NIS2 – Das Umsetzungsgesetz ist einen Schritt weiter!
Das Umsetzungsgesetz zur NIS2-Richtlinie hat am 15. November 2025 den Bundestag passiert.
Bis zur endgültigen Veröffentlichung im Bundesgesetzblatt wird es zwar noch etwas dauern – vorsichtige Prognosen nennen das erste Quartal 2026 – doch nun steht fest: Die deutsche Umsetzung kommt. Und sie kommt ohne Übergangsfrist.
Das bedeutet: Mit Inkrafttreten ist das Gesetz unmittelbar anwendbar. Unternehmen, die unter die NIS2-Regelungen fallen, sollten daher spätestens jetzt prüfen, ob alle erforderlichen Maßnahmen zur Informationssicherheit bereits umgesetzt oder zumindest geplant sind.
Wer ist betroffen?
Grob zusammengefasst: Die Regelungen betreffen alle Unternehmen, die als „wichtige“ oder „besonders wichtige Einrichtungen“ eingestuft werden. Dazu gehören etwa:
- Telekommunikationsanbieter und Netzbetreiber ab einer bestimmten Unternehmensgröße,
- Unternehmen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz bzw. einer Bilanzsumme von 10 Millionen Euro, sofern ihre Tätigkeiten in den Anhängen 1 oder 2 des neuen BSI-Gesetzes genannt sind, und
- IT-Dienstleister wie Cloud-Anbieter, Rechenzentrumsbetreiber, Managed Service Provider und Managed Security Service Provider
Ob die eigene Branche und damit Ihr Unternehmen betroffen ist, kann über die NIS2-Betroffenheitsprüfung des BSI geprüft werden:
BSI NIS2-Betroffenheitsprüfung
Welche Anforderungen kommen auf Unternehmen zu?
Unternehmen müssen ein Informationssicherheitsmanagementsystem (ISMS) einrichten und diverse Maßnahmenbereiche abdecken, darunter Risikoanalyse, Backup-Konzept, Patch-Management, Zugriffskontrollen und Schulungen. Bevorzugt können bewährte Standards wie ISO 27001 oder VdS 10000 (NIS2-Version in Arbeit) als Basis genutzt werden.
Zudem folgende Besonderheiten:
- Registrierungspflicht beim BSI innerhalb von 3 Monaten nach Inkrafttreten
- Meldepflicht bei erheblichen Sicherheitsvorfällen innerhalb von 24 Stunden
- Schulungspflicht für die Geschäftsleitung zur Stärkung des Sicherheitsbewusstseins
Empfohlene Handlung
- Prüfen Sie, ob Ihr Unternehmen von NIS2 betroffen ist.
- Interne Zuständigkeiten und Prozesse festlegen.
- Gap-Analyse der bestehenden Sicherheitsorganisation durchführen.
- Melde- und Schulungspflichten organisatorisch vorbereiten.
Gerne unterstützen wir Sie bei der Einordnung und Umsetzung der neuen Anforderungen.
Fragen?
Für unsere Mandanten haben wir ein umfangreiches Informationsdokument im BK6 der Dokumentenablage innerhalb des Dokumentationsportals bereitgestellt. Darin gehen wir tiefer ins Detail und machen auch erste Überlegungen, wie mit Verbundunternehmen in Bezug auf die NIS2-Betroffenheit umzugehen ist.
Ansonsten stehe ich Ihnen bei Rückfragen wie immer gerne zur Verfügung.
Der Beitrag NIS2 – Das Umsetzungsgesetz ist einen Schritt weiter! erschien zuerst auf CompliPro GmbH.
