NIS2-Umsetzung in Deutschland: Gesetz seit 6. Dezember 2025 in Kraft – Was Unternehmen jetzt tun müssen

NIS2-Richtlinie: Mehr Sicherheit für infrastrukturkritische Branchen

In der heutigen digitalen Ära sind robuste Sicherheitsmaßnahmen unverzichtbar, insbesondere für Unternehmen, die kritische Infrastrukturen betreiben oder digitale Dienste anbieten. Die Europäische Union reagiert auf wachsende Cyberbedrohungen mit der NIS2-Richtlinie (Netzwerk- und Informationssicherheit).

2022 hat die EU diese Richtlinie auf den Weg gebracht, um „eine Kultur der Sicherheit in allen Sektoren, die für unsere Wirtschaft und Gesellschaft von entscheidender Bedeutung sind" zu schaffen und einheitlich hohe Sicherheitsstandards für alle Mitgliedsstaaten zu etablieren. Im Vergleich zu ihrem Vorgänger NIS1 bringt die neue NIS2-Richtlinie deutlich mehr Verpflichtungen für betroffene Organisationen mit sich.

Alles über NIS2

Was bedeutet die NIS2-Richtlinie für Ihr Unternehmen und welche Pflichten kommen mit der NIS2-Umsetzung in Deutschland auf Sie zu? Unser Leitfaden bringt Klarheit.

Zum kostenlosen NIS2-Leitfaden

Was ist das NIS2UmsuCG und wer ist betroffen?

Alle EU-Staaten hatten bis Oktober 2024 Zeit, NIS2 in nationales Recht umzuwandeln. In Deutschland erfolgt die Implementierung durch das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung".

Der Gesetzgebungsprozess verlief wie folgt:

• 13. November 2025: Verabschiedung durch den Bundestag
• 21. November 2025: Bestätigung durch den Bundesrat
• 5. Dezember 2025: Verkündung im Bundesgesetzblatt
• 6. Dezember 2025: Inkrafttreten

Die Reichweite ist erheblich: Rund 29.500 Unternehmen und Organisationen sind betroffen – ein deutlicher Anstieg gegenüber den bisher 4.500 regulierten Einrichtungen. In unserem Magazin erfahren Sie, welche Unternehmen konkret von der NIS2-Richtlinie betroffen sind.

Kernziele der deutschen NIS2-Umsetzung

Das NIS2-Umsetzungsgesetz verfolgt fünf zentrale Ziele:

Erhöhung der Cybersicherheit durch verbesserte Schutzmaßnahmen

Die Regelung fordert von Unternehmen und Organisationen robustere Sicherheitsvorkehrungen, um Cyberangriffe besser zu verhindern und die digitale Infrastruktur widerstandsfähiger zu machen. Zu den technischen und organisatorischen Maßnahmen gehören die Implementierung eines Informationssicherheits-Managementsystems (ISMS) oder der regelmäßige Einsatz von Risikoanalysen und Penetrationstests.

Harmonisierung der Cybersicherheitsstandards innerhalb der EU

Die Implementierung von NIS2 schafft einheitliche Anforderungen für Unternehmen in der gesamten EU. Dies erleichtert insbesondere grenzüberschreitend tätigen Unternehmen die Compliance und sorgt für eine einheitliche Mindestanforderung an die IT-Sicherheit.

Stärkung kritischer Infrastrukturen gegen Cyberbedrohungen

Die Vorschriften betreffen vornehmlich kritische Infrastrukturen sowie Einrichtungen aus wichtigen Branchen wie Gesundheitswesen, Energieversorgung, Verkehr, Finanzwesen und öffentliche Verwaltung. Ziel ist es, die Widerstandsfähigkeit gegenüber Cyberangriffen zu verbessern und Unterbrechungen wichtiger Dienstleistungen zu vermeiden.

Verbesserung der Krisenbewältigung bei Cybervorfällen

Die neue Regelung verbessert staatliche und unternehmensinterne Reaktionsmechanismen durch:

• Verpflichtende Notfallpläne für IT-Sicherheitsvorfälle
• Schnellere Erkennung und Reaktion auf Cyberangriffe
• Bessere Koordination zwischen Behörden und Unternehmen im Krisenfall

Proliance bietet Unternehmen die passende Unterstützung, um NIS2-compliant zu sein.

Erweiterung der Meldepflichten für Cybervorfälle

Unternehmen müssen Cyberangriffe und IT-Sicherheitsvorfälle schneller und detaillierter melden. Diese verschärften Meldepflichten ermöglichen eine frühzeitige Reaktion auf Bedrohungen und helfen, Angriffe auf nationale und europäische Infrastrukturen effizienter zu bekämpfen.

Inkrafttreten ohne Übergangsfrist: Sofortiger Handlungsbedarf für Unternehmen

Nach längerer Verzögerung ist das deutsche Cybersicherheitsgesetz nun Realität. Am 5. Dezember 2025 erfolgte die Verkündung im Bundesgesetzblatt, am 6. Dezember 2025 trat es in Kraft – ohne Übergangsfrist.

Betroffene Organisationen müssen sofort handeln. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fungiert als zentrale Aufsichtsbehörde und überwacht die Einhaltung der Pflichten. Die Überwachungs- und Sanktionsphase beginnt unmittelbar.

Welche Fristen gelten bei der NIS2-Umsetzung?

Besonders wichtige Einrichtungenhaben 3 Monate Zeit für die Registrierung beim BSI - also bis 6. März 2026. Bei wichtigen Einrichtungen hingegen ist eine unverzügliche Registrierung erforderlich.

NIS2UmsuCG-bereit für die deutsche Umsetzung?

Deutschland verspätet sich bei der NIS2-Umsetzung, trotzdem sollten Unternehmen jetzt handeln. Prüfen Sie kostenlos, ob Sie zu den rund 30.000 betroffenen Organisationen gehören und bereiten Sie sich vor.

Kostenlosen NIS2-Check starten

Praktische Umsetzung von NIS2: 9 Schritte zur Compliance

Die Implementierung des NIS2-Umsetzungsgesetzes erfordert eine proaktive Herangehensweise und die Zusammenarbeit verschiedener Abteilungen innerhalb eines Unternehmens.

• Schritt 1: Bewertung der Betroffenheit: Identifizieren Sie, ob Ihr Unternehmen als „wichtige Einrichtung" oder „besonders wichtige Einrichtung" qualifiziert ist. Nutzen Sie den NIS2-Check von Proliance für eine erste Einschätzung.
• Schritt 2: Registrierung beim BSI: Registrieren Sie sich unverzüglich im BSI-Portal gemäß den gesetzlichen Fristen.
  ‍
• ‍Implementierungsplan: Entwicklung eines detaillierten Plans zur Umsetzung der erforderlichen Maßnahmen.
• Schulungen: Schulung der Mitarbeiter über die neuen Anforderungen und Best Practices.
• Sicherheitsbewusstsein: Förderung eines Sicherheitsbewusstseins auf allen Ebenen des Unternehmens.
• Regelmäßige Audits: Durchführung regelmäßiger Audits und Überprüfungen, um die Einhaltung der Richtlinie sicherzustellen.
• Technologische Unterstützung: Einsatz von spezialisierten Cybersicherheits-Tools und -Lösungen.
  ‍
• Meldeprozesse etablieren: Einrichtung von Prozessen zur Meldung erheblicher Sicherheitsvorfälle an das BSI (Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden).
  ‍
• Business Continuity Management (BCM): Implementierung eines BCM-Systems zur Sicherstellung der Geschäftskontinuität.

Was passiert bei Verstößen gegen das NIS2UmsuCG?

Implementieren Unternehmen nicht die geforderten Sicherheitsmaßnahmen oder versäumen ihre Meldepflichten, sieht das deutsche NIS2-Umsetzungsgesetz erhebliche Geldstrafen vor. Die Höhe der Bußgelder variiert je nach Art der Einrichtung und Schwere des Verstoßes:

• Besonders wichtige Einrichtungen und Betreiber kritischer Anlagen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Unternehmens – je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes des Unternehmens – abhängig davon, welcher Betrag höher ist. 

Die NIS2-Umsetzung in Deutschland betont darüber hinaus die Verantwortung der obersten Führungsebene für die Cybersicherheit. Bei Verstößen können Mitglieder der Geschäftsleitung persönlich haftbar gemacht werden, insbesondere wenn sie ihre Überwachungs- und Umsetzungspflichten vernachlässigen.

Mögliche Verstöße bei NIS2, die erhebliche Strafen mit sich ziehen, sind beispielsweise: Unternehmen sind verpflichtet, angemessene technische und organisatorische Sicherheitsvorkehrungen zum Schutz ihrer IT-Infrastruktur zu implementieren. Ein Versäumnis dieser, stellt einen Verstoß dar, der mit Bußgeldern geahndet werden kann. Ein weiteres Beispiel ist die verspätete oder unterlassene Meldung von Sicherheitsvorfällen. Zudem können unvollständige oder fehlerhafte Mitteilungen an Kunden oder die Öffentlichkeit bei NIS2 ebenfalls unter Strafe gestellt werden.

Fazit: Jetzt handeln und die NIS2-Anforderungen erfüllen

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Deutschland in Kraft und stellt eine wichtige Entwicklung im Bereich der Cybersicherheit dar und hat weitreichende Auswirkungen auf Unternehmen in Deutschland. Da keine Übergangsfristen vorgesehen sind, müssen betroffene Unternehmen sofort handeln: Registrierung beim BSI, Implementierung von Risikomanagementmaßnahmen, Schulung der Geschäftsführung und Etablierung von Meldeprozessen sind ab sofort verpflichtend. Durch die Erfüllung der Vorgaben können Unternehmen nicht nur ihre eigene Sicherheit verbessern, sondern auch zur eigenen Cyberresilienz und der Resilienz des gesamten digitalen Ökosystems beitragen.