Bundestag verabschiedete NIS2-Umsetzungsgesetz

25.11.25 10:20

Die seit Jahren von Experten bemängelte verwundbare Cybersicherheitslage in Deutschland erfordert dringende Maßnahmen. Mit der verspäteten Verabschiedung des NIS2-Umsetzungsgesetzes durch den Deutschen Bundestag am 13.11.2025 wird jetzt die europäische NIS2-Richtlinie in nationales Recht überführt. Damit setzt Deutschland einen entscheidenden Schritt zur Modernisierung seines IT-Sicherheitsrechts.

Die europäische NIS2-Richtlinie

You can edit text on your website by double clicking on a text box on your website. Alternatively, when you select a text box a settings menu will appear. your website by double clicking on a text box on your website. Alternatively, when you select a text box

Seit 2016 sorgt die erste NIS-Richtlinie für ein Cybersicherheits-Fundament in der EU. Die Nachfolgeregelung, die NIS2-Richtlinie, ist seit Januar 2023 gültig und erweitert den Anwendungsbereich. Sie erhöhen die Standards für Cybersicherheit und deren Durchsetzung in „wesentlichen Sektoren der Wirtschaft“. Dazu zählen beispielsweise das Gesundheitswesen, Abwasserunternehmen sowie öffentliche elektronische Kommunikationsdienste.

Verspätete Umsetzung in Deutschland

Die Frist zur Umsetzung der NIS2-Richtlinie in nationales Recht war bereits am 17.10.2024. Da Deutschland und viele andere Mitgliedstaaten dieser Verpflichtung nicht nachkamen, leitete die EU-Kommission Ende letzten Jahres ein Vertragsverletzungsverfahren ein und drohte später sogar mit einer Klage vor dem Europäischen Gerichtshof (EuGH).

Die Umsetzung scheiterte in Deutschland mehrfach: Zunächst passierte das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz der ehemaligen Regierung im Juli zwar das Kabinett, wurde aber nicht im Bundestag angenommen. Ein anschließender Entwurf von SPD und Grünen scheiterte Ende Januar 2025 an internen Koalitionsdifferenzen mit der FDP. Erst Ende Juli legte die aktuelle Regierung einen endgültigen neuen Regierungsentwurf vor.

Bedeutung des Umsetzungsgesetzes für Unternehmen

Das nun verabschiedete Gesetz, das laut BSI-Pressemitteilung primär das Bundessicherheitsgesetz (BSIG) überarbeitet, weitet den Kreis der Betroffenen drastisch aus: Statt bisher rund 4.500 müssen künftig etwa 29.500 Unternehmen und Organisationen bestimmte Sicherheitsmaßnahmen umsetzen. Neben den bisherigen Betreibern kritischer Infrastrukturen (KRITIS) fallen nun auch "wichtige" und "besonders wichtige Einrichtungen" in Sektoren wie öffentliche Kommunikation, Abwasser oder Gesundheit unter die Pflicht.

Das BSI wird zur zentralen Aufsichtsbehörde für all diese Stellen und übernimmt zusätzlich die Funktion des Chief Information Security Officer (CISO) der Bundesverwaltung. Für die betroffenen Unternehmen sind erweiterte gesetzliche Pflichten verbindlich, welche ein robustes Risikomanagement und eine funktionierende Cybersicherheitsorganisation vorschreiben.

Konkret müssen sich Unternehmen künftig beim BSI registrieren, erhebliche Sicherheitsvorfälle zeitnah melden und Schutzmaßnahmen konsequent implementieren. Dies umfasst die technische Absicherung der Netzwerke ebenso wie klare Verantwortlichkeitsstrukturen in der Unternehmensführung.

Neue Vorgaben für die Bundesverwaltung

Die Regelungen des Gesetzes betreffen unmittelbar die Bundesverwaltung. Alle Behörden und Ressorts sind künftig zur Einhaltung von Mindestanforderungen an die Informationssicherheit verpflichtet, welche sich primär an den IT-Grundschutz-Standards des BSI orientieren. Das BSI wird dabei zum zentralen CISO der Bundesverwaltung und ist für die IT-Governance-Koordination über alle Bereiche hinweg zuständig.

Praktische Unterstützung für Unternehmen

Um die NIS2-relevanten Unternehmen sofort zu unterstützen, entwickelt das BSI handlungsfähige Strukturen. Es bietet ein Starterpaket als geförderte Orientierungshilfe zu den neuen Pflichten sowie Kick-off-Seminare an. In diesen Seminaren werden die Schritte zur Betroffenheitsprüfung, zur Registrierung im BSI-Portal und zur Etablierung der Meldeprozesse für Sicherheitsvorfälle praxisnah vermittelt.

Zusammenfassung

Das NIS2-Umsetzungsgesetz wurde zwar verzögert, aber inhaltlich fundiert verabschiedet. Es etabliert nun einen verbindlichen Sicherheitsrahmen für Wirtschaft und Verwaltung. Die gestärkte Position des BSI als zentrale Instanz erhöht die Effizienz und Verlässlichkeit in diesem für die digitale Souveränität kritischen Feld. Für Unternehmen bedeutet dies akuten Umsetzungsdruck: Die neuen Pflichten müssen über die reine Formalität hinaus organisatorisch nachhaltig verankert werden. Aufgrund der Komplexität empfiehlt sich für viele Betriebe die Unterstützung durch externe Compliance-Experten.

Tags :
Kategorien :