NIS-2-Um­­­se­t­­zung: Mehr Ver­ant­wor­tung für Un­ter­neh­men im Bereich Cybersicherheit

Am 30. Juli 2025 hat die Bun­des­re­gie­rung den Ge­setz­ent­wurf zur Um­set­zung der EU-NIS-2-Rich­t­­li­­nie be­schlos­sen. Ziel ist es, das deut­sche IT-Si­cher­heits­­­recht grund­le­gend zu mo­der­ni­sie­ren und besser an die wach­sen­de Be­dro­hungs­la­ge im Cy­ber­raum an­zu­pas­sen. Eine zen­tra­le Rolle über­nimmt dabei das Bun­des­amt für Si­cher­heit in der In­for­ma­ti­ons­tech­nik (BSI).

Der Entwurf sieht ins­be­son­de­re eine um­fas­sen­de Novelle des BSI-Ge­­se­t­­zes (BSIG) vor. Der Kreis der be­trof­fe­nen Or­ga­ni­sa­tio­nen wird dabei er­heb­lich aus­ge­wei­tet: Statt bislang rund 4.500 Ein­rich­tun­gen sollen künftig etwa 29.500 Un­ter­neh­men unter die Auf­sicht des BSI fallen – dar­un­ter viele aus den Sek­to­ren Energie, Ge­sund­heit, Trans­port, di­gi­ta­le Dienste und weitere.

Diese Ein­rich­tun­gen müssen sich re­gis­trie­ren, er­heb­li­che IT-Si­cher­heits­­­vor­­­fäl­­le melden und ein struk­tu­rier­tes Ri­si­ko­ma­nage­ment um­set­zen – ein­schließ­lich tech­ni­scher und or­ga­ni­sa­to­ri­scher Schutz­maß­nah­men. Neu ist auch: Die Ver­ant­wor­tung für Cy­ber­si­cher­heit liegt aus­drück­lich auf Lei­tungs­ebe­ne. Ge­schäfts­füh­run­gen sind künftig ver­pflich­tet, die Ein­hal­tung der Vor­ga­ben aktiv zu steuern, zu kon­trol­lie­ren und sich re­gel­mä­ßig zu Cy­ber­ri­si­ken fortzubilden.

Auch Ein­rich­tun­gen der Bun­des­ver­wal­tung werden künftig ver­bind­lich zur Um­set­zung von Min­dest­stan­dards der In­for­ma­ti­ons­si­cher­heit ver­pflich­tet – ori­en­tiert an den IT-Grun­d­­schutz-Ka­­ta­­lo­­gen des BSI.

Hand­lungs­emp­feh­lun­gen für be­trof­fe­ne Unternehmen

Was sollten Un­ter­neh­men jetzt tun?

1. Be­trof­fen­heit prüfen
Nutzen Sie das BSI‑On­­li­ne-Tool oder den FitNIS2‑Navigator, um zu prüfen, ob Ihr Un­ter­neh­men / Ihre Or­ga­ni­sa­ti­on als we­sent­li­che oder wich­ti­ge Ein­rich­tung gilt. Die Ein­stu­fung erfolgt bei­spiels­wei­se nach Mit­ar­bei­ter­zahl (> 50 oder > 250) und Um­satz­gren­zen je Sektor.

2. Re­gis­trie­rung beim BSI
Sollten Sie be­trof­fen sein, müssen Sie sich in­ner­halb von drei Monaten nach Fest­stel­lung beim BSI als be­trof­fe­nes Un­ter­neh­men  anmelden.

3. Ri­si­ko­ma­nage­ment und tech­ni­sche Maß­nah­men etablieren
Richten Sie ein In­­­for­­ma­­ti­ons­­si­cher­heits-Ma­­na­ge­­men­t­­sys­­tem (ISMS) ein und im­ple­men­tie­ren Sie Maß­nah­men wie: Ri­si­ko­ana­ly­sen, Not­fall­ma­nage­ment, Multi-Faktor-Au­­then­­ti­­fi­­zie­rung, Ver­schlüs­se­lung, Lie­fer­ket­ten­si­cher­heit, sichere Kommunikation.

4. Mel­de­pro­zes­se einführen
Schwere IT-Si­cher­heits­­­vor­­­fäl­­le sind an das BSI binnen 24 Stunden nach be­kann­ter Kennt­nis zu melden.

5. Ge­schäfts­füh­rung einbinden
Ver­ant­wort­li­che Per­so­nen müssen die Um­set­zung aktiv steuern, über­wa­chen und sich zu Cy­ber­ri­si­ken schulen lassen.

6. Un­ter­stüt­zung nutzen & pra­xis­na­he Einstiegshilfen
In­for­mie­ren Sie sich über kos­ten­lo­se BSI-We­b­i­na­­re und Leit­fä­den. Der BSI bietet zudem Online-Tools zur Selbst­ein­schät­zung und Check­lis­ten zur Betroffenheitsanalyse.

Warum jetzt handeln?

Der Druck aus Brüssel ist hoch, da ein Ver­trags­ver­let­zungs­ver­fah­ren bereits läuft. Der Zeit­plan ist daher eng getaktet:

• 30. Juli 2025: Ver­ab­schie­dung des Ent­wurfs durch das Bundeskabinett.
• 15. August 2025: Zu­lei­tung an den Bundesrat.
• Herbst 2025: Erste Lesung im Bundestag.
• Vor Jah­res­en­de 2025: Ge­plan­ter Gesetzesbeschluss.

Die neuen Vor­ga­ben gelten ab In­kraft­tre­ten (vor­aus­sicht­lich) Ende 2025 oder Anfang 2026. Es wird keine Über­gangs­frist geben, d.h. die be­trof­fe­nen Un­ter­neh­men und Or­ga­ni­sa­tio­nen müssen die An­for­de­run­gen un­mit­tel­bar um­set­zen. Un­zu­rei­chen­de Um­set­zung kann Sank­tio­nen wie Buß­gel­der von bis zu 10 Mio. € oder 2 % des welt­wei­ten Jah­res­um­sat­zes nach sich ziehen – auch für die Ge­schäfts­füh­rung persönlich.

Zur Vor­be­rei­tung stellt das BSI bereits jetzt In­for­ma­ti­ons­ma­te­ri­al sowie ein Online-Tool zur Selbst­ein­schät­zung bereit. Mit diesem können Un­ter­neh­men prüfen, ob sie be­trof­fen sind und welche Maß­nah­men er­for­der­lich werden. Weitere Informationen: