In KraftNIS2

NIS2 in Deutschland

Das deutsche NIS2UmsuCG (Neufassung des BSI-Gesetzes) trat am 6. Dezember 2025 ohne Übergangsfrist in Kraft. Rund 29.500 Einrichtungen sind betroffen; das BSI erwartet die Registrierung bis zum 31. Juli 2026.

Umsetzungsgesetz

NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), Neufassung des BSIG

In Kraft seit

6. Dezember 2025

Zuständige Behörde

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Max. Bußgeld (Wesentliche)

€10 Mio. oder 2 % des weltweiten Jahresumsatzes

Max. Bußgeld (Wichtige)

€7 Mio. oder 1,4 % des weltweiten Jahresumsatzes

Gesetz verabschiedet

6. Dezember 2025

Wichtige Fristen

NIS2UmsuCG in Kraft (ohne Übergangsfrist)

6. Dezember 2025

BSI-Registrierungsportal öffnet

6. Januar 2026

Ursprüngliche Registrierungsfrist

6. März 2026

BSI erwartet abgeschlossene Registrierung

31. Juli 2026

Zuständige Behörde

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Primäre NIS2-Aufsichtsbehörde für die meisten Sektoren

https://www.bsi.bund.de ↗

Das BSI führt proaktive Prüfungen für Wesentliche Einrichtungen und reaktive Aufsicht für Wichtige Einrichtungen durch. Einrichtungen müssen sich über das BSI-Portal selbst registrieren.

Registrierungsprozess

Registrierung über die BSI-Meldeplattform unter meldeplattform.bsi.bund.de. Benötigt werden Handelsregisternummer, Sektoreinstufung und ein benannter Sicherheitskontakt.

📊 Quick Test

Find out if your company is in scope

Does your organisation fall under Annex I (Essential) or Annex II (Important) entities?

Check NIS2 Scope →

Wesentliche Anforderungen

1Selbstregistrierung beim BSI — die ursprüngliche Frist vom 6. März 2026 ist verstrichen; das BSI erwartet die Registrierung bis zum 31. Juli 2026
2ISMS basierend auf ISO 27001 oder BSI IT-Grundschutz empfohlen
324-Stunden-Frühwarnung an das BSI bei erheblichen Vorfällen
472-Stunden-Vollmeldung mit Folgenabschätzung
5Abschlussbericht innerhalb eines Monats
6Persönliche Haftung der Geschäftsleitung für Compliance
7Pflichtmäßige Lieferanten- und Lieferketten-Risikobewertungen
8Multi-Faktor-Authentifizierung für den Fernzugriff erforderlich

Nationale Besonderheiten

★Das KRITIS-Dachgesetz führt neben NIS2-Cybersicherheitspflichten physische Resilienzanforderungen für KRITIS-Betreiber ein

★Deutschland hat den NIS2-Anwendungsbereich auf bestimmte mittelgroße Energie- und Wasserversorger unterhalb der EU-Schwellenwerte ausgeweitet

★Bundesbehörden sind in der deutschen NIS2-Umsetzung eingeschlossen

Häufige Fragen zu NIS2 in Deutschland

Ist ISO 27001 in Deutschland Pflicht?

ISO 27001 ist nicht gesetzlich vorgeschrieben, wird aber vom BSI als Nachweismöglichkeit für die Erfüllung der Artikel-21-Sicherheitsmaßnahmen dringend empfohlen. BSI IT-Grundschutz ist eine gleichwertige Alternative.

Wer muss sich beim BSI registrieren?

Alle Wesentlichen und Wichtigen Einrichtungen gemäß NIS2UmsuCG müssen sich selbst registrieren. Dies umfasst Betreiber in den Bereichen Energie, Verkehr, Wasser, digitale Infrastruktur, Gesundheit, Banken und Finanzmärkte.

Sind kleinere deutsche Unternehmen betroffen?

Es gelten die Standardschwellenwerte (250+ Mitarbeiter oder 50 Mio. € Umsatz für Wesentliche Einrichtungen; 50+ Mitarbeiter oder 10 Mio. € für Wichtige Einrichtungen). Deutschland hat den Bereich für einige Energie- und Wassersektoren ausgeweitet.

Bereit für die NIS2-Compliance?

Nutzen Sie unsere kostenlosen Tools, um Ihren NIS2-Status zu prüfen und eine Lückenanalyse durchzuführen.

🎯 Anwendungsbereichsprüfung 📊 Lückenanalyse

Stand und Quellen

Die Rechtsangaben auf dieser Seite wurden zuletzt am 25. Juli 2026 geprüft.