Das neue BSI-Gesetz gilt seit Dezember 2025. Die gesetzliche Registrierungsfrist ist im März 2026 abgelaufen, die Nachfrist des BSI Ende Juli. Wer bis heute nicht geprüft hat, ob er betroffen ist, sollte das jetzt nachholen.
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Damit gilt ein weitgehend neu gefasstes BSI-Gesetz. Übergangsfristen für die Kernpflichten gibt es nicht.
Die gesetzliche Registrierungsfrist von drei Monaten endete am 6. März 2026. Weil sich zu diesem Zeitpunkt nur ein Bruchteil der geschätzt rund 30.000 betroffenen Einrichtungen gemeldet hatte, hat das BSI eine Nachfrist bis zum 31. Juli 2026 kommuniziert. Diese Nachfrist war eine Kulanzregelung, kein neuer gesetzlicher Stichtag – und sie ist inzwischen verstrichen.
Für Unternehmen, die bisher nichts unternommen haben, ändert das an der Handlungsempfehlung wenig: prüfen, registrieren, dokumentieren.
Das Gesetz erfasst 18 Sektoren, aufgeteilt in Einrichtungen hoher Kritikalität und sonstige kritische Sektoren. Dazu gehören unter anderem Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur, IT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum – sowie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe in bestimmten Kategorien, digitale Dienste und Forschung.
Gerade die Kategorie des verarbeitenden Gewerbes überrascht viele Mittelständler: Erfasst sind unter anderem Hersteller von Medizinprodukten, von elektrischen Ausrüstungen, von Datenverarbeitungsgeräten, von Maschinen sowie von Kraftfahrzeugen und Fahrzeugteilen.
Innerhalb eines erfassten Sektors entscheidet die Unternehmensgröße:
| Einstufung | Schwelle |
|---|---|
| Wichtige Einrichtung | ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme |
| Besonders wichtige Einrichtung | ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme |
Zu prüfen sind dabei nicht nur die eigenen Zahlen: Bei Konzern- und Beteiligungsstrukturen können verbundene Unternehmen mitgerechnet werden. Unabhängig von der Größe gelten einige Einrichtungsarten stets als erfasst, etwa qualifizierte Vertrauensdiensteanbieter und Betreiber öffentlicher Telekommunikationsnetze.
Die Registrierung läuft über das Meldeportal des BSI, das seit Januar 2026 in Betrieb ist. Voraussetzung ist ein ELSTER-Organisationszertifikat über „Mein Unternehmenskonto". Planen Sie dafür Vorlauf ein – die Beantragung dauert in der Praxis mehrere Tage.
Änderungen der gemeldeten Angaben sind unverzüglich, spätestens innerhalb von zwei Wochen nachzuziehen.
Das Risikomanagement nach § 30 BSIG verlangt Maßnahmen in zehn Bereichen – unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
Die Meldepflicht bei erheblichen Sicherheitsvorfällen ist dreistufig:
Diese Fristen laufen parallel zur DSGVO-Meldepflicht, nicht anstelle davon.
Allein die versäumte Registrierung kann mit einem Bußgeld von bis zu 500.000 Euro geahndet werden. Für Verstöße gegen die Risikomanagement- und Meldepflichten sieht das Gesetz je nach Einstufung bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes beziehungsweise bis zu 7 Mio. Euro oder 1,4 Prozent vor.
Besonders wichtige Einrichtungen müssen ab Dezember 2028 auf Verlangen des BSI Nachweise über die Umsetzung vorlegen. Das klingt weit weg – für den Aufbau eines belastbaren Managementsystems ist es das nicht.
Beginnen Sie mit einer schriftlichen Betroffenheitsbewertung, auch wenn das Ergebnis „nicht betroffen" lautet. Ein zweiseitiges Dokument mit Sektorzuordnung, Kennzahlen und Datum ist die günstigste Absicherung, die es in diesem Thema gibt – und die erste Frage, die ein Kunde in seinem Lieferantenfragebogen stellt.
Ja. Die Registrierungspflicht besteht als Dauerpflicht fort, sie erlischt nicht mit dem Fristablauf. Eine nachgeholte Registrierung beseitigt das Versäumnis zwar nicht rückwirkend, beendet aber den fortlaufenden Verstoß und ist bei der Bemessung eines Bußgeldes relevant. Das BSI kann die Registrierung im Übrigen auch von Amts wegen vornehmen.
Möglicherweise doch, und zwar über die Lieferkette. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferanten bewerten und reichen ihre Anforderungen vertraglich weiter. Wer Zulieferer oder IT-Dienstleister eines betroffenen Unternehmens ist, bekommt die Anforderungen als Fragebogen oder Vertragsklausel auf den Tisch – ohne selbst registrierungspflichtig zu sein.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie ist außerdem verpflichtet, an Schulungen zu Cybersicherheit teilzunehmen. Die Pflicht ist nicht delegierbar – ein IT-Dienstleister kann umsetzen, aber nicht verantworten.
Sie deckt einen großen Teil der geforderten Maßnahmen ab und ist als Nachweis anerkannt, ersetzt aber nicht die Registrierung, die Meldeprozesse und die spezifischen Anforderungen des BSIG. Umgekehrt gilt: Wer ein funktionierendes ISMS hat, muss für NIS-2 meist ergänzen statt neu aufbauen.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.