NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft: Was Unternehmen in Deutschland bis 2027 tun müssen
- Das NIS2-Gesetz wurde am 13. November 2025 vom Bundestag beschlossen, am 21. November 2025 vom Bundesrat bestätigt und am 5. Dezember 2025 im Bundesgesetzblatt veröffentlicht.
- Seit dem 6. Dezember 2025 gilt das NIS2UmsuCG ohne Übergangsfrist für Unternehmen in Deutschland.
- Rund 29.500 Unternehmen sind betroffen, viele davon sind Stand November 2026 noch immer nicht registriert.
- Erweiterter Anwendungsbereich: Neben KRITIS-Betreibern fallen nun zahlreiche weitere Branchen unter strenge Sicherheitsanforderungen.
- Es besteht sofortiger Handlungsbedarf für alle betroffenen Organisationen. Der erste Schritt für noch nicht registrierte Unternehmen ist ein Betroffenheitscheck.
Was ist das NIS2UmsuCG?
NIS2UmsuCG steht für „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ und ist die Umsetzung der europäischen NIS2-Richtlinie in deutsches Recht. Dafür hatten Deutschland wie alle anderen EU-Staaten bis Oktober 2024 Zeit.
Allerdings trat das Gesetz erst 2025 in Kraft mit folgenden Schritten:
- 13. November 2025: Verabschiedung durch den Bundestag
- 21. November 2025: Bestätigung durch den Bundesrat
- 5. Dezember 2025: Verkündung im Bundesgesetzblatt
- 6. Dezember 2025: Inkrafttreten
Was sind die wichtigsten Ziele der NIS2-Umsetzung in Deutschland?
Das deutsche Gesetz zur NIS2-Umsetzung soll die Cybersicherheit in Unternehmen in Deutschland erhöhen und Unternehmen dazu befähigen, besser auf Vorfälle zu reagieren.
Dafür verpflichtet das Gesetz betroffene Unternehmen zu Maßnahmen wie Risikoanalysen. Außerdem macht das NIS2-UmsuCG klare Vorgaben zu Meldefristen, um Frühwarnungen zu ermöglichen.
Zudem schafft die Implementierung von NIS2 einheitliche Anforderungen für Unternehmen in der gesamten EU. Dies erleichtert insbesondere grenzüberschreitend tätigen Unternehmen die Compliance und sorgt für eine einheitliche Mindestanforderung an die IT-Sicherheit.
Wer ist von der NIS2-Umsetzung in Deutschland betroffen?
Die Vorschriften des NIS2UmscuCG gelten vornehmlich für kritische Infrastrukturen sowie Einrichtungen aus wichtigen Branchen wie Gesundheitswesen, Energieversorgung, Verkehr, Finanzwesen und öffentliche Verwaltung.
Rund 29.500 Unternehmen und Organisationen in Deutschland müssen die Vorgaben des NIS2-UmsuCG einhalten und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die Registrierung erfolgt über den digitalen Dienst „Mein Unternehmenskonto“ (MUK).
Kurz vor Inkrafttreten des NIS2UmsuCG war laut einer Proliance-Studie allerdings allein im Mittelstand für rund 50 % der Unternehmen nicht klar, ob sie betroffen sind. Im September 2026 waren laut Medienberichten rund 20.000 Unternehmen registriert.
Unklarheit über NIS2-Betroffenheit kann Bußgelder nach sich ziehen. Unser NIS2-Check bringt in 10 Minuten Klarheit und zeigt, ob Sie jetzt handeln müssen.
Warum sollten Unternehmen ihre Betroffenheit prüfen und sich registrieren?
Betroffene Organisationen müssen sofort handeln, denn die NIS2-Umsetzung gilt ohne Übergangsfrist. Die Überwachungs- und Sanktionsphase beginnt unmittelbar. Als zentrale Aufsichtsbehörde für die NIS2-Umsetzung überwacht das BSI die Einhaltung der Pflichten und hat im Tagesspiegel für Ende 2026 und Anfang 2027 eine Durchsetzungsinitiative angekündigt.
{{infobox}}
Was sind die wichtigsten Paragraphen der deutschen NIS2-Umsetzung?
Das NIS2-Umsetzungsgesetz macht aus der EU-Richtlinie NIS2 deutsches Recht. Die Richtlinie gibt Ziele vor, das Gesetz legt fest, was Unternehmen in Deutschland konkret tun müssen. Die Pflichten stehen vor allem im BSI-Gesetz (BSIG), das die Aufgaben des BSI und die Pflichten der Unternehmen gegenüber dem BSI regelt.
Die folgende Übersicht zeigt die wichtigsten Paragraphe und Pflichten die Ihr Unternehmen kennen muss.
Alle relevanten Paragraphen verständlich erklärt: Unser NIS2-Praxisleitfaden für KMU kommentiert die für den Mittelstand wichtigen Vorschriften und gibt konkrete Umsetzungshinweise.
Praktische Umsetzung von NIS2 für deutsche Unternehmen: 9 Schritte zur Compliance
Die Implementierung des NIS2-Umsetzungsgesetzes erfordert eine proaktive Herangehensweise und die Zusammenarbeit verschiedener Abteilungen innerhalb eines Unternehmens. Helfen kann dabei die Implementierung eines Informationssicherheits-Managementsystems (ISMS), das einen strukturierten Rahmen schafft.
Maßnahmen rund um NIS2 müssen sauber dokumentiert sein. Für die Spörer AG war dabei der größte Effizienzhebel ein softwarebasiertes Dokumentenmanagement in Proliance 360: Statt Dokumente jedes Mal neu zu erfinden, arbeitet das Team mit Struktur, Vorlagen und nachvollziehbaren Bausteinen. Das reduziert manuellen Aufwand und schafft Sicherheit bei der Erstellung und Pflege von Dokumenten.
Was passiert bei Verstößen gegen das NIS2UmsuCG?
Implementieren Unternehmen nicht die geforderten Sicherheitsmaßnahmen oder versäumen sie ihre Meldepflichten, sieht das deutsche NIS2-Umsetzungsgesetz erhebliche Geldstrafen vor. Die Höhe der Bußgelder variiert je nach Art der Einrichtung und Schwere des Verstoßes:
- Besonders wichtige Einrichtungen und Betreiber kritischer Anlagen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Unternehmens – je nachdem, welcher Betrag höher ist.
- Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes des Unternehmens – abhängig davon, welcher Betrag höher ist.
Die NIS2-Umsetzung in Deutschland betont darüber hinaus die Verantwortung der obersten Führungsebene für die Cybersicherheit. Bei Verstößen können Mitglieder der Geschäftsleitung persönlich haftbar gemacht werden, insbesondere wenn sie ihre Überwachungs- und Umsetzungspflichten vernachlässigen.
Welche Verstöße können bestraft werden?
- Unternehmen versäumen es, angemessene technische und organisatorische Sicherheitsvorkehrungen zum Schutz ihrer IT-Infrastruktur zu implementieren.
- Die Meldung von Sicherheitsvorfällen erfolgt verspätet oder gar nicht.
- Mitteilungen an Kunden oder die Öffentlichkeit sind unvollständig oder fehlerhaft.
Als Geschäftsführer tragen Sie persönliche Verantwortung für die NIS2-Compliance Ihres Unternehmens. Erfahren Sie, welche Pflichten auf Sie zukommen und wie Sie Haftungsrisiken gezielt minimieren.
Fazit: Jetzt handeln und die Anforderungen des NIS2UmsuCG erfüllen
Das NIS2-Umsetzungsgesetz ist seit Ende 2025 in Deutschland in Kraft und stellt eine wichtige Entwicklung im Bereich der Cybersicherheit dar. Es hat weitreichende Auswirkungen auf Unternehmen in Deutschland.
Da keine Übergangsfristen vorgesehen sind, müssen betroffene Unternehmen sofort handeln: Registrierung beim BSI, Implementierung von Risikomanagementmaßnahmen, Schulung der Geschäftsführung und Etablierung von Meldeprozessen sind ab sofort verpflichtend. Durch die Erfüllung der Vorgaben können Unternehmen nicht nur ihre eigene Sicherheit verbessern, sondern auch zur eigenen Cyberresilienz und der Resilienz des gesamten digitalen Ökosystems beitragen.
Nochim vierten Quartal 2026 beginnt das BSI mit der formellen Durchsetzung derNIS2-Pflichten aus dem NIS2UmsuCG. Wer sich nicht rechtzeitig registriert hat,muss mit einer Anhörung und einem Bußgeldverfahren rechnen. Ab 2027 verlangtdas BSI Nachweise für die NIS2-Erfüllung. Proliance unterstützt Sie dabei, IhreNIS2-Pflichten rechtzeitig zu erfüllen.
Sie haben noch Fragen? Wir haben die Antworten
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist das deutsche Gesetz, das die EU-Richtlinie NIS2 in nationales Recht überführt. Es hat das BSI-Gesetz (BSIG) neu gefasst, ist im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) verkündet worden. Es verpflichtet wichtige und besonders wichtige Einrichtungen, Schutzmaßnahmen umzusetzen, erhebliche Sicherheitsvorfälle zu melden und sich beim BSI zu registrieren. Die Geschäftsleitung trägt die Verantwortung dafür. Ob Ihr Unternehmen betroffen ist, hängt von Branche und Größe ab.
Auf EU-Ebene gilt die NIS2-Richtlinie bereits seit 2023. Das Gesetz zur Umsetzung der NIS2-Richtlinie in Deutschland wurde am 13.11.2025 beschlossen und trat am 06.12.2025 offiziell im in Kraft. Da das Gesetz keine Übergangsfristen vorsieht, gilt es Gesetz unmittelbar. Es gibt also keine Übergangsfrist für betroffene Unternehmen und diese müssen umgehend handeln und sich unverzüglich beim BSI registrieren. Hier kann Proliance mit NIS2-Geschäftsführerschulungen, NIS2-Beratungen, dem Aufbau eines ISMS und vielem mehr unterstützen.
Registrieren Sie sich jetzt, denn die Pflicht besteht weiter. Die gesetzliche Frist von drei Monaten nach Beginn der Betroffenheit ist abgelaufen, und das BSI fordert betroffene Unternehmen auf, sich umgehend im BSI-Portal zu registrieren. Wer nicht registriert ist, riskiert ein Bußgeld von bis zu 500.000 Euro. Das BSI kann ein Unternehmen außerdem selbst registrieren und Unterlagen zur Prüfung anfordern. Laut Medienberichten will das BSI im vierten Quartal 2026 gezielt gegen nicht registrierte Einrichtungen vorgehen, beginnend mit einer Anhörung.
Beginnen Sie sofort mit einer Gap-Analyse und setzen Sie Maßnahmen prioritär um. Das deutsche NIS2UmsuCG beinhaltet keine Übergangsfristen – handeln Sie also unmittelbar! Nutzen Sie den NIS2-Check von Proliance für eine erste Bestandsaufnahme Ihres Compliance-Stands.
Sie haben noch Fragen? Lassen Sie sich jetzt kostenlos von unseren Compliance Expert:innen beraten.
Zu unseren mehr als 3.000 Kunden zählen Start-ups, mittlere Unternehmen und Unternehmensgruppen aus nahezu allen Branchen.
