. Dezember 2025 wurde das deutsche NIS2-Umsetzungsgesetz im Bundesgesetzblatt veröffentlicht und trat am 6. Dezember 2025 in Kraft. Damit wird die EU-NIS2-Richtlinie in deutsches Recht überführt und der Kreis der betroffenen Einrichtungen massiv ausgeweitet: Statt bislang rund 4.500 gelten nun geschätzt bis zu 30.000 Unternehmen und Organisationen als reguliert, eingeteilt in „wichtige" und „besonders wichtige" Einrichtungen.
Zentrales Element sind ein verpflichtendes Cybersicherheits-Risikomanagement, strenge Meldepflichten für Sicherheitsvorfälle sowie eine Registrierung beim BSI. Für das digitale Unternehmenskonto „Mein Unternehmenskonto" empfiehlt das BSI eine Einrichtung spätestens bis Ende 2025; die Registrierung im neuen BSI-Portal soll ab dem 6. Januar 2026 möglich sein.
Wichtig: Übergangsfristen für die Sicherheitsmaßnahmen gibt es praktisch nicht. Bei Verstößen drohen Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (für besonders wichtige Einrichtungen) bzw. 7 Mio. Euro oder 1,4 % (für wichtige Einrichtungen).
Weiterlesen: NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft
Quelle: Bundesregierung, BSI | Datum: 30.07.2025 / Stand September 2025
NIS2-Umsetzungsgesetz Deutschland: Finale Gesetzgebungsphase
Zusammenfassung
Das Bundeskabinett hat den finalen Regierungsentwurf des „Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung" beschlossen. Mit dem Gesetz wird die Aufsicht des BSI wesentlich erweitert: Statt bisher ca. 4.500 sind künftig rund 29.500 Einrichtungen betroffen, insbesondere durch Ausweitung auf „wichtige" und „besonders wichtige" Unternehmen in 18 Wirtschaftssektoren.
Weiterlesen: NIS2-Umsetzungsgesetz Deutschland: Finale Gesetzgebungsphase
Öffentliche Anhörung im Bundestag, Experten kritisieren Unschärfen im NIS2UmsuCG und fordern Nachbesserungen
Zusammenfassung
Am 13. Oktober 2025 fand im Innenausschuss des Deutschen Bundestages die öffentliche Anhörung zum Regierungsentwurf des „Gesetzes zur Umsetzung der NIS-2-Richtlinie" (NIS2UmsuCG, BT-Drs. 21/1501) statt. Der Entwurf soll die EU-Richtlinie (EU) 2022/2555 in nationales Recht überführen und das BSI-Gesetz (BSIG) sowie weitere Fachgesetze anpassen. Ziel ist es, den Geltungsbereich der Cybersicherheitsanforderungen deutlich zu erweitern und Aufsicht, Meldewege und Mindeststandards neu zu ordnen.
Mehrere Sachverständige, darunter Vertreter:innen von Bitkom, eco, BDI und der Datenschutzkonferenz (DSK), mahnten jedoch rechtliche und organisatorische Unschärfen an. Insbesondere die Abgrenzung zwischen „wesentlichen" und „wichtigen Einrichtungen", das dreistufige Meldesystem, die Aufsichtskompetenzen des BSI und die Interoperabilität mit bestehenden Regimen (z. B. DSGVO, DORA, KRITIS-DachG) gelten als noch nicht praxistauglich ausgestaltet.
Der Gesetzentwurf befindet sich weiterhin in der Ausschussberatung; eine zweite und dritte Lesung im Bundestag ist frühestens im November oder Dezember 2025 zu erwarten.
Weiterlesen: Sachverständige fordern Nachbesserungen am NIS2UmsuCG