---
title: "NIS-2-Umsetzungsgesetz – Cybersecurity-Pflichten für KRITIS und besonders wichtige Einrichtungen"
slug: "nis2-umsucg-kritis"
domaine: "datenschutz"
valid_from: "2025-12-06"
valid_to: null
last_reviewed: "2026-09-09"
statut: "In Kraft"
authority_level: "A"
legal_status: "in_force"
license: CC-BY-4.0
url: https://nexvyra.de/fakten/nis2-umsucg-kritis.md
wikidata_subjects: []
factcheck_status: "ok"
---

# NIS-2-Umsetzungsgesetz – Cybersecurity-Pflichten für KRITIS und besonders wichtige Einrichtungen

## Kurzantwort

Die **NIS-2-Richtlinie (EU) 2022/2555** ist in Deutschland umgesetzt. Das **NIS-2-Umsetzungsgesetz** (amtlich: „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung", verbreitete Kurzform: NIS2UmsuCG) wurde am **05.12.2025 verkündet** (**BGBl. 2025 I Nr. 301**, ausgefertigt am 02.12.2025) und ist **seit dem 06.12.2025 in Kraft**. Es setzt die Richtlinie vor allem durch eine vollständige Novellierung des **BSI-Gesetzes (BSIG)** um. Betroffen sind nach BSI-Angaben **rund 29.500 Einrichtungen** (zuvor rund 4.500 nach altem BSIG), eingeteilt in „**besonders wichtige**" und „**wichtige**" Einrichtungen. Kernpflichten: **Registrierung beim BSI binnen drei Monaten** (§ 33 BSIG), **Risikomanagementmaßnahmen** (§ 30 BSIG) und die **Meldung erheblicher Sicherheitsvorfälle** mit **Erstmeldung binnen 24 Stunden** (§ 32 BSIG). Betreiber kritischer Anlagen (KRITIS) gelten automatisch als besonders wichtige Einrichtungen. Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, haftet dafür gegenüber der Einrichtung und muss **regelmäßig an Schulungen teilnehmen** (§ 38 BSIG).

## Kernfakten

| Punkt | Wert |
|---|---|
| EU-Rechtsgrundlage | Richtlinie (EU) 2022/2555 (NIS-2) [eur-lex.europa.eu, CELEX:32022L2555] |
| Deutsche Umsetzung | NIS-2-Umsetzungsgesetz, verkündet 05.12.2025, ausgefertigt 02.12.2025 [BGBl. 2025 I Nr. 301] |
| In Kraft seit | 06.12.2025 [BSI-Pressemitteilung vom 05.12.2025] |
| Umgesetzt im | neu gefasstes BSI-Gesetz (BSIG) vom 02.12.2025 |
| EU-Umsetzungsfrist | 17. Oktober 2024 (von Deutschland überschritten) [Art. 41 NIS-2-RL] |
| Anzahl betroffene Einrichtungen DE | rund 29.500 (zuvor rund 4.500 nach altem BSIG) [BSI] |
| Schwelle „besonders wichtig" | ≥ 250 Mitarbeitende oder Jahresumsatz > 50 Mio. € und Jahresbilanzsumme > 43 Mio. €, in einer Einrichtungsart der Anlage 1 [§ 28 Abs. 1 Satz 1 Nr. 4 BSIG] |
| Schwelle „wichtig" | ≥ 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme von jeweils > 10 Mio. €, in einer Einrichtungsart der Anlagen 1 oder 2 [§ 28 Abs. 2 Satz 1 Nr. 3 BSIG] |
| KRITIS-Betreiber | Betreiber kritischer Anlagen gelten ohne Schwellenwert als besonders wichtige Einrichtungen [§ 28 Abs. 1 Satz 1 Nr. 1 BSIG] |
| Ohne Schwellenwert erfasst | qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter [§ 28 Abs. 1 Satz 1 Nr. 2 BSIG] |
| Sektoren | 18 insgesamt: 11 Sektoren hoher Kritikalität (Anlage 1) und 7 sonstige kritische Sektoren (Anlage 2) [Anlagen 1 und 2 BSIG; Anhänge I und II NIS-2-RL] |
| Sektoren mit hoher Kritikalität | Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum |
| Sonstige kritische Sektoren | Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung |
| Registrierungspflicht | binnen drei Monaten, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige bzw. wichtige Einrichtung gilt [§ 33 Abs. 1 BSIG] |
| Frist für Bestandsfälle | Für am 06.12.2025 bereits betroffene Einrichtungen lief die Drei-Monats-Frist am 06.03.2026 ab |
| Registrierungsweg | zweistufig: erst „Mein Unternehmenskonto" (MUK), dann BSI-Portal [BSI] |
| BSI-Portal freigeschaltet | 06.01.2026 [BSI] |
| Änderungsmeldung | Änderungen der Registrierungsangaben unverzüglich, spätestens binnen zwei Wochen [§ 33 Abs. 5 BSIG] |
| Meldepflicht Frühwarnung | unverzüglich, spätestens binnen 24 Stunden nach Kenntniserlangung [§ 32 Abs. 1 Satz 1 Nr. 1 BSIG] |
| Meldepflicht Bewertungsmeldung | unverzüglich, spätestens binnen 72 Stunden [§ 32 Abs. 1 Satz 1 Nr. 2 BSIG] |
| Meldepflicht Abschlussmeldung | spätestens einen Monat nach der 72-Stunden-Meldung; dauert der Vorfall an, zunächst Fortschrittsmeldung [§ 32 Abs. 1 Satz 1 Nr. 4, Abs. 2 BSIG] |
| Risikomanagement-Pflichten | 10 Mindestmaßnahmen: Risikoanalyse, Incident-Handling, Business-Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Schulungen, Kryptografie, MFA, Zugriffskontrolle, Asset-Management – mit Dokumentationspflicht [§ 30 BSIG, Art. 21 NIS-2-RL] |
| Übergangsfrist für § 30 BSIG | keine – die Risikomanagementmaßnahmen gelten seit Inkrafttreten |
| Bußgeld besonders wichtige Einrichtung | bis 10 Mio. € (u. a. Risikomanagement, Dokumentation, Melde- und Unterrichtungspflichten) [§ 65 Abs. 5 Satz 1 Nr. 1 lit. a BSIG] |
| Bußgeld wichtige Einrichtung | bis 7 Mio. € in denselben Fällen [§ 65 Abs. 5 Satz 1 Nr. 1 lit. b BSIG] |
| Umsatzbezogener Rahmen | Nur bei Gesamtumsatz über 500 Mio. €: abweichend bis 2 % (besonders wichtig) bzw. 1,4 % (wichtig) des weltweiten Gesamtumsatzes des Vorjahres [§ 65 Abs. 6 bis 8 BSIG] |
| Bußgeld Registrierungsverstoß | bis 500.000 € [§ 65 Abs. 2 Nr. 6 i. V. m. Abs. 5 Satz 1 Nr. 5 BSIG] |
| Pflichten der Geschäftsleitung | Umsetzung und Überwachung der Risikomanagementmaßnahmen [§ 38 Abs. 1 BSIG] |
| Haftung Geschäftsleitung | Haftung gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts [§ 38 Abs. 2 BSIG] |
| Schulungspflicht Leitung | Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen [§ 38 Abs. 3 BSIG] |
| Aufsichtsbehörde DE | Bundesamt für Sicherheit in der Informationstechnik (BSI) [§ 59 BSIG] |

## Geltungsbereich

Das Gesetz erfasst **alle Einrichtungen** – unabhängig von der Rechtsform – mit Geschäftstätigkeit in Deutschland in den erfassten Sektoren, sofern die Schwellenwerte zu Mitarbeiterzahl, Umsatz und Bilanzsumme überschritten sind. Für die Bestimmung von Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme gilt die **KMU-Empfehlung der Kommission (2003/361/EG)** – ausgenommen Artikel 3 Absatz 4 des Anhangs (§ 28 Abs. 4 BSIG). Konzernstrukturen werden damit grundsätzlich konsolidiert betrachtet; die Daten von Partner- oder verbundenen Unternehmen bleiben aber ausnahmsweise außer Betracht, wenn das Unternehmen mit Blick auf seine informationstechnischen Systeme tatsächlich unabhängig ist.

Anders als unter dem alten BSIG gilt das Gesetz **automatisch** (Selbst-Identifikation); das BSI benennt die Unternehmen nicht mehr einzeln. Das BSI stellt dafür eine **Betroffenheitsprüfung** bereit. Unabhängig von den Schwellenwerten erfasst sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter. Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gelten eigene, niedrigere Schwellen (§ 28 Abs. 1 Satz 1 Nr. 3, Abs. 2 Satz 1 Nr. 2 BSIG).

**Bereichsausnahmen:** Für Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554 sowie für die Gesellschaft für Telematik und bestimmte Betreiber von Telematikinfrastruktur-Diensten gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG **nicht** (§ 28 Abs. 6 BSIG). Ähnliches gilt für Telekommunikations- und Energienetzbetreiber, soweit sie den §§ 5c bis 5e EnWG unterliegen (§ 28 Abs. 5 BSIG).

Auch **Einrichtungen der Bundesverwaltung** fallen unter das Gesetz: Bundesbehörden, öffentlich-rechtlich organisierte IT-Dienstleister des Bundes sowie bestimmte Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts. Für sie gelten IT-Risikomanagementmaßnahmen auf **IT-Grundschutz-Basis** und zusätzlich die **BSI-Mindeststandards**.

## Registrierung

Das BSI sieht einen **zweistufigen Registrierungsprozess** vor:

1. **Anmeldung bei „Mein Unternehmenskonto" (MUK)** – ein Nutzerkonto im Sinne des Onlinezugangsgesetzes (OZG) für juristische Personen, technisch auf ELSTER-Basis. Es ist das geschäftliche Pendant zur BundID.
2. **Registrierung im BSI-Portal** mit dem MUK-Konto. Das BSI-Portal ist seit dem **06.01.2026** freigeschaltet und dient zugleich als Meldestelle für erhebliche Sicherheitsvorfälle.

Gesetzlich vorgegeben ist die Frist des § 33 Abs. 1 BSIG: **drei Monate**, nachdem eine Einrichtung erstmals oder erneut als besonders wichtige oder wichtige Einrichtung gilt. Für Einrichtungen, die bereits am Tag des Inkrafttretens betroffen waren, lief diese Frist am **06.03.2026** ab. Die Registrierung von kritischen Anlagen richtet sich nach § 8 des KRITIS-Dachgesetzes (§ 33 Abs. 2 BSIG). Erfüllt eine Einrichtung ihre Registrierungspflicht nicht, kann das BSI die Registrierung im Einvernehmen mit den zuständigen Aufsichtsbehörden **selbst vornehmen** (§ 33 Abs. 3 BSIG); der Verstoß bleibt gleichwohl bußgeldbewehrt.

## Häufige Fehler

- **„Das Gesetz kommt erst noch."** Überholt – das NIS-2-Umsetzungsgesetz ist seit dem **06.12.2025 in Kraft**. Die Pflichten gelten.
- **„Wir hatten NIS-1, sind also schon dabei."** NIS-2 erweitert den Anwendungsbereich etwa um den **Faktor 6-7** (von rund 4.500 auf rund 29.500 Einrichtungen).
- **„Wir warten auf das BSI."** Falsch – Selbst-Identifikation und Registrierung sind Pflicht des Unternehmens.
- **„Wir sind nur ‚wichtig', also nicht so streng dran."** Die Risikomanagement- und Meldepflichten sind identisch; unterschiedlich sind Sanktionshöhe (10 Mio. € gegenüber 7 Mio. €) und Aufsichtsintensität (§§ 61, 62 BSIG).
- **„Für die technischen Maßnahmen gibt es eine Übergangsfrist."** Das Gesetz sieht für § 30 BSIG **keine** Übergangsfrist vor.
- **„Bußgelder betragen immer mindestens 2 Prozent des Umsatzes."** Falsch – der umsatzbezogene Rahmen von 2 % bzw. 1,4 % gilt nach § 65 Abs. 6 und 7 BSIG nur gegenüber Einrichtungen mit einem **Gesamtumsatz über 500 Mio. €**.

## Änderungsverlauf

- 2026-09-09: Faktencheck. Die Seite stellte das NIS-2-Umsetzungsgesetz als noch nicht geltendes Recht dar („voraussichtlich Anfang 2026 in Kraft", „Stand 06/2026: parlamentarisches Verfahren", `legal_status: in_legislation`, Verweise auf „§ … BSIG-E"). Tatsächlich ist das Gesetz am 05.12.2025 verkündet (BGBl. 2025 I Nr. 301, Ausfertigung 02.12.2025, amtlicher Verkündungsnachweis recht.bund.de/bgbl/1/2025/301/VO.html) und seit dem 06.12.2025 in Kraft (BSI-Pressemitteilung vom 05.12.2025). Korrigiert: `legal_status` auf `in_force`, `valid_from` von 2024-10-18 (EU-Umsetzungsfrist) auf 2025-12-06 (Inkrafttreten der deutschen Umsetzung); Zahl der betroffenen Einrichtungen von „ca. 30.000" auf die BSI-Angabe rund 29.500; Schwellenwerte des § 28 BSIG am Volltext berichtigt (besonders wichtig: ≥ 250 Beschäftigte ODER Umsatz > 50 Mio. € UND Bilanzsumme > 43 Mio. €; wichtig: ≥ 50 Beschäftigte ODER Umsatz und Bilanzsumme jeweils > 10 Mio. € – die Bilanzsummen-Bedingung fehlte bisher); Registrierungspflicht mit der Drei-Monats-Frist des § 33 Abs. 1 BSIG und dem Ablauf am 06.03.2026 für Bestandsfälle ergänzt; Melde-, Risikomanagement- und Geschäftsleitungspflichten von den Richtlinienartikeln auf die §§ 30, 32, 38 BSIG umgestellt; Schulungspflicht der Geschäftsleitung (§ 38 Abs. 3 BSIG) als geltendes Recht statt als Entwurfsvorhaben ausgewiesen; Haftung der Geschäftsleitung als Innenhaftung nach Gesellschaftsrecht (§ 38 Abs. 2 BSIG) präzisiert; deutsche Bußgeldrahmen des § 65 BSIG ergänzt, einschließlich der Klarstellung, dass die Sätze von 2 % bzw. 1,4 % erst ab einem Gesamtumsatz über 500 Mio. € gelten, und der 500.000-€-Stufe für Registrierungsverstöße; zweistufige Registrierung über „Mein Unternehmenskonto", BSI-Portal seit 06.01.2026, Bereichsausnahmen des § 28 Abs. 5 und 6 BSIG sowie die Pflichten der Bundesverwaltung aufgenommen; Quellenliste um §§ 28, 32, 33, 65 BSIG und die BSI-Pressemitteilung erweitert. Grundlage: BGBl. 2025 I Nr. 301, BSI-Pressemitteilung vom 05.12.2025, Volltexte der §§ 28, 32, 33, 38, 65 BSIG (Fassung vom 02.12.2025, zuletzt geändert 21.07.2026). | change_type=factcheck field="factcheck_status" old="review_proposed" new="ok" reviewed_by="Andreas Warkentin"
- 2026-06-17: Falsch-Positiv korrigiert. BMI-Quellen-URL (nis2umsucg.html) war am 2026-06-17 als „toter Link" markiert (HTTP 400 aus der Sandbox = Anti-Bot-Antwort). Per WebFetch/WebSearch als erreichbar (HTTP 200, vollständiger Seiteninhalt, identischer Titel) verifiziert; Marker entfernt, factcheck_status=ok. | change_type=source_recheck field="sources" old="https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/CI1/nis2umsucg.html [toter Link, geprüft 2026-06-17]" new="https://www.bmi.bund.de/SharedDocs/ges reviewed_by="Andreas Warkentin"
## Stand

- Stand: 2026-09-09
- Gültig ab: 2025-12-06 (Inkrafttreten des NIS-2-Umsetzungsgesetzes; Verkündung 05.12.2025, BGBl. 2025 I Nr. 301)
- Status: aktuell (in_force)
- Quellenautorität: A (Bundesgesetzblatt, BSIG-Volltext, BSI, EUR-Lex)
- Lizenz: CC BY 4.0

## Quellen

- Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. 2025 I Nr. 301 (Verkündung 05.12.2025, Ausfertigung 02.12.2025):
  https://www.recht.bund.de/bgbl/1/2025/301/VO.html
- BSI – Pressemitteilung „Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft" vom 05.12.2025 (Inkrafttreten 06.12.2025, rund 29.500 Einrichtungen, zuvor rund 4.500, zweistufige Registrierung, BSI-Portal ab 06.01.2026, KRITIS automatisch besonders wichtig):
  https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html
- § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen (Volltext, Fassung vom 02.12.2025):
  https://www.gesetze-im-internet.de/bsig_2025/__28.html
- § 32 BSIG – Meldepflichten (24 Stunden / 72 Stunden / ein Monat):
  https://www.gesetze-im-internet.de/bsig_2025/__32.html
- § 33 BSIG – Registrierungspflicht (drei Monate):
  https://www.gesetze-im-internet.de/bsig_2025/__33.html
- § 65 BSIG – Bußgeldvorschriften (10 Mio. € / 7 Mio. € / 500.000 €; 2 % bzw. 1,4 % erst ab 500 Mio. € Gesamtumsatz):
  https://www.gesetze-im-internet.de/bsig_2025/__65.html
- Richtlinie (EU) 2022/2555 (NIS-2 Volltext):
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555
- BSI – NIS-2-regulierte Unternehmen:
  https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html
- BSI – NIS-2-Betroffenheitsprüfung:
  https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Betroffenheitspruefung/nis-2-betroffenheitspruefung_node.html
- BMI – Gesetzgebungsverfahren NIS2UmsuCG:
  https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/CI1/nis2umsucg.html

## Stand

- Letzte Änderung: 2026-09-09
- Letzte Prüfung: 2026-09-09
- In Kraft seit: 2025-12-06
- Status: In Kraft
- Quellen-Autorität: A
- Lizenz: CC BY 4.0