Deut­sches NIS-2-Umsetzungsgesetz verkündet

Was Unter­neh­men jetzt wis­sen und tun sollten

Bun­des­tag und Bun­des­rat haben das Gesetz zur Umset­zung der NIS-2-Richtlinie ver­ab­schie­det. Der Kern ist die umfas­sen­de Neu­fas­sung des BSI-Gesetzes (BSIG). Seit dem 6. Dezem­ber ist das Gesetz in Kraft. Über­gangs­fris­ten sind nicht vorgesehen.

Was ist das NIS-2-Umsetzungsgesetz?

• Mit dem NIS-2-Umsetzungsgesetz wird die NIS-2-Richtlinie in Deutsch­land umge­setzt. Die NIS-2-Richtlinie ent­hält Anfor­de­run­gen an die Cyber­si­cher­heit wich­ti­ger und wesent­li­cher Ein­rich­tun­gen aus ins­ge­samt 18 Sek­to­ren. Durch NIS‑2 wer­den vie­le Unter­neh­men erst­mals gesetz­lich zu mehr Cyber­si­cher­heit verpflichtet.
• Der Schwer­punkt des NIS-2-Umsetzungsgesetzes liegt auf einer weit­ge­hen­den Neu­fas­sung des BSI-Gesetzes (BSIG). Dar­in wer­den der Anwen­dungs­be­reich, die Pflich­ten, die Auf­sicht und die Sank­tio­nen für den Groß­teil der etwa 30.000 bis 40.000 betrof­fe­nen Unter­neh­men in Deutsch­land geregelt.
• Am 5. Dezem­ber 2025 wur­de das Gesetz im Bun­des­ge­setz­blatt ver­kün­det und ist seit dem 6. Dezem­ber 2025 in Kraft. Über­gangs­fris­ten sind nicht vorgesehen.

Was sind ver­nach­läs­sig­ba­re Tätigkeiten?

Trotz erheb­li­cher Kri­tik von Wirt­schafts­ver­bän­den und Exper­ten hat es im Gesetz­ge­bungs­ver­fah­ren ver­gleichs­wei­se weni­ge Ände­run­gen für die Wirt­schaft gegeben:

• Die für den Anwen­dungs­be­reich rele­van­ten Defi­ni­tio­nen der Ein­rich­tungs­ar­ten in den Anla­gen 1 (Sek­to­ren beson­ders wich­ti­ger und wich­ti­ger Ein­rich­tun­gen) und 2 (Sek­to­ren wich­ti­ger Ein­rich­tun­gen) haben sich nicht geändert. 
• Die Aus­nah­me­re­ge­lung für ver­nach­läs­sig­ba­re Geschäfts­tä­tig­kei­ten in § 28 Abs. 3 BSIG ist aller­dings erhal­ten geblie­ben. Unter­neh­men kön­nen bei der Prü­fung des Anwen­dungs­be­reichs dem­nach gering­fü­gi­ge Tätig­kei­ten aus­klam­mern, die zu einer unver­hält­nis­mä­ßi­gen Betrof­fen­heit als wich­ti­ge oder beson­ders wich­ti­ge Ein­rich­tung füh­ren würden.
• Indi­ka­to­ren für eine gering­fü­gi­ge Neben­tä­tig­keit kön­nen die Anzahl der im rele­van­ten Bereich ein­ge­setz­ten Mit­ar­bei­ter sowie der dort erwirt­schaf­te­te Umsatz sein. Nicht ver­nach­läs­sig­bar sind Tätig­kei­ten, die in einem Gesell­schaf­ter­ver­trag, einer Sat­zung oder einem ande­ren Grün­dungs­do­ku­ment des Unter­neh­mens genannt werden.

Was soll­ten Unter­neh­men jetzt tun?

• Betrof­fen­heits­ana­ly­se aktua­li­sie­ren: Die Unklar­hei­ten bei der Bestim­mung der Sek­to­ren blei­ben bis auf Wei­te­res bestehen, wer­den aller­dings durch die Aus­nah­me­re­ge­lun­gen für ver­nach­läs­sig­ba­re Tätig­kei­ten abge­mil­dert. Dadurch haben Unter­neh­men die Mög­lich­keit, ihre Betrof­fen­heit von den NIS-2-Anforderungen bei Neben­tä­tig­kei­ten weit­ge­hend in Eigen­re­gie fest­zu­le­gen. Dabei soll­ten Unter­neh­men aller­dings nicht über­se­hen, dass Cyber­kri­mi­nel­le ihre Angriffs­zie­le nicht ent­lang des Geset­zes aus­wäh­len. Wer Tätig­kei­ten vor­schnell aus­klam­mert, ris­kiert ein Ein­falls­tor für bös­wil­li­ge Hacker.
• Regis­trie­rung vor­be­rei­ten: Wich­ti­ge und beson­ders wich­ti­ge Ein­rich­tun­gen müs­sen sich über ein Por­tal beim BSI regis­trie­ren und zukünf­tig erheb­li­che Sicher­heits­vor­fäl­le direkt an die Behör­de melden.
• NIS-2-Anforderungen umset­zen: Dar­über hin­aus soll­te spä­tes­tens jetzt damit begon­nen wer­den, die NIS-2-Anforderungen auf tech­ni­scher und orga­ni­sa­to­ri­scher Ebe­ne umzu­set­zen. Als Teil des Risi­ko­ma­nage­ments ist hier­bei ins­be­son­de­re an die Lie­fer­ket­te und den Umgang mit IT-Sicherheitsvorfällen zu den­ken. Bei der Umset­zung der Maß­nah­men soll­ten Unter­neh­men auch den Cyber Resi­li­ence Act (CRA) im Blick behalten.

Wie reusch­law bei der Umset­zung von NIS‑2 unterstützt

reusch­law unter­stützt Unter­neh­men bei der Umset­zung von NIS‑2 durch die recht­li­che Prü­fung der Betrof­fen­heit, die Ablei­tung kon­kre­ter Pflich­ten sowie die Beglei­tung bei der Umset­zung und Doku­men­ta­ti­on aller erfor­der­li­chen Maß­nah­men. Zudem hilft reusch­law beim Auf­bau eines Cybersecurity-Compliance-Managements, um Governance‑, Risikomanagement- und Mel­de­pflich­ten nach­hal­tig zu erfül­len. Für tech­ni­sche Umset­zungs­maß­nah­men grei­fen wir auf erfah­re­ne Part­ner zurück. Damit wird sicher­ge­stellt, dass Ihr Unter­neh­men die ver­schärf­ten gesetz­li­chen Anfor­de­run­gen rechts­si­cher erfüllt und Prü­fun­gen von Kun­den und Auf­sichts­be­hör­den sou­ve­rän besteht.