Was ist das NIS2UmsuCG? Das Gesetz einfach erklärt

Das NIS2 Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist die deutsche Umsetzung der EU-NIS2-Richtlinie und seit dem 6. Dezember 2025 in Kraft. Es verpflichtet über 29.000 Unternehmen zu Registrierung, Risikomanagement-Maßnahmen und Meldepflichten. NIS2Compass ordnet diese Pflichten in einen strukturierten Umsetzungspfad ein, der Vor-Check zeigt in wenigen Minuten, ob Ihr Unternehmen betroffen ist.

Was ist das NIS2UmsuCG und seit wann gilt es?

Das NIS2UmsuCG ist das deutsche Gesetz, das die EU-NIS2-Richtlinie (EU 2022/2555) in nationales Recht überführt. Der Bundestag verabschiedete es am 13. November 2025. Verkündet am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. I Nr. 301), gilt es seit dem 6. Dezember 2025 ohne Übergangsfristen.

Die eigentliche Umsetzungsfrist der EU-Richtlinie lief bereits am 17. Oktober 2024 ab. Deutschland verabschiedete das NIS2UmsuCG gut 13 Monate später, nachdem mehrere Entwürfe im Gesetzgebungsverfahren des Bundesministeriums des Innern überarbeitet worden waren. Diese Verzögerung betraf jedoch nur die nationale Rechtsetzung: Erst mit dem NIS2UmsuCG entstehen für deutsche Unternehmen unmittelbar bindende, klagbare Pflichten. Die NIS2-Richtlinie selbst bindet als EU-Recht zunächst nur den deutschen Gesetzgeber, nicht einzelne Unternehmen direkt.

Inhaltlich ändert das NIS2UmsuCG vor allem das BSI-Gesetz (BSIG). Es führt die Kategorien besonders wichtige Einrichtungen und wichtige Einrichtungen ein und ordnet ihnen jeweils eigene Pflichtenkataloge zu. Zusätzlich erweitert es den Kreis der betroffenen Sektoren gegenüber dem bisherigen KRITIS-Recht deutlich, von Energie und Gesundheitswesen bis hin zu Abfallwirtschaft und Digitalinfrastruktur. Wer bislang nicht unter das KRITIS-Regime fiel, kann durch diese Erweiterung erstmals in den Anwendungsbereich rücken.

Ohne Übergangsfristen bedeutet: Alle Pflichten aus dem NIS2UmsuCG gelten seit dem 6. Dezember 2025 unmittelbar, nicht gestaffelt nach Unternehmensgröße oder Sektor eingeführt. Wer zum Anwendungsbereich zählt, muss Risikomanagement-Maßnahmen, Meldeprozesse und die Registrierung beim BSI ab diesem Datum umsetzen, unabhängig davon, wie weit die eigene Vorbereitung fortgeschritten ist. NIS2Compass bildet diese Timeline direkt im Guide ab und ordnet jede Pflicht dem passenden Umsetzungsschritt zu.

Einen vollständigen Überblick über Fristen, Anwendungsbereich und Pflichten liefert der Grundlagenartikel NIS2 in Deutschland: Was müssen Unternehmen 2026 wissen?. Er ordnet die einzelnen Pflichten aus dem NIS2UmsuCG chronologisch entlang der hier beschriebenen Timeline ein.

Welche Gesetze ändert das NIS2UmsuCG?

Das NIS2UmsuCG ändert in erster Linie das BSI-Gesetz (BSIG), das die Kernpflichten für Unternehmen enthält. Zusätzlich passt es das Telekommunikationsgesetz (§165 TKG) und das Energiewirtschaftsgesetz (neuer §5c EnWG) an. Weitere Verweisänderungen betreffen unter anderem das BND-Gesetz und das TTDSG.

Die zentrale Änderung erfolgt über Artikel 1 des Umsetzungsgesetzes: das neu gefasste BSIG 2025. Es gliedert sich in neun Teile mit 66 Paragraphen plus zwei Anlagen. Teil 2 (§§3-27) regelt die Aufgaben und Befugnisse des Bundesamts. Teil 3 (§§28-48) enthält die IT-Sicherheitspflichten der betroffenen Einrichtungen, also den fachlichen Kern für die Praxis. Teil 7 (§§59-64) beschreibt die Aufsicht, Teil 8 (§65) die Bußgeldvorschriften.

Im Telekommunikationsgesetz verpflichtet der überarbeitete §165 TKG Anbieter von Telekommunikationsdiensten zu zusätzlichen technischen und organisatorischen Sicherheitsmaßnahmen. Im Energiewirtschaftsgesetz schreibt der neue §5c EnWG Energiebetreibern die Einhaltung branchenspezifischer IT-Sicherheitskataloge vor.

Daneben gibt es kleinere Verweisänderungen, die für die meisten Unternehmen ohne praktische Relevanz sind:

• BND-Gesetz: Anpassung von Zuständigkeiten im Zusammenhang mit der Cybersicherheitsarchitektur des Bundes.
• TTDSG: Redaktionelle Verweisanpassungen an die neue BSIG-Struktur.

Für die tägliche Umsetzungsarbeit ist damit fast ausschließlich das BSIG relevant. Die übrigen Gesetzesänderungen betreffen spezifische Sektoren wie Telekommunikation und Energie oder behördliche Zuständigkeiten, nicht die allgemeinen Pflichten nach §30 BSIG.

Für wen gilt das NIS2UmsuCG?

Das NIS2UmsuCG unterscheidet zwei neue Kategorien: besonders wichtige Einrichtungen (rund 8.250 Unternehmen) und wichtige Einrichtungen (rund 21.600 Unternehmen), zusätzlich zu den bestehenden KRITIS-Betreibern. Insgesamt sind über 29.000 Unternehmen in Deutschland betroffen. Ausschlaggebend sind Sektor, Unternehmensgröße und teils die Tätigkeit unabhängig von der Größe.

Besonders wichtige Einrichtungen: Betroffen sind Unternehmen mit mindestens 250 Mitarbeitenden oder über 50 Mio. EUR Jahresumsatz plus über 43 Mio. EUR Bilanzsumme in den hochkritischen Sektoren nach Anlage 1 zu §28 BSIG. Größenunabhängig zählen zusätzlich qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter und Telekommunikationsanbieter ab mittlerer Größe dazu. Auch alle KRITIS-Betreiber fallen automatisch in diese Kategorie, bilden aber rechtlich eine eigene, separate Gruppe.

Wichtige Einrichtungen: Hier gilt die Schwelle ab 50 Mitarbeitenden oder über 10 Mio. EUR Umsatz plus über 10 Mio. EUR Bilanzsumme, bezogen auf Anlage 1 und Anlage 2. Vertrauensdiensteanbieter und Telekommunikationsanbieter unterliegen der Pflicht unabhängig von ihrer Größe.

Die Sektor-Anlagen entscheiden, ob ein Unternehmen überhaupt in den Anwendungsbereich fällt. Anlage 1 listet hochkritische Sektoren wie Energie, Transport, Finanzwesen, Gesundheitswesen, Wasser, digitale Infrastruktur und Weltraum. Anlage 2 erfasst sonstige kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung und neu hinzugekommen die Sozialversicherung. Die vollständige Sektor-Liste stellt das BSI zu NIS-2-regulierten Unternehmen bereit.

Ob die eigene Organisation tatsächlich betroffen ist, lässt sich im Detail nicht pauschal beantworten. Der Artikel Bin ich von NIS2 betroffen? So prüfen Sie es führt Schritt für Schritt durch die Selbstprüfung. Der NIS2Compass Vor-Check ordnet Ihr Unternehmen in wenigen Minuten der passenden Kategorie zu.

Welche Pflichten legt das NIS2UmsuCG konkret fest?

Das NIS2UmsuCG verpflichtet betroffene Unternehmen zu vier zentralen Maßnahmen: Registrierung beim BSI, Risikomanagement-Maßnahmen in zehn Bereichen, gestufte Meldepflichten bei Sicherheitsvorfällen und persönliche Überwachungspflichten der Geschäftsleitung. Jede dieser Pflichten ist im Gesetz mit einem eigenen Paragraphen verankert. Wer die vier Blöcke einmal versteht, kann die Umsetzung Schritt für Schritt strukturieren.

• Registrierung (§§33-34 BSIG): Unternehmen müssen sich innerhalb von drei Monaten nach ihrer Identifizierung als betroffene Einrichtung beim BSI registrieren. Für Unternehmen, die bereits zum Inkrafttreten am 6. Dezember 2025 bestanden, lief eine gesonderte Registrierungsfrist am 6. März 2026 ab. Beide Fristen gelten unabhängig voneinander. NIS2 BSI-Registrierung: Frist verpasst — was jetzt?
• Risikomanagement-Maßnahmen (§30 BSIG): Das Gesetz schreibt zehn Mindestbereiche vor, darunter Risikoanalyse und ISMS, Vorfallsmanagement, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Multi-Faktor-Authentisierung, Schulungen und Kryptographie. Vertiefende Erläuterungen zu den einzelnen §30-Maßnahmen bietet der NIS2Compass Knowledge Hub.
• Meldepflichten (§32 BSIG): Bei erheblichen Sicherheitsvorfällen gilt eine Erstmeldung binnen 24 Stunden, eine Folgemeldung binnen 72 Stunden und ein Abschlussbericht binnen einem Monat. Zentrale Meldestelle ist das BSI. NIS2-Meldepflichten: Wann, was und an wen melden?
• Geschäftsleitung (§38 BSIG): Die Geschäftsleitung trägt eine persönliche Überwachungspflicht und haftet bei Pflichtverletzung. Die Schulungspflicht ist ausdrücklich nicht delegierbar. §38 BSIG: Die persönliche Haftung der Geschäftsleitung

Ein mittelständischer Maschinenbauer mit 140 Mitarbeitenden wird durch das NIS2UmsuCG erstmals als wichtige Einrichtung eingestuft. Die IT-Leitung hatte bislang kaum Berührungspunkte mit regulatorischer Compliance und steht plötzlich vor allen vier Pflichtenblöcken gleichzeitig. Mit einem strukturierten Leitfaden wie NIS2Compass arbeitet das Unternehmen Registrierung, Risikomanagement-Maßnahmen, Meldeprozesse und die Schulung der Geschäftsleitung innerhalb weniger Monate systematisch ab, statt jeden Bereich isoliert und ohne Priorisierung zu bearbeiten.

„Die vier Pflichtenblöcke wirken auf den ersten Blick abstrakt, in der Praxis lassen sie sich aber sauber nacheinander abarbeiten," so das NIS2Compass Compliance-Team. „Entscheidend ist, mit der Risikoanalyse zu beginnen: Sie liefert die Grundlage für alle weiteren Maßnahmen, von den Meldeprozessen bis zur Schulung der Geschäftsleitung."

Wie unterscheidet sich das NIS2UmsuCG von der EU-NIS2-Richtlinie?

Die EU-NIS2-Richtlinie (2022/2555) gibt den Rahmen vor, das NIS2UmsuCG konkretisiert ihn für Deutschland. Das deutsche Gesetz listet Sektoren und Schwellenwerte in eigenen Anlagen, regelt zusätzlich die Bundesverwaltung und enthält eine Ausnahme für nationale Sicherheit, die die EU-Richtlinie nicht kennt. Für Unternehmen zählt in der Praxis das nationale Gesetz, nicht die Richtlinie selbst.

Die wichtigsten Abweichungen im Überblick:

• Sektordefinition: Die EU-Richtlinie beschreibt betroffene Sektoren eher generisch. Das NIS2UmsuCG konkretisiert sie in eigenen Anlagen zum BSIG (Anlage 1 und Anlage 2), inklusive konkreter Schwellenwerte nach Unternehmensgröße.
• §37 BSIG, Ausnahme für nationale Sicherheit: Der deutsche Gesetzgeber schafft eine Ausnahmeregelung für Bereiche der nationalen Sicherheit und Verteidigung. Eine vergleichbare Klausel sieht die EU-Richtlinie so nicht vor.
• §41 BSIG, Verbotsrecht für kritische Komponenten: Das Bundesministerium des Innern erhält ein eigenständiges Recht, den Einsatz bestimmter kritischer Komponenten zu untersagen. Auch das ist eine rein nationale Ergänzung.
• §29 sowie §§43 bis 48 BSIG, Bundesverwaltung: Das NIS2UmsuCG regelt zusätzlich die Cybersicherheit der Bundesverwaltung, einschließlich eines eigenen Bundes-CISO. Diese Regelungsebene existiert in der EU-Richtlinie nicht.
• Evaluierung: Deutschland führt keine eigene, zusätzliche Evaluierungspflicht ein, sondern verweist auf die turnusmäßige Überprüfung durch die EU-Richtlinie selbst.

Damit enthält das deutsche Gesetz mindestens fünf eigenständige Regelungsbereiche, die über die reine Umsetzung der EU-Richtlinie hinausgehen, von der Verteidigungsausnahme über das Komponentenverbot bis zur Bundesverwaltung.

Entscheidend für die unternehmerische Praxis ist ein rechtlicher Grundsatz: Richtlinien binden nur die EU-Mitgliedstaaten, nicht unmittelbar die Unternehmen. Erst das nationale Umsetzungsgesetz, also das NIS2UmsuCG, entfaltet direkte Wirkung für betroffene Organisationen in Deutschland. NIS2Compass orientiert sich deshalb konsequent am BSIG-Wortlaut, nicht an der EU-Richtlinie als solcher.

Was passiert bei Verstößen gegen das NIS2UmsuCG?

Verstöße gegen das NIS2UmsuCG können bei besonders wichtigen Einrichtungen mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen riskieren bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Schon Registrierungsverstöße können mit bis zu 500.000 Euro bestraft werden.

Die Höhe des Bußgelds richtet sich nach Einrichtungskategorie und Art des Verstoßes:

• Besonders wichtige Einrichtungen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes bei Unternehmen mit mehr als 500 Mio. Euro Umsatz, je nachdem, was höher ist. Betroffen sind unter anderem nicht umgesetzte §30-Maßnahmen, verletzte Meldepflichten oder unterlassene Kundenmitteilungen.
• Wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes, analog zu den Tatbeständen der besonders wichtigen Einrichtungen.
• KRITIS-Betreiber: 1 bis 2 Mio. Euro bei fehlenden oder unvollständigen Nachweisen.
• Registrierungsverstöße und weitere Ordnungswidrigkeiten: 100.000 bis 500.000 Euro, etwa bei verweigerter Auskunft oder Missachtung von BSI-Anordnungen.

Die genaue Rechtsgrundlage findet sich in §65 BSIG. Eine ausführliche Einordnung aller Bußgeldtatbestände, Zuständigkeiten und Beispielrechnungen liefert der Vertiefungsartikel NIS2-Bußgelder: Welche Strafen drohen bei Verstößen?.

Der NIS2Compass Guide führt Schritt für Schritt durch die Umsetzung der §30-Maßnahmen und reduziert damit das Risiko eines Bußgeldverfahrens.

Häufig gestellte Fragen

Ist das NIS2UmsuCG dasselbe wie die NIS2-Richtlinie?

Nein. Die NIS2-Richtlinie ist EU-Recht und bindet zunächst nur die Mitgliedstaaten. Das NIS2UmsuCG ist das deutsche Gesetz, das diese Richtlinie in nationales Recht umsetzt, und verpflichtet Unternehmen direkt. Es ist seit Dezember 2025 in Kraft.

Für wen gilt das NIS2UmsuCG?

Das NIS2UmsuCG gilt für „besonders wichtige" und „wichtige Einrichtungen" in den gesetzlich gelisteten Sektoren, insgesamt über 29.000 Unternehmen in Deutschland. Der NIS2Compass Vor-Check prüft die eigene Betroffenheit in wenigen Minuten.

Muss ich mich nach dem NIS2UmsuCG registrieren?

Ja, betroffene Unternehmen müssen sich innerhalb von drei Monaten nach Identifizierung beim BSI registrieren. Für die zum Inkrafttreten bereits bestehenden Unternehmen lief diese Frist am 6. März 2026 ab, für später neu hinzukommende Unternehmen gilt weiterhin die allgemeine 3-Monats-Regel.

Was passiert, wenn mein Unternehmen das NIS2UmsuCG nicht einhält?

Es drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen. Zusätzlich kann das BSI Anordnungen erlassen und in schweren Fällen die Geschäftsleitung persönlich zur Verantwortung ziehen.

Gibt es eine Übergangsfrist im NIS2UmsuCG?

Nein, das Gesetz gilt seit dem 6. Dezember 2025 ohne Übergangsfristen für die Kernpflichten. Nur für Registrierung und bestimmte KRITIS-Nachweise sind eigene, gestaffelte Fristen vorgesehen.