Keine Übergangsfrist mehr: NIS2 gilt Update: NIS2 tritt in Kraft

Anbieter zum Thema

G DATA CyberDefense AG

bb-net media GmbH

AfB gemeinnützige GmbH

Die NIS2-Richtlinie wurde im Bundesgesetzblatt verkündet und trat am 6.12.2025 in Kraft. Damit einher gehen nun strengere Meldepflichten und verschärfte IT-Sicherheitsmaßnahmen für Unternehmen.

Über ein Jahr nach Ablauf der NIS2-Umsetzungsfrist der EU hat der Deutsche Bundestag am 13. November 2025 endlich das NIS2-Umsetzungsgesetz verabschiedet. Nach einer halb­stün­digen Debatte hat der Bundestag den Gesetzentwurf der Bundesregierung „zur Umsetzung der NIS2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informations­sicher­heits­manage­ments in der Bundesverwaltung“ angenommen. Am 5. Dezember 2025 wurde die NIS2-Richtlinie zudem im Bundesgesetzblatt verkündet. Damit – und mit der erfolgten Un­ter­zeichnung durch Bundespräsident Frank-Walter Steinmeier – trat NIS2 am 6. Dezember 2025 endlich final in Kraft.

Zuvor hatte der Innenausschuss einige Anpassungen vornehmen müssen. Denn der jüngste Vorschlag zu NIS2 erhielt allerlei Kritik von den Sachverständigen, Wirtschaftsverbänden und aus der Opposition. Auch, weil die Vor­gaben ursprünglich nicht für Behörden der Bundes­ver­wal­tung gelten sollten. Marc Hen­rich­mann (CDU), begrüßte es der Deutschen Presse-Agentur (DPA) zufolge, dass dies nach par­la­men­tarischen Beratungen geändert wurde. Denn es wäre ein ganz falsches Signal gewesen, „der Wirtschaft zu sagen, ‚Ihr müsst nachschärfen!‘, aber der eigenen Bundesverwaltung zu sagen ‚Ihr nicht, weil es kompliziert und teuer ist.‘“

NIS2 ist gesetzt!

Laut Bundesregierung hat die Europäische Kommission das Risiko für die Sicherheit kritischer Infrastruktur vor physischen und Cyberangriffen als eines von vier Hauptrisiken für die eu­ro­päische Volkswirtschaft identifiziert. Die NIS2-Richtlinie hat demnach das Ziel, die EU-Staaten resilienter gegen Cyberangriffe zu machen. Schätzungsweise 29.850 deutsche Unternehmen aus den Bereichen Energie, Gesundheit, Transport und digitale Dienste werden davon betroffen sein. Sie müssen bestimmte Sicherheitsmaßnahmen einführen, wie Risikoanalysen, Not­fall­pläne, Backup-Konzepte und Verschlüsselungslösungen. Dabei unterscheiden sich die kon­kre­ten Vorgaben je nach Bedeutung der jeweiligen Einrichtung. Das NIS2-Um­setz­ungs­gesetz umfasst die Novellierung des BSI-Gesetzes, welches lediglich 4.500 Organisationen umfasste. Deutschland befinde sich hinsichtlich der täglich stattfindenden hybriden Kriegsführung unter einem ständigen Stresstest, so Alexander Dobrindt (CSU), Bundesminister des Innern, der bei der Debatte im Bundestag am 13. November 2025 für die Bundesregierung sprach. „Ein Stress­test, ob wir diesen Be­drohun­gen als Staat, als Wirtschaft, als Gesellschaft standhalten können. Wir nehmen diesen Stresstest an und geben eine klare Antwort: Wir schaffen Sicherheit durch Stabilität und Stärke. Und NIS2 erfüllt genau das.“

Unterstützung durch das BSI

Mit NIS2 gilt ein dreistufiges Melderegime. Wird ein Unternehmen Opfer eines Cyberangriffs, muss es dies innerhalb von 24 Stunden nach Entdeckung des Vorfalls an das Bundesamt für Sicherheit in der Informationstechnik (BSI) melden. Nach 72 Stunden muss das Unternehmen einen Zwischenstand und innerhalb eines Monats einen Abschlussbericht vorlegen, ebenfalls an das BSI, welches mehr Aufsichtsbefugnisse bekommen soll. In der Bundesverwaltung wird darüber hinaus ein zentraler Koordinator für Informationssicherheit (CISO Bund) eingerichtet, der die Ressorts bei der Umsetzung der Vorgaben zum Informationssicherheitsmanagement unterstützt.

BSI-Präsidentin Claudia Plattner kommentiert: „Mit diesem Gesetz hat Deutschland einen wich­tigen Meilenstein auf dem Weg zu einer resilienten Cybernation erreicht, denn wir schüt­zen damit einen entscheidenden Teil unserer digitalen Angriffsfläche viel besser als bisher. Es ist von großem Nutzen, dass Mandat, Expertise und Ressourcen für die operative Umsetzung von Cybersicherheit innerhalb der Bundesverwaltung nun an einer Stelle gebündelt und stringent eingesetzt werden können. Diese Aufgabe nehmen wir gerne an, wir sind uns ihrer Größe aber auch mehr als bewusst. Daher werden wir in kollegialer Zusammenarbeit mit den Regierungs­ressorts die dringend benötigte Resilienz der Bundesverwaltung signifikant stärken, Di­gi­ta­li­sierungsprojekte des Bundes konstruktiv begleiten und dabei nicht nur die nötige Fach­kom­pe­tenz, sondern auch Neutralität, Aufwandseffizienz und Kontinuität sicherstellen. Für die von der NIS2-Regulierung erfassten Unternehmen tun wir bereits jetzt sehr viel mit vielseitigen Beratungs- und Unterstützungsangeboten. Diese werden wir mit Inkrafttreten des Gesetzes erneut ausweiten.“

Das BSI stellt betroffenen Unternehmen ein Starterpaket bereit, in dem es ihnen klare In­formationen an die Hand gibt, um die Verpflichtungen aus NIS2 umzusetzen. Zudem will das Bundesamt mit Inkrafttreten der Richtlinie virtuelle Kick-off-Seminare anbieten, in denen Unternehmen Schritt-für-Schritt-Anleitungen für die Betroffenheitsprüfung sowie Regis­trier­ungs- und Meldeprozesse erhalten.

Empfehlungen und Meldepflichten

BSI veröffentlicht NIS-2-Infopakete

Die Grünen fordern Kritis-Dachgesetz

Für die am 13. November verabschiedete Version von NIS2 hatten CDU/CSU, AfD und SPD ge­stimmt, dagegen war Bündnis 90/Die Grünen. Die Linke enthielt sich. Beraten wurde in dieser Sitzung des Bundestages erstmals über einen Antrag der Fraktion Bündnis 90/Die Grünen mit dem Titel „Deutschland resilient machen – Für einen ganzheitlichen Schutz unserer kritischen Infra­struk­tur“. Dieser wurde zur weiteren Beratung an die Ausschüsse übergeben. Darin fordert die Fraktion die Bundesregierung auf, den Entwurf für ein Kritis-Dachgesetz vorzulegen, das „einen effektiven und einheitlichen Kritis-Schutz schafft, der die EU-Vorgaben für die physische und digitale Sicherheit vereinheitlicht, Betreiber kritischer Anlagen künftig nur noch durch das Dachgesetz und die dazugehörige Rechtsverordnung bestimmt und Deutschland insbesondere durch das Schaffen von einheitlichen Mindeststandards, Risikoanalysen und ein Störungs­monitoring insgesamt widerstandsfähiger gegen Krisen und Angriffe macht“.

Die Forderung beinhalte auch die Frage nach einer einheitlichen Meldestelle für die Betreiber kritischer Anlagen. Zudem solle dem Antrag zufolge das nationale IT-Sicherheitsrecht sys­te­ma­tisiert werden und einheitliche IT-Sicherheitsstandards für Bund und Länder gelten. Auch soll­ten die öffentliche Verwaltung in den Schutzbereich aufgenommen und Bereichs­aus­nah­men für die Bundesverwaltung gestrichen werden. Des Weiteren plädierte die Fraktion dafür, mit dem Gesetzentwurf unter anderem die Unabhängigkeit des BSI zu stärken und den Bun­des­tag „in den Definitionsrahmen einer Kritischen Infrastruktur“ aufzunehmen. Außerdem sollten „die zahlreichen kleinen und mittleren Unternehmen, die durch die Absenkung von Schwellen­wer­ten neu unter den Kritis-Schutz fallen und die gesetzgeberischen Vorgaben umzusetzen haben, bestmöglich beraten werden“. Die Bundesregierung wurde dabei zugleich aufgefordert, ein „One-Stop-Shop“-Verfahren zu implementieren, bei dem sich der Betreiber nur an eine Aufsichtsbehörde wenden muss.

Abwehrfähigkeit und Resilienz stärken

Gesetzentwurf zum KRITIS-Dachgesetz ist beschlossen

(ID:50650945)