Seit 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz (NIS2UmsuCG). Es setzt die EU-NIS2-Richtlinie in deutsches Recht um und richtet sich an Unternehmen aus sicherheitsrelevanten Sektoren. Ziel ist ein höheres Cybersicherheitsniveau: Mehr Unternehmen müssen künftig geeignete Schutzmaßnahmen ergreifen und Sicherheitsvorfälle melden. Schätzungen gehen davon aus, dass bundesweit etwa 30.000 Unternehmen betroffen sind.
Dies sind vor allem Unternehmen aus kritischen Versorgungs- und Infrastruktur-bereichen. Dazu zählen beispielsweise Energie-, Gesundheits- und Verkehrs-unternehmen sowie Anbieter öffentlicher Telekommunikations- und Internetdienste. Auch Unternehmen, die in der Produktion, Verarbeitung oder im Vertrieb von Lebensmitteln tätig sind, fallen in den Geltungsbereich des Gesetzes. Maßgeblich für eine „Betroffenheit“ ist auch die Unternehmensgröße: Unternehmen aus den „NIS2-Branchen“ mit mehr als 50 Beschäftigten oder über 10 Millionen Euro Jahresumsatz fallen unter die Vorschriften.
Wichtig oder besonders wichtig?
Das Gesetz unterscheidet zudem in besonders wichtige (Anlage 1: Energie, Verkehr, Banken, Gesundheit) und wichtige Einrichtungen (Anlage 2: Post, Abfall, Chemie, Lebensmittel, Digitale Dienste). Unternehmen beider Kategorien müssen Meldepflichten erfüllen, Risikomanagement betreiben und die Geschäftsleitung haftet für die Umsetzung der Maßnahmen. Ein Unterschied in der Regulierung besteht jedoch darin, dass besonders wichtige Einrichtungen einer Ex-ante-Aufsicht (proaktive Kontrollen durch Behörden) unterliegen, während wichtige Einrichtungen Ex-post beaufsichtigt werden, also eine Kontrolle erst nach Hinweisen auf Vorfälle zu erwarten ist.
Melde- und Registrierungspflichten
Diese Pflichten müssen Unternehmen nach NIS2-erfüllen:
- Registrierungspflicht (§33 BSIG): „Wichtige“ und „besonders wichtige“ Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren lassen. Dabei läuft der Prozess zweistufig ab: Zuerst richtet das Unternehmen ein Benutzerkonto beim Online-Dienst „Mein Unternehmenskonto“ (MUK) ein. Dies dient dem Zugang zu Verwaltungs-Services. Anschließend erfolgt die eigentliche Registrierung im neuen BSI-Portal, das am 6. Januar 2026 freigeschaltet wurde. Die Pflicht zur Registrierung entsteht drei Monate nach dem Zeitpunkt, an dem ein Unternehmen erstmals als „wichtig“ oder „besonders wichtig“ gilt, in der Regel mit Inkrafttreten des Gesetzes.
- Meldepflichten (§32 BSIG): Alle als wesentlich klassifizierten Unternehmen müssen erhebliche IT-Sicherheitsvorfälle sofort dem BSI melden. Konkret sieht das Gesetz einen dreistufigen Meldeprozess vor: Nach Entdeckung eines erheblichen Vorfalls ist unverzüglich (maximal binnen 24 Stunden) eine Erstmeldung an das BSI abzugeben. Spätestens 72 Stunden nach Kenntnis muss eine ergänzende Zwischenmeldung erfolgen, und innerhalb eines Monats ein abschließender Bericht. Sollte ein Meldepflichtiger schon vor vollständiger Registrierung im Portal einen Vorfall erleiden, kann er diesen vorübergehend über ein bereitgestelltes Online-Formular direkt ans BSI melden.
- Unterrichtungspflichten: Zusätzlich können Kunden und Öffentlichkeit informiert werden müssen. So kann das BSI im Einzelfall anordnen, dass betroffene Unternehmen ihre Dienst¬empfänger über einen Vorfall informieren. In bestimmten Branchen (Finanz-/Versicherungswesen, IT/TK, digitale Dienste) müssen Unternehmen Kunden schon bei Cyberbedrohungen von vornherein informieren.
Das droht bei Verstößen
Die Einhaltung der Pflichten wird scharf überwacht. Bei Verstößen können hohe Bußgelder verhängt werden. Das BSI erhält als Aufsichtsbehörde erweiterten Prüfungs- und Anordnungsbefugnisse, um die Vorschriften durchzusetzen. Im Extremfall können Unternehmen verpflichtet werden, zusätzliche Maßnahmen umzusetzen oder die Dienstbereitstellung anzupassen. Darüber hinaus sieht das Gesetz eine persönliche Haftung der Geschäftsleitung vor: Die Unternehmensführung muss die Umsetzung der Sicherheitsmaßnahmen beaufsichtigen und haftet bei Pflichtverletzung.
Unterstützung durch Ratisbona Compliance
Angesichts der neuen Anforderungen ist rechtzeitiges Handeln wichtig. Ratisbona Compliance tritt als unabhängiger, praxisorientierter Partner an die Seite von Unternehmen. Mit der speziell für den Mittelstand entwickelten Lösung RC_NIS2 bieten wir eine Lösung, mit der nicht nur die Registrierungs- und Meldeprozesse effizient abgebildet werden können. RC_NIS2 begleitet Unternehmen auf dem Weg zur NIS2-Compliance und sorgt auch dafür, dass auch künftig alle sicherheits- und rechtsrelevanten Aufgaben erfüllt werden können.
Wir beraten Sie gern darin, wie Sie die neuen Pflichten rechtzeitig und vollständig erfüllen.