NIS2UmsuCG 2026: Pflichten, Bußgelder und BSI-Aufsicht für rund 29.500 Einrichtungen

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2UmsuCG – nach Schätzung des BSI gelten damit für rund 29.500 Unternehmen und Institutionen der Bundesverwaltung neue Cybersicherheitspflichten, für die Kernpflichten ohne Übergangsfrist. Dass die Umsetzung Zeit braucht, zeigen die offiziellen Registrierungszahlen: Bis zum 30. September 2026 hatten sich laut BSI 20.141 Einrichtungen im BSI-Portal nach NIS-2 registriert – deutlich weniger als die geschätzte Zahl der betroffenen Einrichtungen, obwohl die gesetzliche Registrierungsfrist bereits am 6. März 2026 abgelaufen ist.

Dieser Leitfaden erklärt, was das NIS2UmsuCG konkret bedeutet: welche Schwellen die Betroffenheit nach §28 BSIG auslösen, welche zehn Risikomanagementmaßnahmen nach §30 BSIG verpflichtend umzusetzen sind, wie das BSI seine neuen Aufsichtsbefugnisse einsetzt – und welche Bußgelder nach §65 BSIG drohen, wenn Pflichten nicht erfüllt werden.

Was ist das NIS2UmsuCG?

Vollständiger Name: „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“. Dieses Gesetz setzt die EU-Richtlinie (EU) 2022/2555 in deutsches Recht um und novelliert das BSI-Gesetz (BSIG) grundlegend. Zentrale Pflichten sind in §§28–38 des neugefassten BSIG kodifiziert; die Bußgeldvorschriften finden sich in §65.

Die gesetzgeberische Dringlichkeit war erheblich: Die EU-Frist zur nationalen Umsetzung der NIS-2-Richtlinie lief bereits am 17. Oktober 2024 ab. Deutschland hat die Richtlinie damit mehr als ein Jahr verspätet umgesetzt; das Gesetz trat nach einem langen parlamentarischen Prozess am 6. Dezember 2025 in Kraft – für die Kernpflichten ohne Übergangsfrist.

Was die Dimension dieses Schritts verdeutlicht: Vor dem NIS2UmsuCG waren nach Angaben des BSI etwa 4.500 Organisationen durch das BSI-Gesetz reguliert – insbesondere Betreiber Kritischer Infrastrukturen (KRITIS), Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse. Künftig zählen schätzungsweise rund 29.500 Einrichtungen zu den vom BSI beaufsichtigten Einrichtungen – mehr als sechsmal so viele. Neu erfasst werden vor allem mittlere und große Unternehmen in den Sektoren der Anlagen 1 und 2 BSIG, die bislang keinen Pflichten nach dem BSI-Gesetz unterlagen.

Das NIS2UmsuCG richtet sich ausdrücklich an Einrichtungen, nicht nur an Infrastrukturbetreiber. Der Begriff „Einrichtung“ erfasst neben Unternehmen auch bestimmte öffentliche Stellen, insbesondere Einrichtungen der Bundesverwaltung. Die Einstufung als besonders wichtige oder wichtige Einrichtung erfolgt nicht durch einen BSI-Bescheid: Unternehmen müssen selbstständig prüfen, ob sie die gesetzlichen Kriterien erfüllen und damit als besonders wichtige oder wichtige Einrichtung gelten.

Sonderregeln für die Bundesverwaltung: Für Einrichtungen der Bundesverwaltung – Bundesbehörden, öffentlich-rechtlich organisierte IT-Dienstleister des Bundes und, soweit vom BSI im Einvernehmen mit dem zuständigen Ressort angeordnet, weitere Körperschaften, Anstalten und Stiftungen des öffentlichen Rechts auf Bundesebene – gelten nach § 29 Abs. 2 BSIG die Regelungen für besonders wichtige Einrichtungen, ausdrücklich jedoch nicht die §§ 38, 40 Abs. 3, 61 und 65. Bußgelder nach § 65 und Aufsichtsmaßnahmen nach § 61 BSIG greifen dort also nicht. Stattdessen regeln die §§ 43 bis 48 BSIG das Informationssicherheitsmanagement des Bundes: Die Einrichtungen müssen Mindestanforderungen aus IT-Grundschutz und den BSI-Mindeststandards erfüllen (§ 44) und dem BSI die Erfüllung der Anforderungen spätestens fünf Jahre nach Inkrafttreten nachweisen (§ 43 Abs. 1).

Einen Überblick über die europäische Grundlage dieser Regelungen bieten unsere NIS-2-Grundlagen.

Wer ist betroffen? Betroffenheitsschwellen nach §28 BSIG

§28 BSIG unterscheidet zwei Kategorien betroffener Einrichtungen, die sich in Pflichtentiefe und Aufsichtsintensität erheblich unterscheiden.

Kategorie	Schwelle	Sektor	Aufsicht
Besonders wichtige Einrichtung (§28 Abs. 1)	≥250 Beschäftigte ODER >50 Mio. € Umsatz UND >43 Mio. € Bilanzsumme	Anlage 1	Anlassunabhängig – Überprüfungen und Audit-Anordnungen möglich (§61)
Wichtige Einrichtung (§28 Abs. 2)	≥50 Beschäftigte ODER >10 Mio. € Umsatz UND >10 Mio. € Bilanzsumme	Anlage 1 oder 2	Anlassbezogen – wenn Tatsachen einen Verstoß nahelegen (§62)

Die NIS-2-Richtlinie nennt insgesamt 18 Sektoren; das BSIG fasst sie in zwei Anlagen mit je sieben Sektoren zusammen. Anlage 1 – Sektoren besonders wichtiger und wichtiger Einrichtungen: Energie, Transport und Verkehr, Finanzwesen (Bankwesen, Finanzmarktinfrastrukturen), Gesundheit, Wasser (Trinkwasser, Abwasser), Digitale Infrastruktur (einschließlich Managed Service und Managed Security Service Provider) sowie Weltraum. Anlage 2 – Sektoren wichtiger Einrichtungen: Transport und Verkehr (Post- und Kurierdienste), Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe/Herstellung von Waren, Anbieter digitaler Dienste sowie Forschung. Die öffentliche Verwaltung ist in den Anlagen nicht als Sektor aufgeführt; Einrichtungen der Bundesverwaltung werden über § 29 BSIG erfasst.

Für bestimmte Einrichtungen gelten die Größenschwellen nicht: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter gelten nach § 28 Abs. 1 Nr. 1 und 2 BSIG unabhängig von Mitarbeiterzahl oder Umsatz als besonders wichtige Einrichtungen. Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind ab 50 Mitarbeitern oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. € besonders wichtige Einrichtungen, darunter wichtige Einrichtungen; nicht qualifizierte Vertrauensdiensteanbieter gelten größenunabhängig als wichtige Einrichtungen (§ 28 Abs. 2 Nr. 1 und 2).

Eine wichtige Unterscheidung, die in der Praxis häufig übersehen wird: Umsatz- und Bilanzkriterium müssen kumulativ erfüllt sein, sie wirken nicht alternativ. Ein Unternehmen mit 80 Millionen Euro Umsatz, aber einer Bilanzsumme unter 10 Millionen Euro, fällt bei weniger als 50 Beschäftigten nicht unter § 28 Abs. 2 BSIG. Für die Berechnung gilt grundsätzlich die KMU-Empfehlung 2003/361/EG; Daten von Partner- oder verbundenen Unternehmen können unter den Voraussetzungen des § 28 Abs. 4 BSIG unberücksichtigt bleiben. Die Betroffenheitsprüfung ist daher immer als Drei-Kriterien-Check durchzuführen: Sektor, Mitarbeiterzahl, Umsatz/Bilanz.

Ob Ihr Unternehmen konkret in den Anwendungsbereich fällt, können Sie im Detail über den Anwendungsbereich der NIS-2-Richtlinie prüfen.

Pflichten nach NIS2UmsuCG — §30, §32, §33 und §38 BSIG

Betroffene Einrichtungen haben vier Kernpflichten zu erfüllen, die grundsätzlich seit Inkrafttreten des Gesetzes gelten; die Meldepflicht nach §32 gilt frühestens ab Einrichtung des Meldewegs (§32 Abs. 1 Satz 2 BSIG).

§30 BSIG — Risikomanagementmaßnahmen

§30 BSIG verpflichtet betroffene Einrichtungen zu Risikomanagementmaßnahmen, die mindestens zehn Bereiche umfassen müssen. Die Maßnahmen müssen „geeignet, verhältnismäßig und wirksam“ sein und sollen den Stand der Technik einhalten. Die Einrichtungen müssen die Einhaltung dokumentieren (§30 Abs. 1 Satz 3 BSIG); das BSI kann sie im Rahmen seiner Aufsicht überprüfen.

#	Maßnahme (§30 Abs. 2 BSIG)	Praxisrelevanz
1	Risikoanalyse und Sicherheitskonzepte	Schriftliches Risikoregister mit Bewertungslogik
2	Bewältigung von Sicherheitsvorfällen	Incident-Response-Plan mit Zuständigkeitsmatrix
3	Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall) und Krisenmanagement	BCP/DRP-Dokumentation, regelmäßige Tests
4	Sicherheit der Lieferkette	Lieferantenklassifizierung, Vertragsanforderungen
5	Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Management und Offenlegung von Schwachstellen	Secure-SDLC-Policy, Patch- und Schwachstellenmanagement
6	Bewertung der Wirksamkeit von Maßnahmen	Regelmäßige interne Audits, KPI-Tracking
7	Grundlegende Schulungen und Sensibilisierung	Schulungsnachweise für Beschäftigte; GF-Schulungen nach §38 Abs. 3
8	Kryptografie und Verschlüsselung	Kryptografierichtlinie mit Verfahrens- und Schlüsselverwaltung
9	Sicherheit des Personals, Zugriffskontrolle und Verwaltung von IKT-Systemen	IAM-Richtlinie, Onboarding-/Offboarding-Prozess
10	Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, ggf. Notfallkommunikation	MFA-Policy, Dokumentation der eingesetzten Verfahren

§32 BSIG — Meldepflichten bei erheblichen Sicherheitsvorfällen

Bei erheblichen Sicherheitsvorfällen gilt ein mehrstufiges Meldeverfahren gegenüber der gemeinsamen Meldestelle von BSI und BBK (§32 Abs. 1 BSIG); auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu:

• Frühe Erstmeldung (24 Stunden): Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung – mit der Angabe, ob der Verdacht auf rechtswidrige oder böswillige Handlungen oder auf grenzüberschreitende Auswirkungen besteht.
• Meldung (72 Stunden): Bestätigung oder Aktualisierung der Erstmeldung und erste Bewertung von Schweregrad und Auswirkungen, gegebenenfalls mit Kompromittierungsindikatoren.
• Abschlussmeldung (ein Monat): Spätestens einen Monat nach der 72-Stunden-Meldung – ausführliche Beschreibung, wahrscheinliche Ursache, getroffene und laufende Abhilfemaßnahmen, ggf. grenzüberschreitende Auswirkungen. Dauert der Vorfall noch an, ist zunächst eine Fortschrittsmeldung vorzulegen.

Als erheblich gilt ein Vorfall, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§2 Nr. 11 BSIG). Gemeldet wird über das BSI-Portal; die Fristen laufen ab dem Zeitpunkt der Kenntnis des Vorfalls, nicht ab dem Zeitpunkt der vollständigen Analyse.

§33 BSIG — Registrierungspflicht

Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche Einrichtung gelten, beim BSI registrieren (§33 Abs. 1 BSIG); für Einrichtungen, die bereits beim Inkrafttreten betroffen waren, endete die Frist am 6. März 2026. Die Registrierung ist zweistufig (Konto bei „Mein Unternehmenskonto“, danach BSI-Portal) und erfordert Angaben zu Name, Rechtsform und ggf. Handelsregisternummer, Anschrift und Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, Sektor, den EU-Mitgliedstaaten, in denen Dienste erbracht werden, sowie zu den zuständigen Aufsichtsbehörden. Ändern sich diese Angaben, sind die Änderungen unverzüglich, spätestens binnen zwei Wochen ab Kenntnis zu übermitteln (§33 Abs. 5). Den vollständigen Ablauf mit allen Pflichtangaben beschreibt unser Leitfaden zur BSI-Registrierung.

§38 BSIG — Geschäftsleitungspflichten und persönliche Haftung

§38 BSIG ist der Paragraph, der in Vorstandsetagen Aufmerksamkeit erzeugt: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die Risikomanagementmaßnahmen nach §30 umzusetzen und ihre Umsetzung zu überwachen (§38 Abs. 1), und müssen regelmäßig an Schulungen teilnehmen (§38 Abs. 3). Verletzen sie die Pflichten nach Abs. 1, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform (§38 Abs. 2) – etwa nach §93 AktG oder §43 GmbHG. Einen eigenen Bußgeldtatbestand für Verstöße gegen §38 enthält §65 BSIG nicht.

Durch interne Delegation entfällt die Verantwortung nicht: Auch wenn die Geschäftsleitung die operative Umsetzung etwa an die IT-Leitung überträgt, bleibt sie nach §38 Abs. 1 BSIG verpflichtet, die Umsetzung zu überwachen.

Die vollständige Compliance-Checkliste mit allen Umsetzungsschritten finden Sie unter der NIS-2-Compliance-Checkliste.

BSI als zentrale Aufsichtsbehörde — Befugnisse und Kontrollen

Das BSI ist nach §59 BSIG die zuständige Aufsichtsbehörde für die in Deutschland niedergelassenen besonders wichtigen und wichtigen Einrichtungen, für Betreiber kritischer Anlagen und für Einrichtungen der Bundesverwaltung. Sonderregeln gelten unter anderem für Telekommunikations- und Energieunternehmen (§28 Abs. 5) sowie für Finanzunternehmen im Anwendungsbereich der DORA-Verordnung (§28 Abs. 6). Die Aufsicht über Unternehmen ist nach der Kategorie der Einrichtung zweigleisig angelegt.

Anlassunabhängige Aufsicht für besonders wichtige Einrichtungen (§61 BSIG): Das BSI kann die Einhaltung der Anforderungen überprüfen – auch mithilfe qualifizierter unabhängiger Dritter –, dabei Geschäfts- und Betriebsräume während der üblichen Betriebszeiten betreten, Unterlagen anfordern und Auskünfte verlangen (§61 Abs. 5). Gegenüber einzelnen Einrichtungen kann es Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen (§61 Abs. 1). Die Vorlage von Nachweisen kann es von weiteren besonders wichtigen Einrichtungen dagegen erst frühestens drei Jahre nach Inkrafttreten verlangen, also ab Dezember 2028 – bei zugelassenen Krankenhäusern grundsätzlich frühestens nach fünf Jahren (§61 Abs. 3). Für diese Kategorie ist eine laufend gepflegte Dokumentation daher eine praktische Notwendigkeit.

Anlassbezogene Aufsicht für wichtige Einrichtungen (§62 BSIG): Das BSI wird hier erst tätig, wenn Tatsachen die Annahme rechtfertigen, dass eine wichtige Einrichtung ihre Pflichten nach §30 Abs. 1, §32 Abs. 1 bis 3 oder §38 Abs. 3 nicht oder nicht richtig umsetzt – etwa nach einem gemeldeten Sicherheitsvorfall oder bei konkreten Hinweisen auf Mängel. Dann kann es die Einhaltung überprüfen und Maßnahmen nach §61 treffen. Im Normalbetrieb ist die Aufsichtsintensität damit spürbar geringer.

Das Instrumentarium des BSI umfasst darüber hinaus:

• Anordnung erforderlicher Maßnahmen zur Verhütung oder Behebung von Sicherheitsvorfällen und Mängeln, eines Mängelbeseitigungsplans und eines Nachweises über die Mängelbeseitigung (§61 Abs. 6 und 7)
• Anordnung von Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen (§61 Abs. 1)
• Anordnung, potenziell betroffene Kunden über erhebliche Cyberbedrohungen zu unterrichten oder Informationen zu Verstößen öffentlich bekannt zu machen (§61 Abs. 8)
• Als letztes Mittel, wenn besonders wichtige Einrichtungen BSI-Anordnungen trotz Fristsetzung nicht befolgen: Die jeweils zuständige Aufsichtsbehörde – nicht das BSI selbst – kann Genehmigungen nach Fachrecht vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§61 Abs. 9)

Bei versäumter Registrierung kann das BSI die Einrichtung im Einvernehmen mit den zuständigen Aufsichtsbehörden selbst registrieren (§33 Abs. 3) und, wenn Tatsachen die Annahme rechtfertigen, dass die Pflicht nicht erfüllt wird, Unterlagen und Auskünfte verlangen (§33 Abs. 4). Seine Anordnungen kann das BSI mit Zwangsgeldern durchsetzen, die nach §63 BSIG bis zu 100.000 € betragen können. Daneben ist die nicht rechtzeitige Registrierung eine Ordnungswidrigkeit (§65 Abs. 2 Nr. 6 BSIG).

Bußgeldrahmen nach §65 BSIG — Sanktionen und Haftung

Das Sanktionssystem des NIS2UmsuCG ist nach Einrichtungskategorie und Art des Verstoßes gestaffelt. §65 BSIG legt Höchstgrenzen fest; innerhalb dieses Rahmens bemisst das BSI als zuständige Bußgeldbehörde die konkrete Geldbuße im Einzelfall. Für Einrichtungen, deren Unternehmen weltweit mehr als 500 Mio. € Gesamtumsatz erzielt, gilt für die schwersten Verstöße zusätzlich ein umsatzbezogener Höchstbetrag (§65 Abs. 6 bis 8).

Verstoß	Besonders wichtige Einrichtung	Wichtige Einrichtung
Risikomanagement: Maßnahmen und Dokumentation (§30 Abs. 1)	bis zu 10 Mio. €; bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % des weltweiten Gesamtumsatzes	bis zu 7 Mio. €; bei mehr als 500 Mio. € Gesamtumsatz bis zu 1,4 % des weltweiten Gesamtumsatzes
Meldepflichten (§32 Abs. 1 und 2)	bis zu 10 Mio. €; bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % des weltweiten Gesamtumsatzes	bis zu 7 Mio. €; bei mehr als 500 Mio. € Gesamtumsatz bis zu 1,4 % des weltweiten Gesamtumsatzes
Registrierung (§33 Abs. 1, §34 Abs. 1)	bis zu 500.000 €
Nichtbefolgung bestimmter vollziehbarer BSI-Anordnungen (u. a. nach §61 Abs. 3, 6, 7 und 8)	bis zu 500.000 €
Verweigerung von Zutritt, Unterlagen oder Auskünften bei einer Überprüfung (§61 Abs. 5 Satz 3)	bis zu 100.000 €

Die Höchstbeträge von 10 bzw. 7 Millionen Euro (bei großen Unternehmen bis zu 2 % bzw. 1,4 % des Gesamtumsatzes) gelten nach §65 Abs. 5 Satz 1 Nr. 1 BSIG unter anderem für Verstöße gegen §30 BSIG (Risikomanagement und dessen Dokumentation) und §32 BSIG (Meldepflichten) – also für die Pflichten, deren Umsetzung am aufwendigsten ist. Für Einrichtungen der Bundesverwaltung gilt §65 BSIG nicht (§29 Abs. 2 BSIG).

Neben Geldbußen sieht das Gesetz nicht-monetäre Maßnahmen vor: verbindliche Anordnungen zur Mängelbeseitigung, Anordnung von Audits durch unabhängige Stellen und – als letztes Mittel gegenüber besonders wichtigen Einrichtungen, die BSI-Anordnungen nicht befolgen – die vorübergehende Untersagung der Tätigkeit unzuverlässiger Geschäftsleitungen durch die zuständige Aufsichtsbehörde (§61 Abs. 9 BSIG).

Haftung der Geschäftsleitung: §38 Abs. 2 BSIG verweist für die Haftung auf das Gesellschaftsrecht: Geschäftsleitungen, die ihre Umsetzungs- und Überwachungspflichten verletzen, haften der eigenen Einrichtung für einen schuldhaft verursachten Schaden – etwa nach §93 AktG oder §43 GmbHG. Eine Haftung nach dem BSIG selbst kommt nur in Betracht, wenn das für die Rechtsform maßgebliche Gesellschaftsrecht keine entsprechende Regelung enthält. Die Bußgeldtatbestände des §65 BSIG knüpfen an die Pflichten der Einrichtung an; einen eigenen Tatbestand für Verstöße gegen §38 enthalten sie nicht.

Umsetzungsstand Deutschland 2026 — Wo die Praxis steht

Die offiziellen Registrierungszahlen zeigen, wie groß der Abstand zwischen gesetzlichem Anspruch und betrieblicher Realität noch ist.

Laut der BSI-Übersicht „NIS-2 in Zahlen“ hatten sich bis zum 30. September 2026 insgesamt 20.141 Einrichtungen im BSI-Portal nach NIS-2 registriert, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen; 1.447 der besonders wichtigen Einrichtungen sind KRITIS-Betreiber. Gemessen an der Schätzung von rund 29.500 betroffenen Einrichtungen fehlt damit rechnerisch weiterhin ein erheblicher Teil – wobei die Schätzung keine exakte Zählung ist und nicht jede rechnerische Lücke eine Pflichtverletzung bedeuten muss. In derselben Auswertung weist das BSI 1.272 NIS-2-Erstmeldungen von Sicherheitsvorfällen aus.

Die gesetzliche Frist für bereits bei Inkrafttreten betroffene Einrichtungen lief am 6. März 2026 ab. Eine versäumte Registrierung ist kein bloßer Formalfehler: Sie ist eine Ordnungswidrigkeit (§65 Abs. 2 Nr. 6 BSIG, Geldbuße bis zu 500.000 €), das BSI kann die Registrierung selbst vornehmen und Unterlagen verlangen (§33 Abs. 3 und 4), und seine Anordnungen kann es mit Zwangsgeld durchsetzen (§63 BSIG).

Parallel entwickelt sich das BSI-Portal weiter. Es ist seit dem 6. Januar 2026 freigeschaltet und bildet den zweiten Schritt der Registrierung nach dem Konto bei „Mein Unternehmenskonto“. Registrierte Einrichtungen finden dort Informationen und Hilfestellungen zu ihren gesetzlichen Pflichten, etwa zur Risikoanalyse, sowie die Tageslageberichte und IT-Sicherheitsmitteilungen des BSI; Schwachstellen können auch anonym und ohne Registrierung gemeldet werden. Die Befugnis des BSI, von besonders wichtigen Einrichtungen allgemein Nachweise anzufordern, greift erst frühestens drei Jahre nach Inkrafttreten, also ab Dezember 2028 (§61 Abs. 3 BSIG). Für Betreiber kritischer Anlagen legt das BSI den ersten Nachweiszeitpunkt nach §39 BSIG fest – frühestens drei Jahre, nachdem sie erstmals als Betreiber einer kritischen Anlage gelten.

Für Unternehmen, die noch keine Schritte unternommen haben, gilt: Die Registrierungspflicht besteht fort. Eine nachträgliche Registrierung beseitigt den bereits eingetretenen Fristverstoß nicht rückwirkend; wie das BSI im Einzelfall verfährt, liegt in seinem Ermessen. Wichtiger noch: Die Registrierung ist nur der administrative Einstieg – dahinter stehen die zehn Maßnahmenbereiche nach §30 BSIG, deren Einhaltung Einrichtungen dokumentieren müssen (§30 Abs. 1 Satz 3 BSIG).

Häufig gestellte Fragen

Muss ich mich beim BSI registrieren, wenn ich in mehreren EU-Ländern tätig bin?

In der Regel kommt es auf die Niederlassung an: Das BSI ist nach §59 BSIG für die in Deutschland niedergelassenen Einrichtungen zuständig. Für bestimmte digitale Einrichtungsarten – DNS-Diensteanbieter, TLD-Registries, Domain-Name-Registry-Dienstleister, Cloud- und Rechenzentrumsdienste, Content Delivery Networks, Managed (Security) Service Provider, Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke – gilt dagegen das Hauptniederlassungsprinzip: Das BSI ist zuständig, wenn sich die Hauptniederlassung in der EU in Deutschland befindet, und dann EU-weit zentral (§60 BSIG). Bei der Registrierung sind die EU-Mitgliedstaaten anzugeben, in denen die Einrichtung Dienste erbringt (§33 Abs. 1 Nr. 4).

Gilt das NIS2UmsuCG auch für Unternehmen mit weniger als 50 Beschäftigten?

Grundsätzlich nicht, wenn weder 50 Mitarbeiter noch ein Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. € erreicht werden (§28 Abs. 2 Nr. 3 BSIG). Größenunabhängig erfasst sind jedoch Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter (als besonders wichtige Einrichtungen) sowie sonstige Vertrauensdiensteanbieter und kleinere Anbieter öffentlicher Telekommunikationsnetze und -dienste (als wichtige Einrichtungen).

Kann ich die Registrierung noch nachholen?

Ja. Die Pflicht zur Registrierung besteht nach Fristablauf fort; die Registrierung ist unverzüglich nachzuholen. Das beendet den andauernden Verstoß, ändert aber nichts daran, dass die Frist versäumt wurde – ob und in welcher Höhe ein Bußgeld verhängt wird, liegt im Ermessen des BSI.

Welche Dokumentation reicht das BSI für §30 BSIG als Nachweis aus?

Das Gesetz schreibt keine bestimmte Dokumentationsform vor, verlangt aber, dass Einrichtungen die Einhaltung ihrer Verpflichtungen nach §30 Abs. 1 dokumentieren (§30 Abs. 1 Satz 3 BSIG); eine fehlende oder unvollständige Dokumentation ist selbst bußgeldbewehrt (§65 Abs. 2 Nr. 3). In der Praxis bieten sich schriftliche Richtlinien, ein Risikoregister mit Bewertungslogik, Schulungsnachweise, Incident-Response-Pläne mit dokumentierten Tests und Protokolle der Risikoanalysen an, die die zehn Maßnahmenbereiche nach §30 Abs. 2 nachvollziehbar abbilden.

Was passiert, wenn ein erheblicher Vorfall nicht innerhalb von 24 Stunden gemeldet wird?

Eine nicht rechtzeitige Meldung ist ein eigenständiger Bußgeldtatbestand (§65 Abs. 2 Nr. 4 i. V. m. §32 Abs. 1 BSIG). Der Rahmen reicht bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen; bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes. Das gilt unabhängig davon, wie der Vorfall selbst bewältigt wurde. Die Meldefrist beginnt mit der Kenntniserlangung vom erheblichen Sicherheitsvorfall, nicht mit dessen vollständiger Aufklärung.

Wie unterscheidet sich das NIS2UmsuCG vom bisherigen IT-Sicherheitsgesetz 2.0?

Das BSI-Gesetz in der Fassung des IT-SiG 2.0 (2021) regulierte nach Angaben des BSI etwa 4.500 Organisationen – insbesondere KRITIS-Betreiber, Anbieter digitaler Dienste und Unternehmen im besonderen öffentlichen Interesse. Das NIS2UmsuCG erweitert den Kreis auf schätzungsweise rund 29.500 Einrichtungen, führt die Kategorien der besonders wichtigen und wichtigen Einrichtungen ein, verankert ausdrückliche Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§38 BSIG) und gibt dem BSI ein breiteres Aufsichtsinstrumentarium, einschließlich anlassunabhängiger Überprüfungen besonders wichtiger Einrichtungen (§61 BSIG).

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Jurisdiktion und Organisationstyp variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

1. Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft — BSI Pressemitteilung, 05.12.2025
2. NIS-2-Pflichten — Bundesamt für Sicherheit in der Informationstechnik (BSI)
3. Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG) — gesetze-im-internet.de (Bundesministerium der Justiz)
4. § 65 BSIG – Bußgeldvorschriften — gesetze-im-internet.de
5. NIS-2 in Zahlen (Auswertung zum 30.09.2026) — Bundesamt für Sicherheit in der Informationstechnik (BSI)
6. § 61 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen — gesetze-im-internet.de
7. Zweiter Schritt zur NIS-2-Registrierung: BSI-Portal ab sofort freigeschaltet — BSI Pressemitteilung, 06.01.2026

Welche Befugnisse das Bundesamt als Aufsichtsbehörde im Einzelnen hat, wann es ohne Anlass prüfen darf und warum die vorübergehende Untersagung der Tätigkeit einer Geschäftsleitung nicht vom BSI ausgesprochen wird: BSI als NIS2-Aufsichtsbehörde – Befugnisse, Prüfungen und die Eskalationsstufen nach § 61 und § 62 BSIG.