NIS2 vs. IT-Sicherheitsgesetz 2.0: Was sich für Unternehmen ändert

Viele Unternehmen, die bereits Erfahrung mit dem IT-Sicherheitsgesetz 2.0 gesammelt haben, stellen sich dieselbe Frage: Ist das NIS2UmsuCG nur eine Fortschreibung des bekannten Rahmens – oder ändert sich grundlegend etwas? Die Antwort ist eindeutig: Beide Gesetze verfolgen zwar dasselbe Ziel, den Schutz kritischer und wichtiger Infrastrukturen vor Cyberangriffen, doch der Ansatz, die betroffene Unternehmenszahl und die Konsequenzen bei Verstößen unterscheiden sich erheblich.

Dieser Leitfaden vergleicht das IT-Sicherheitsgesetz 2.0 (2021) mit dem NIS2UmsuCG (2025) im Detail: was aus dem alten Recht übernommen wurde, was komplett neu ist und was das für Unternehmen seit dem Inkrafttreten des neuen BSI-Gesetzes am 6. Dezember 2025 konkret bedeutet – eine Übergangsfrist für die Kernpflichten sieht das Gesetz nicht vor. Das gilt gleichermaßen für etablierte KRITIS-Betreiber, die ihre bestehenden Prozesse anpassen müssen, wie für Unternehmen, die erstmals durch die neuen, größenbasierten Schwellenwerte erfasst werden und bislang keinerlei Berührungspunkte mit dem BSIG hatten. Als Einstieg empfiehlt sich der NIS2-Grundlagen-Leitfaden, der den Gesamtrahmen der Richtlinie erklärt.

Was war das IT-Sicherheitsgesetz 2.0? Der Rechtsrahmen von 2021

Das IT-Sicherheitsgesetz 2.0 (Zweites Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme vom 18. Mai 2021, BGBl. I S. 1122) trat im Wesentlichen am 28. Mai 2021 in Kraft und änderte das BSI-Gesetz (BSIG) in seiner damaligen Fassung grundlegend. Es war die deutsche Antwort auf eine wachsende Bedrohungslage für kritische Infrastrukturen und – anders als das NIS2UmsuCG – ein nationales Vorhaben ohne neue europäische Vorgabe; das BSIG setzte zu diesem Zeitpunkt bereits die erste NIS-Richtlinie (EU) 2016/1148 um.

Der Kern des IT-SiG 2.0 war das etablierte KRITIS-Konzept: Betreiber kritischer Infrastrukturen wurden über die BSI-KritisV anhand sektorspezifischer, anlagenbezogener Schwellenwerte identifiziert. Diese orientieren sich in der Regel an rund 500.000 versorgten Personen – etwa 104 Megawatt installierte Nettonennleistung bei Stromerzeugungsanlagen oder 22 Millionen Kubikmeter Trinkwasser pro Jahr bei Wasserwerken. Die Zahl der Betroffenen blieb überschaubar: Laut BSI-Statistik „KRITIS in Zahlen“ waren zum Stichtag 30. Juni 2026 insgesamt 1.231 KRITIS-Betreiber mit 2.180 kritischen Anlagen registriert. Die häufig genannte Größenordnung von „rund 2.000“ bezieht sich also auf Anlagen, nicht auf Unternehmen – eine kleine, aber hochkritische Gruppe aus Energieversorgern, Krankenhäusern, Wasserbetrieben und vergleichbaren Einrichtungen.

Das IT-SiG 2.0 brachte drei wesentliche Neuerungen gegenüber der Vorgängerfassung:

• Neue Kategorie „Unternehmen im besonderen öffentlichen Interesse“ (UBI, § 2 Abs. 14 BSIG a. F.): Hersteller und Entwickler bestimmter Rüstungsgüter und von IT-Sicherheitsprodukten für staatliche Verschlusssachen, die nach inländischer Wertschöpfung größten Unternehmen und ihre wesentlichen Zulieferer sowie Betreiber von Betriebsbereichen der oberen Klasse nach der Störfall-Verordnung. Sie unterlagen – je nach Gruppe – einer Selbsterklärung zur IT-Sicherheit, einer Registrierungspflicht und Meldepflichten für bestimmte Störungen (§ 8f BSIG a. F.), also deutlich weniger Pflichten als KRITIS-Betreiber.
• Pflicht zu Systemen zur Angriffserkennung: KRITIS-Betreiber mussten ab dem 1. Mai 2023 Systeme zur Angriffserkennung einsetzen, die Bedrohungen fortwährend identifizieren und für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorsehen sollten (§ 8a Abs. 1a BSIG a. F.).
• Erweiterte BSI-Befugnisse: Das BSI erhielt mehr Kontroll- und Anordnungsrechte, Aufgaben im digitalen Verbraucherschutz (u. a. das IT-Sicherheitskennzeichen); zudem wurde der Kreis der kritischen Infrastrukturen um den Sektor Siedlungsabfallentsorgung erweitert und der Einsatz kritischer Komponenten einem Anzeige- und Untersagungsverfahren unterworfen (§ 9b BSIG a. F.).

Auch die Sanktionen wurden mit dem IT-SiG 2.0 deutlich verschärft: § 14 BSIG a. F. sah Bußgelder von bis zu 2 Millionen Euro (Verstöße gegen bestimmte vollziehbare Anordnungen) bzw. bis zu 1 Million Euro (u. a. fehlende Sicherheitsvorkehrungen oder Nachweise) vor; für diese Tatbestände verwies das Gesetz auf § 30 Abs. 2 Satz 3 OWiG, sodass sich das Höchstmaß gegenüber Unternehmen auf bis zu 20 Millionen bzw. 10 Millionen Euro verzehnfachte. Eine an den Umsatz gekoppelte Bußgeldobergrenze gab es nicht.

Warum wurde der Rahmen so grundlegend verschärft?

Zwischen dem Inkrafttreten des IT-SiG 2.0 im Mai 2021 und der Umsetzung von NIS2 liegen nur wenige Jahre – doch die Bedrohungslage hat sich in dieser Zeit sichtbar verändert. Ransomware-Angriffe auf mittelständische Zulieferer, Vorfälle in Lieferketten von Softwareanbietern und Angriffe auf kommunale Verwaltungen zeigten, dass Cybersicherheitsrisiken längst nicht mehr auf die klassischen KRITIS-Sektoren beschränkt sind. Ein Maschinenbauer ohne KRITIS-Status kann für seine Kunden ebenso systemrelevant sein wie ein Energieversorger – nur eben über die Lieferkette statt über die eigene Infrastruktur.

Auf europäischer Ebene kam ein zweites Motiv hinzu: Die ursprüngliche NIS-Richtlinie von 2016 war von den EU-Mitgliedstaaten sehr unterschiedlich umgesetzt worden, wodurch der Schutz kritischer Dienste im Binnenmarkt uneinheitlich blieb. NIS2 harmonisiert daher nicht nur die Schwellenwerte, sondern auch die Meldefristen, die Sicherheitsmaßnahmen und die Sanktionen EU-weit – ein Ziel, das ein rein nationales Gesetz wie das IT-SiG 2.0 naturgemäß nicht verfolgen konnte.

Sektorale Ausweitung: von 8 KRITIS-Sektoren auf 18 NIS-2-Sektoren

Ein oft übersehener Unterschied zwischen beiden Gesetzen liegt in der Anzahl der erfassten Wirtschaftszweige. § 2 Abs. 10 BSIG a. F. kannte nach dem IT-SiG 2.0 acht KRITIS-Sektoren: Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen sowie Siedlungsabfallentsorgung. „Staat und Verwaltung“ war zwar ein Sektor der nationalen KRITIS-Strategie, aber kein KRITIS-Sektor im Sinne des BSIG.

Die NIS-2-Richtlinie umfasst 18 Sektoren – elf in Anhang I und sieben in Anhang II. Das neue BSIG bildet sie in zwei Anlagen ab: Anlage 1 (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur einschließlich Managed (Security) Services sowie Weltraum) und Anlage 2 (Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe – darunter Medizinprodukte und Maschinenbau –, Anbieter digitaler Dienste sowie Forschung). Die öffentliche Verwaltung regelt das BSIG gesondert (§ 29 BSIG für die Bundesverwaltung). Wichtig: Die Anlage bestimmt nicht allein die Kategorie – Einrichtungen aus Anlage 1 können je nach Größe besonders wichtig oder wichtig sein, Einrichtungen aus Anlage 2 sind stets „wichtige Einrichtungen“. Zusammen mit dem größenbasierten Kriterium erklären vor allem die neuen Anlage-2-Sektoren, warum der Kreis der Betroffenen so stark wächst.

In der Praxis führt das häufig zu Unternehmen, die mit mehreren Tätigkeiten erfasst sind: Ein Lebensmittelhersteller, der zusätzlich einen Online-Marktplatz für Drittanbieter betreibt, kann sowohl unter „Produktion, Verarbeitung und Vertrieb von Lebensmitteln“ als auch unter „Anbieter digitaler Dienste“ fallen; Geschäftstätigkeiten, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind, können dabei unberücksichtigt bleiben (§ 28 Abs. 3 BSIG). Die Risikomanagementmaßnahmen nach § 30 BSIG müssen dann alle erfassten Tätigkeiten abdecken. Unter dem IT-SiG 2.0 wäre ein solches Unternehmen nur erfasst gewesen, wenn einzelne seiner Anlagen die hohen Schwellenwerte der BSI-KritisV im Sektor Ernährung erreicht hätten.

Was ändert das NIS2UmsuCG? Vom KRITIS-Ansatz zum größenbasierten Modell

Das NIS2UmsuCG (BGBl. 2025 I Nr. 301) setzt die europäische NIS2-Richtlinie (EU) 2022/2555 in deutsches Recht um. Sein Artikel 1 fasst das BSIG vollständig neu; das bisherige BSI-Gesetz von 2009 ist mit Ablauf des 5. Dezember 2025 außer Kraft getreten (Art. 29). Statt allein technischer, anlagenbezogener Schwellenwerte gilt jetzt zusätzlich ein größenbasiertes Kriterium (§ 28 BSIG):

• Besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG): Betreiber kritischer Anlagen (unabhängig von der Größe) sowie Einrichtungen einer in Anlage 1 genannten Einrichtungsart mit mindestens 250 Mitarbeitenden oder einem Jahresumsatz von über 50 Mio. Euro und einer Jahresbilanzsumme von über 43 Mio. Euro; daneben größenunabhängig u. a. qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter
• Wichtige Einrichtungen (§ 28 Abs. 2 BSIG): Einrichtungen einer in Anlage 1 oder Anlage 2 genannten Einrichtungsart mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. Euro, sofern sie nicht bereits besonders wichtig sind

Die Folge dieser Umstellung ist eine massive Ausweitung des Anwendungsbereichs: Die Gesetzesbegründung (BT-Drs. 21/1501) geht davon aus, dass künftig rund 8.250 besonders wichtige und rund 21.600 wichtige Einrichtungen erfasst sind – zusammen rund 29.850. Bislang ging sie von rund 6.000 registrierten KRITIS-Betreibern und UBI aus. Betroffen sind nun nicht mehr nur Energieversorger und Krankenhäuser, sondern auch mittelständische Maschinenbauer, Chemieunternehmen, Lebensmittelhersteller und digitale Dienstleister, die unter dem IT-SiG 2.0 allenfalls als UBI oder gar nicht erfasst waren. Eine vollständige Übersicht, wer konkret betroffen ist, liefert der Anwendungsbereich-Leitfaden.

Wichtig: KRITIS als Konzept verschwindet dabei nicht. Aus den „Betreibern Kritischer Infrastrukturen“ werden „Betreiber kritischer Anlagen“; sie gelten stets als besonders wichtige Einrichtung (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG) und tragen zusätzliche Pflichten, etwa nach §§ 31 und 39 BSIG. Bis die neue Rechtsverordnung nach dem KRITIS-Dachgesetz in Kraft tritt, bestimmt sich nach der Übergangsregel des § 66 BSIG weiterhin nach bisherigem Recht und der BSI-KritisV, welche Anlagen kritisch sind. Details zu diesem Zusammenspiel finden Sie im NIS2 vs. KRITIS-Leitfaden.

IT-Sicherheitsgesetz 2.0 vs. NIS2UmsuCG im Überblick

Merkmal	IT-SiG 2.0 (2021)	NIS2UmsuCG (2025)
Rechtsgrundlage	Nationales Änderungsgesetz zum BSIG (das BSIG setzte bereits die NIS-Richtlinie 2016/1148 um)	Umsetzung der EU-Richtlinie 2022/2555 (NIS2); BSIG vollständig neu gefasst
Identifikationskriterium	Anlagenbezogene Schwellenwerte (BSI-KritisV); UBI nach § 2 Abs. 14 BSIG a. F.	Größenbasiert (Mitarbeitende oder Umsatz und Bilanzsumme) plus Einrichtungsart; KRITIS-Schwellenwerte für Betreiber kritischer Anlagen
Betroffene Einrichtungen (DE)	1.231 registrierte KRITIS-Betreiber mit 2.180 Anlagen (BSI, Stand 30.06.2026); Gesetzesbegründung: rund 6.000 KRITIS-Betreiber und UBI registriert	ca. 29.850 Einrichtungen (rund 8.250 besonders wichtige + 21.600 wichtige, BT-Drs. 21/1501)
Erfasste Sektoren	8 KRITIS-Sektoren (§ 2 Abs. 10 BSIG a. F.)	18 Sektoren der NIS-2-Richtlinie, im BSIG in Anlage 1 und 2 abgebildet
Unternehmen im besonderen öffentlichen Interesse	Eigene Kategorie mit Selbsterklärungs-, Registrierungs- und Meldepflichten (§ 8f BSIG a. F.)	Kategorie entfällt; geht in besonders wichtigen und wichtigen Einrichtungen auf
Lieferkettensicherheit	Keine allgemeine Pflicht; punktuell Anzeige- und Untersagungsverfahren für kritische Komponenten (§ 9b BSIG a. F.)	Verpflichtend, § 30 Abs. 2 Nr. 4 BSIG
Pflichten der Geschäftsführung	Keine ausdrückliche Organpflicht im BSIG	Umsetzungs- und Überwachungspflicht + regelmäßige Schulungen, § 38 BSIG
Meldefristen	Unverzügliche Meldung, keine feste Stufung	Dreistufig: 24 Std. / 72 Std. / 1 Monat (§ 32 BSIG)
Bußgeldrahmen	bis 1 Mio. € (Sicherheitsvorkehrungen) bzw. 2 Mio. € (Anordnungen); gegenüber Unternehmen bis zum Zehnfachen (§ 30 Abs. 2 S. 3 OWiG)	bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen); bei über 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes (§ 65 BSIG)
Angriffserkennung	Pflicht für KRITIS ab 1. Mai 2023 (§ 8a Abs. 1a BSIG a. F.)	Weiterhin Pflicht für Betreiber kritischer Anlagen (§ 31 Abs. 2 BSIG); für übrige Einrichtungen keine ausdrückliche Pflicht
Nachweise	KRITIS-Betreiber alle zwei Jahre (§ 8a Abs. 3 BSIG a. F.)	Betreiber kritischer Anlagen alle drei Jahre (§ 39 BSIG); bei anderen Einrichtungen Prüfungen und Nachweise auf Anordnung des BSI
Zuständige Behörde	BSI (Energie und Telekommunikation zusätzlich nach EnWG/TKG)	BSI (Energie und Telekommunikation weitgehend nach EnWG/TKG, Finanzunternehmen nach DORA)

Was bleibt bestehen?

Trotz der grundlegenden Umstellung übernimmt das NIS2UmsuCG mehrere zentrale Elemente aus dem IT-SiG 2.0 unverändert oder nahezu unverändert:

1. Das BSI bleibt zentrale Aufsichtsbehörde. Deutschland bündelt die Cybersicherheitsaufsicht weiterhin beim BSI – mit sektorspezifischen Besonderheiten: Für Betreiber öffentlicher Telekommunikationsnetze und -dienste sowie für Energieanlagen und -netze nach §§ 5c bis 5e EnWG gelten zentrale BSIG-Pflichten nicht, stattdessen greifen TKG bzw. EnWG (§ 28 Abs. 5 BSIG); für Finanzunternehmen geht DORA vor (§ 28 Abs. 6 BSIG).
2. Das KRITIS-Konzept bleibt erhalten. Die BSI-KritisV mit ihren anlagenbezogenen Schwellenwerten gilt nach der Übergangsregel des § 66 BSIG fort, bis die neue Rechtsverordnung nach dem KRITIS-Dachgesetz in Kraft tritt. Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft und regelt die physische Resilienz kritischer Anlagen (Zuständigkeit BBK) – mehr dazu im NIS2-Deutschland-Leitfaden.
3. Systeme zur Angriffserkennung bleiben Pflicht – für Betreiber kritischer Anlagen. Was das IT-SiG 2.0 für KRITIS-Betreiber einführte, schreibt § 31 Abs. 2 BSIG nahezu wortgleich fort. Für die übrigen besonders wichtigen und wichtigen Einrichtungen enthält § 30 BSIG keine ausdrückliche Pflicht zu Systemen zur Angriffserkennung; sie müssen aber u. a. Sicherheitsvorfälle bewältigen können (§ 30 Abs. 2 Nr. 2 BSIG).
4. Die Kategorie „Unternehmen im besonderen öffentlichen Interesse“ entfällt dagegen. Nach der Gesetzesbegründung gehen die UBI in den besonders wichtigen und wichtigen Einrichtungen auf. Viele ehemalige UBI erfüllen die NIS2-Größenschwellen und Sektorkriterien; wer sie nicht erfüllt, ist nach dem BSIG nicht mehr erfasst. Die genaue Einordnung sollte im Einzelfall rechtlich geprüft werden.

Was ist wirklich neu? Lieferkette, Haftung und Bußgeldstaffel

Lieferkettensicherheit: von unverbindlich zu verpflichtend

Das IT-SiG 2.0 kannte keine allgemeine, eigenständige Pflicht zur Bewertung von Lieferketten-Risiken. Betreiber mussten primär die Sicherheit der eigenen Systeme nachweisen; Zulieferer und Dienstleister blieben weitgehend außen vor. Eine Ausnahme bildete das Anzeige- und Untersagungsverfahren für kritische Komponenten in kritischen Infrastrukturen (§ 9b BSIG a. F.).

Das NIS2UmsuCG ändert das grundlegend: § 30 Abs. 2 Nr. 4 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen ausdrücklich zu Maßnahmen für die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. Das umfasst in der Praxis unter anderem:

• Bewertung der Cybersicherheits-Praktiken direkter Zulieferer
• Vertragliche Absicherung von Sicherheitsanforderungen gegenüber Dienstleistern
• Berücksichtigung von Schwachstellen in Hard- und Software-Komponenten der Lieferkette

Praktisch bedeutet das: Auch Unternehmen, die selbst nicht direkt NIS2-pflichtig sind, spüren die Wirkung – weil ihre Kunden vertragliche Sicherheitsnachweise einfordern, die es unter dem IT-SiG 2.0 in dieser Form nicht gab.

Persönliche Haftung: von Unternehmenspflicht zu Organpflicht

Unter dem IT-SiG 2.0 richteten sich Bußgelder und Nachweispflichten primär an das Unternehmen als juristische Person. Eine explizite persönliche Verantwortung der Geschäftsführung für Cybersicherheitsmaßnahmen war gesetzlich nicht ausdrücklich verankert.

Das NIS2UmsuCG führt mit Art. 20 NIS2 / § 38 BSIG eine echte Organpflicht ein: Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen (§ 38 Abs. 1 BSIG). Verletzt sie diese Pflichten, haftet sie der Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform (§ 38 Abs. 2 BSIG). Zusätzlich gilt eine Schulungspflicht – die Geschäftsleitung muss regelmäßig an Schulungen zur Informationssicherheit teilnehmen (§ 38 Abs. 3 BSIG); ein festes Intervall schreibt das Gesetz nicht vor. Diese Verschärfung war unter dem IT-SiG 2.0 in dieser Form nicht vorgesehen.

Ein oft unterschätzter Nebeneffekt betrifft die D&O-Versicherung (Directors-and-Officers-Versicherung) der Geschäftsleitung: Viele bestehende Policen wurden auf Basis des alten Pflichtenrahmens abgeschlossen und bilden die neue, ausdrückliche Umsetzungs- und Überwachungspflicht möglicherweise nicht vollständig ab. Unternehmen, die unter dem IT-SiG 2.0 keine vergleichbare Organpflicht kannten, sollten ihre D&O-Deckung im Lichte des § 38 BSIG überprüfen lassen.

Bußgeldstaffel: von einheitlichen Höchstbeträgen zu kategorie- und umsatzbezogenen Obergrenzen

Das IT-SiG 2.0 sah für fehlende Sicherheitsvorkehrungen oder Nachweise Bußgelder von bis zu 1 Million Euro und für Verstöße gegen bestimmte vollziehbare Anordnungen bis zu 2 Millionen Euro vor – unabhängig von der Größe des Unternehmens. Durch den Verweis auf § 30 Abs. 2 Satz 3 OWiG konnte gegen Unternehmen das Zehnfache verhängt werden, also bis zu 10 bzw. 20 Millionen Euro. Für Meldeverstöße lag das Höchstmaß bei 500.000 Euro.

Das NIS2UmsuCG staffelt die Höchstbeträge für die Kernpflichten (u. a. Risikomanagementmaßnahmen und Dokumentation nach § 30, Meldungen nach § 32) nach Einrichtungskategorie und koppelt sie für große Unternehmen an den Umsatz (§ 65 Abs. 5 bis 8 BSIG):

• Besonders wichtige Einrichtungen: bis zu 10 Mio. Euro; bei einem Gesamtumsatz von mehr als 500 Mio. Euro bis zu 2 % des weltweiten Gesamtumsatzes
• Wichtige Einrichtungen: bis zu 7 Mio. Euro; bei einem Gesamtumsatz von mehr als 500 Mio. Euro bis zu 1,4 % des weltweiten Gesamtumsatzes

Maßgeblich ist der weltweite Umsatz des Unternehmens, dem die Einrichtung angehört (§ 65 Abs. 8 BSIG). Für Meldeverstöße drohen damit deutlich höhere Bußgelder als bisher; zudem ist die Halbierung des Höchstmaßes bei Fahrlässigkeit (§ 17 Abs. 2 OWiG) für die Kernpflichten ausgeschlossen (§ 65 Abs. 9 BSIG). Wer nicht registriert ist, riskiert bis zu 500.000 Euro.

Ein Rechenbeispiel verdeutlicht den Unterschied: Für einen Industriekonzern mit 800 Mio. Euro weltweitem Jahresumsatz, der als besonders wichtige Einrichtung eingestuft wird, liegt die Obergrenze für Verstöße gegen § 30 BSIG bei bis zu 16 Mio. Euro (2 % des Umsatzes). War er bereits KRITIS-Betreiber, lag die Obergrenze für fehlende Sicherheitsvorkehrungen bisher bei bis zu 10 Mio. Euro (1 Mio. Euro, verzehnfacht). Für kleinere Einrichtungen bleibt dagegen der feste Höchstbetrag von 10 bzw. 7 Mio. Euro die maßgebliche Obergrenze – und viele von ihnen waren bisher überhaupt nicht bußgeldbewehrt verpflichtet.

Praktische Schritte für Unternehmen im Übergang

Wenn Sie bereits KRITIS-Betreiber unter dem IT-SiG 2.0 waren:

1. Bestehende Angriffserkennung prüfen: Systeme zur Angriffserkennung bleiben nach § 31 Abs. 2 BSIG Pflicht und können zugleich Teile der Maßnahmen nach § 30 Abs. 2 BSIG abdecken – gleichen Sie ab, was noch fehlt.
2. Lieferkettenrisiken erstmals systematisch erfassen: Erstellen Sie ein Register Ihrer kritischen Zulieferer und bewerten Sie deren Cybersicherheits-Reife – eine allgemeine Pflicht, die unter dem IT-SiG 2.0 nicht bestand.
3. Geschäftsführung einbinden: Dokumentieren Sie, wie die Geschäftsleitung die Umsetzung der Risikomanagementmaßnahmen steuert und überwacht, und planen Sie die Schulungen nach § 38 Abs. 3 BSIG ein.
4. Nachweiszyklus beachten: Der Nachweis gegenüber dem BSI erfolgt künftig alle drei Jahre (§ 39 BSIG). Für bisherige KRITIS-Betreiber legt das BSI den ersten Termin frühestens drei Jahre nach dem letzten Nachweis nach altem Recht fest (§ 39 Abs. 3 BSIG).
5. Bußgeldrisiko neu bewerten: Prüfen Sie den neuen Bußgeldrahmen – bei Konzernen mit mehr als 500 Mio. Euro Gesamtumsatz kann die umsatzbezogene Obergrenze höher ausfallen als unter der bisherigen Rechtslage.
6. Meldeprozesse an die neue Fristenstruktur anpassen: Wo das IT-SiG 2.0 lediglich eine unverzügliche Meldung verlangte, ist jetzt ein dokumentierter Prozess für die drei Meldestufen 24 Stunden, 72 Stunden und einen Monat erforderlich.

Wenn Sie erstmals durch die größenbasierten NIS2-Schwellen erfasst werden:

1. Betroffenheit klären: Prüfen Sie anhand der Einrichtungsart (Anlage 1 oder 2 BSIG), der Mitarbeiterzahl sowie von Jahresumsatz und Jahresbilanzsumme, ob Ihre Einrichtung als besonders wichtige oder wichtige Einrichtung gilt.
2. Bei null anfangen, nicht bei KRITIS-Erfahrung: Einrichtungen, die bisher keine BSIG-Pflichten hatten, benötigen in der Regel ein vollständig neues Risikomanagementkonzept nach § 30 BSIG – Vorlagen und Checklisten finden Sie im Vorlagen-Bereich.
3. BSI-Registrierung vornehmen: Die Registrierungsfrist nach § 33 BSIG endete für bereits bei Inkrafttreten erfasste Einrichtungen am 6. März 2026. Wer noch nicht registriert ist, sollte dies unverzüglich über das BSI-Portal nachholen; eine unterlassene Registrierung kann mit bis zu 500.000 Euro geahndet werden.
4. Lieferanten-Anfragen einplanen: Wenn Ihre Kunden selbst NIS2-pflichtig sind, werden Sie absehbar mit vertraglichen Sicherheitsanforderungen konfrontiert – auch wenn Sie die NIS2-Schwellen selbst nicht erreichen.

Häufige Fragen zu IT-SiG 2.0 und NIS2UmsuCG

Hebt das NIS2UmsuCG das IT-Sicherheitsgesetz 2.0 vollständig auf?
Das IT-SiG 2.0 war ein Änderungsgesetz; seine Änderungen am BSIG sind mit dem alten BSI-Gesetz außer Kraft getreten, das Art. 29 NIS2UmsuCG mit Ablauf des 5. Dezember 2025 aufgehoben hat. An seine Stelle tritt das vollständig neu gefasste BSIG. Zentrale Elemente wie das KRITIS-Konzept (jetzt „Betreiber kritischer Anlagen“) und die Pflicht zur Angriffserkennung (§ 31 Abs. 2 BSIG) bleiben inhaltlich erhalten und werden in den neuen, breiteren Rahmen integriert.

Gilt für mein Unternehmen jetzt automatisch das strengere Bußgeldregime, wenn ich vorher unter IT-SiG 2.0 fiel?
In der Regel ja. Betreiber kritischer Anlagen gelten als besonders wichtige Einrichtungen (§ 28 Abs. 1 Satz 1 Nr. 1 BSIG) und unterliegen damit bei Verstößen gegen die Kernpflichten einem Bußgeldrahmen von bis zu 10 Mio. Euro – bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 2 % des weltweiten Gesamtumsatzes. Für Betreiber von Telekommunikationsnetzen und Energieanlagen nach §§ 5c bis 5e EnWG gelten wesentliche Pflichten dagegen nach TKG bzw. EnWG (§ 28 Abs. 5 BSIG).

Muss ich als bisheriges UBI-Unternehmen jetzt zusätzlich NIS2-Pflichten erfüllen?
Die Kategorie UBI gibt es im neuen BSIG nicht mehr; sie geht in den besonders wichtigen und wichtigen Einrichtungen auf. Ob ein ehemaliges UBI erfasst ist, hängt allein davon ab, ob es einer Einrichtungsart nach Anlage 1 oder 2 BSIG zuzuordnen ist und die Größenschwellen erreicht. Viele ehemalige UBI dürften diese Kriterien erfüllen. Eine Einzelfallprüfung ist hier ratsam.

War die Lieferkettensicherheit unter IT-SiG 2.0 wirklich komplett unreguliert?
Nicht vollständig unreguliert – für kritische Komponenten in kritischen Infrastrukturen gab es ein Anzeige- und Untersagungsverfahren (§ 9b BSIG a. F.), aber keine allgemeine, eigenständige gesetzliche Pflicht, wie sie jetzt in § 30 Abs. 2 Nr. 4 BSIG verankert ist. Das NIS2UmsuCG macht Lieferkettenrisiko-Management erstmals zu einer klar benannten Kernpflicht.

Ist die neue Bußgeldstaffel in jedem Fall teurer als die alte?
Nicht unbedingt. Schon unter dem IT-SiG 2.0 konnten Unternehmen durch den Verweis auf § 30 Abs. 2 Satz 3 OWiG mit bis zu 10 Mio. Euro (fehlende Sicherheitsvorkehrungen) bzw. 20 Mio. Euro (Verstöße gegen Anordnungen) belegt werden. Neu sind vor allem der deutlich größere Kreis bußgeldbewehrter Einrichtungen, höhere Obergrenzen für Meldeverstöße und die umsatzbezogene Obergrenze für Unternehmen mit mehr als 500 Mio. Euro Gesamtumsatz, die bei sehr großen Konzernen über den früheren Höchstbeträgen liegen kann.

Warum sind jetzt auch Branchen wie Maschinenbau oder Lebensmittelproduktion betroffen, die unter IT-SiG 2.0 gar keine Rolle spielten?
Die NIS-2-Richtlinie erweitert die erfassten Sektoren auf 18 und ergänzt mit Anhang II (im BSIG: Anlage 2) gezielt Branchen wie verarbeitendes Gewerbe, Chemie, Lebensmittel und digitale Dienste. Unter dem anlagenbezogenen KRITIS-Ansatz des IT-SiG 2.0 waren solche Unternehmen nur erfasst, wenn sie hohe Schwellenwerte erreichten (etwa im Sektor Ernährung) oder als UBI galten. Nach dem größenbasierten Modell sind sie erfasst, sobald die Mitarbeiterschwelle oder die Umsatz- und Bilanzschwelle erreicht ist.

Quellen

• BSIG (aktuelle Fassung nach NIS2UmsuCG) – Bundesministerium der Justiz
• NIS2UmsuCG, BGBl. 2025 I Nr. 301 – Bundesgesetzblatt
• Gesetzentwurf der Bundesregierung zum NIS2UmsuCG, BT-Drs. 21/1501 – Deutscher Bundestag
• NIS2-Richtlinie 2022/2555/EU – Amtsblatt der EU
• BSI: IT-Sicherheitsgesetz 2.0 – Bundesamt für Sicherheit in der Informationstechnik
• BSI: KRITIS in Zahlen – Bundesamt für Sicherheit in der Informationstechnik
• BSI: NIS-2-regulierte Unternehmen – Bundesamt für Sicherheit in der Informationstechnik
• OpenKRITIS – Informationsplattform zu KRITIS in Deutschland

Hinweis: Die Inhalte dieser Seite dienen ausschließlich der allgemeinen Information. Sie stellen keine Rechts-, Steuer- oder Fachberatung dar und ersetzen diese nicht. Für die Anwendung auf Ihren konkreten Fall konsultieren Sie bitte einen qualifizierten Berater.