{
    "slug": "nis2-umsucg-kritis",
    "titre": "NIS-2-Umsetzungsgesetz – Cybersecurity-Pflichten für KRITIS und besonders wichtige Einrichtungen",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Die NIS-2-Richtlinie (EU) 2022/2555 ist in Deutschland umgesetzt. Das NIS-2-Umsetzungsgesetz (amtlich: „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur…",
    "resume_court": "Die **NIS-2-Richtlinie (EU) 2022/2555** ist in Deutschland umgesetzt. Das **NIS-2-Umsetzungsgesetz** (amtlich: „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung\u0022, verbreitete Kurzform: NIS2UmsuCG) wurde am **05.12.2025 verkündet** (**BGBl. 2025 I Nr. 301**, ausgefertigt am 02.12.2025) und ist **seit dem 06.12.2025 in Kraft**. Es setzt die Richtlinie vor allem durch eine vollständige Novellierung des **BSI-Gesetzes (BSIG)** um. Betroffen sind nach BSI-Angaben **rund 29.500 Einrichtungen** (zuvor rund 4.500 nach altem BSIG), eingeteilt in „**besonders wichtige**\u0022 und „**wichtige**\u0022 Einrichtungen. Kernpflichten: **Registrierung beim BSI binnen drei Monaten** (§ 33 BSIG), **Risikomanagementmaßnahmen** (§ 30 BSIG) und die **Meldung erheblicher Sicherheitsvorfälle** mit **Erstmeldung binnen 24 Stunden** (§ 32 BSIG). Betreiber kritischer Anlagen (KRITIS) gelten automatisch als besonders wichtige Einrichtungen. Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, haftet dafür gegenüber der Einrichtung und muss **regelmäßig an Schulungen teilnehmen** (§ 38 BSIG).",
    "faits": [
        {
            "point": "EU-Rechtsgrundlage",
            "valeur": "Richtlinie (EU) 2022/2555 (NIS-2) [eur-lex.europa.eu, CELEX:32022L2555]",
            "autorite": "A"
        },
        {
            "point": "Deutsche Umsetzung",
            "valeur": "NIS-2-Umsetzungsgesetz, verkündet 05.12.2025, ausgefertigt 02.12.2025 [BGBl. 2025 I Nr. 301]",
            "autorite": "A"
        },
        {
            "point": "In Kraft seit",
            "valeur": "06.12.2025 [BSI-Pressemitteilung vom 05.12.2025]",
            "autorite": "A"
        },
        {
            "point": "Umgesetzt im",
            "valeur": "neu gefasstes BSI-Gesetz (BSIG) vom 02.12.2025",
            "autorite": "A"
        },
        {
            "point": "EU-Umsetzungsfrist",
            "valeur": "17. Oktober 2024 (von Deutschland überschritten) [Art. 41 NIS-2-RL]",
            "autorite": "A"
        },
        {
            "point": "Anzahl betroffene Einrichtungen DE",
            "valeur": "rund 29.500 (zuvor rund 4.500 nach altem BSIG) [BSI]",
            "autorite": "A"
        },
        {
            "point": "Schwelle „besonders wichtig\u0022",
            "valeur": "≥ 250 Mitarbeitende oder Jahresumsatz \u003E 50 Mio. € und Jahresbilanzsumme \u003E 43 Mio. €, in einer Einrichtungsart der Anlage 1 [§ 28 Abs. 1 Satz 1 Nr. 4 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Schwelle „wichtig\u0022",
            "valeur": "≥ 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils \u003E 10 Mio. €, in einer Einrichtungsart der Anlagen 1 oder 2 [§ 28 Abs. 2 Satz 1 Nr. 3 BSIG]",
            "autorite": "A"
        },
        {
            "point": "KRITIS-Betreiber",
            "valeur": "Betreiber kritischer Anlagen gelten ohne Schwellenwert als besonders wichtige Einrichtungen [§ 28 Abs. 1 Satz 1 Nr. 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Ohne Schwellenwert erfasst",
            "valeur": "qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter [§ 28 Abs. 1 Satz 1 Nr. 2 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Sektoren",
            "valeur": "18 insgesamt: 11 Sektoren hoher Kritikalität (Anlage 1) und 7 sonstige kritische Sektoren (Anlage 2) [Anlagen 1 und 2 BSIG; Anhänge I und II NIS-2-RL]",
            "autorite": "A"
        },
        {
            "point": "Sektoren mit hoher Kritikalität",
            "valeur": "Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum",
            "autorite": "A"
        },
        {
            "point": "Sonstige kritische Sektoren",
            "valeur": "Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung",
            "autorite": "A"
        },
        {
            "point": "Registrierungspflicht",
            "valeur": "binnen drei Monaten, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige bzw. wichtige Einrichtung gilt [§ 33 Abs. 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Frist für Bestandsfälle",
            "valeur": "Für am 06.12.2025 bereits betroffene Einrichtungen lief die Drei-Monats-Frist am 06.03.2026 ab",
            "autorite": "A"
        },
        {
            "point": "Registrierungsweg",
            "valeur": "zweistufig: erst „Mein Unternehmenskonto\u0022 (MUK), dann BSI-Portal [BSI]",
            "autorite": "A"
        },
        {
            "point": "BSI-Portal freigeschaltet",
            "valeur": "06.01.2026 [BSI]",
            "autorite": "A"
        },
        {
            "point": "Änderungsmeldung",
            "valeur": "Änderungen der Registrierungsangaben unverzüglich, spätestens binnen zwei Wochen [§ 33 Abs. 5 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Meldepflicht Frühwarnung",
            "valeur": "unverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung [§ 32 Abs. 1 Satz 1 Nr. 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Meldepflicht Bewertungsmeldung",
            "valeur": "unverzüglich, spätestens binnen 72 Stunden [§ 32 Abs. 1 Satz 1 Nr. 2 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Meldepflicht Abschlussmeldung",
            "valeur": "spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall an, zunächst Fortschrittsmeldung [§ 32 Abs. 1 Satz 1 Nr. 4, Abs. 2 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Risikomanagement-Pflichten",
            "valeur": "10 Mindestmaßnahmen: Risikoanalyse, Incident-Handling, Business-Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Schulungen, Kryptografie, MFA, Zugriffskontrolle, Asset-Management – mit Dokumentationspflicht [§ 30 BSIG, Art. 21 NIS-2-RL]",
            "autorite": "A"
        },
        {
            "point": "Übergangsfrist für § 30 BSIG",
            "valeur": "keine – die Risikomanagementmaßnahmen gelten seit Inkrafttreten",
            "autorite": "A"
        },
        {
            "point": "Bußgeld besonders wichtige Einrichtung",
            "valeur": "bis 10 Mio. € (u. a. Risikomanagement, Dokumentation, Melde- und Unterrichtungspflichten) [§ 65 Abs. 5 Satz 1 Nr. 1 lit. a BSIG]",
            "autorite": "A"
        },
        {
            "point": "Bußgeld wichtige Einrichtung",
            "valeur": "bis 7 Mio. € in denselben Fällen [§ 65 Abs. 5 Satz 1 Nr. 1 lit. b BSIG]",
            "autorite": "A"
        },
        {
            "point": "Umsatzbezogener Rahmen",
            "valeur": "Nur bei Gesamtumsatz über 500 Mio. €: abweichend bis 2 % (besonders wichtig) bzw. 1,4 % (wichtig) des weltweiten Gesamtumsatzes des Vorjahres [§ 65 Abs. 6 bis 8 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Bußgeld Registrierungsverstoß",
            "valeur": "bis 500.000 € [§ 65 Abs. 2 Nr. 6 i. V. m. Abs. 5 Satz 1 Nr. 5 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Pflichten der Geschäftsleitung",
            "valeur": "Umsetzung und Überwachung der Risikomanagementmaßnahmen [§ 38 Abs. 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Haftung Geschäftsleitung",
            "valeur": "Haftung gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts [§ 38 Abs. 2 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Schulungspflicht Leitung",
            "valeur": "Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen [§ 38 Abs. 3 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Aufsichtsbehörde DE",
            "valeur": "Bundesamt für Sicherheit in der Informationstechnik (BSI) [§ 59 BSIG]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. 2025 I Nr. 301 (Verkündung 05.12.2025, Ausfertigung 02.12.2025)",
            "url": "https://www.recht.bund.de/bgbl/1/2025/301/VO.html",
            "autorite": "A"
        },
        {
            "titre": "BSI – Pressemitteilung „Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft\u0022 vom 05.12.2025 (Inkrafttreten 06.12.2025, rund 29.500 Einrichtungen, zuvor rund 4.500, zweistufige Registrierung, BSI-Portal ab 06.01.2026, KRITIS automatisch besonders wichtig)",
            "url": "https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html",
            "autorite": "A"
        },
        {
            "titre": "§ 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen (Volltext, Fassung vom 02.12.2025)",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/__28.html",
            "autorite": "A"
        },
        {
            "titre": "§ 32 BSIG – Meldepflichten (24 Stunden / 72 Stunden / ein Monat)",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/__32.html",
            "autorite": "A"
        },
        {
            "titre": "§ 33 BSIG – Registrierungspflicht (drei Monate)",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/__33.html",
            "autorite": "A"
        },
        {
            "titre": "§ 65 BSIG – Bußgeldvorschriften (10 Mio. € / 7 Mio. € / 500.000 €; 2 % bzw. 1,4 % erst ab 500 Mio. € Gesamtumsatz)",
            "url": "https://www.gesetze-im-internet.de/bsig_2025/__65.html",
            "autorite": "A"
        },
        {
            "titre": "Richtlinie (EU) 2022/2555 (NIS-2 Volltext)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555",
            "autorite": "A"
        },
        {
            "titre": "BSI – NIS-2-regulierte Unternehmen",
            "url": "https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html",
            "autorite": "A"
        },
        {
            "titre": "BSI – NIS-2-Betroffenheitsprüfung",
            "url": "https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html",
            "autorite": "A"
        },
        {
            "titre": "BMI – Gesetzgebungsverfahren NIS2UmsuCG",
            "url": "https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/CI1/nis2umsucg.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt NIS-2-Umsetzungsgesetz – Cybersecurity-Pflichten für KRITIS und besonders wichtige Einrichtungen?",
            "reponse": "Die NIS-2-Richtlinie (EU) 2022/2555 ist in Deutschland umgesetzt. Das NIS-2-Umsetzungsgesetz (amtlich: „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung\u0022, verbreitete Kurzform: NIS2UmsuCG) wurde am 05.12.2025 verkündet (BGBl. 2025 I Nr. 301, ausgefertigt am 02.12.2025) und ist seit dem 06.12.2025 in Kraft."
        },
        {
            "question": "Für wen gilt NIS-2-Umsetzungsgesetz?",
            "reponse": "Das Gesetz erfasst alle Einrichtungen – unabhängig von der Rechtsform – mit Geschäftstätigkeit in Deutschland in den erfassten Sektoren, sofern die Schwellenwerte zu Mitarbeiterzahl, Umsatz und Bilanzsumme überschritten sind. Für die Bestimmung von Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme gilt die KMU-Empfehlung der Kommission (2003/361/EG) – ausgenommen Artikel 3 Absatz 4 des Anhangs (§ 28 Abs. 4 BSIG)."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei NIS-2-Umsetzungsgesetz?",
            "reponse": "„Das Gesetz kommt erst noch.\u0022 Überholt – das NIS-2-Umsetzungsgesetz ist seit dem 06.12.2025 in Kraft. Die Pflichten gelten. „Wir hatten NIS-1, sind also schon dabei.\u0022 NIS-2 erweitert den Anwendungsbereich etwa um den Faktor 6-7 (von rund 4.500 auf rund 29.500 Einrichtungen). „Wir warten auf das BSI.\u0022 Falsch – Selbst-Identifikation und Registrierung sind Pflicht des Unternehmens."
        }
    ],
    "wikidata": [
        "Q124979037",
        "Q3429089"
    ],
    "valid_from": "2025-12-06",
    "valid_to": null,
    "derniere_revision": "2026-09-09",
    "derniere_verification": "2026-09-09",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/nis2-umsucg-kritis"
}