NIS2 Umsetzungsstand 2026: Das Gesetz gilt – diese Fristen laufen jetzt

Inhalt in Kürze

• Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und ist seit 6. Dezember 2025 in Kraft – ohne Übergangsfrist.
• Statt bisher rund 4.500 Organisationen fallen jetzt rund 29.850 Einrichtungen (BT-Drs. 21/1501) unter die BSI-Aufsicht.
• Betroffene müssen sich innerhalb von drei Monaten beim BSI registrieren (§ 33/34 BSIG); das Registrierungsportal ist seit 6. Januar 2026 offen.
• Die Meldefristen sind gestaffelt: 24 Stunden frühe Erstmeldung, 72 Stunden Meldung mit erster Bewertung, ein Monat nach dieser Meldung die Abschlussmeldung (§ 32 Abs. 1 BSIG).

Jahrelang hieß es: “NIS2 kommt irgendwann.” Seit dem 6. Dezember 2025 gilt das Gesetz. Die Pflichten sind scharf gestellt, die Aufsicht läuft – und viele Geschäftsführer haben den Stichtag verpasst. Dieser Beitrag bringt Sie auf den aktuellen Stand: Was gilt jetzt, welche Fristen laufen, und was müssen Sie konkret tun.

NIS2-Umsetzungsstand 2026: Das Gesetz ist da

Die EU-Richtlinie NIS2 (EU 2022/2555) musste eigentlich bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. Deutschland hat diese Frist – wie die Mehrheit der EU-Staaten – deutlich gerissen. Der Bruch der Ampel-Koalition, Neuwahlen und Überarbeitungen zogen den Prozess in die Länge.

Erst gut ein Jahr später kam der Durchbruch: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 5. Dezember 2025 verkündet. Laut Pressemitteilung des BSI trat es am Folgetag, dem 6. Dezember 2025, in Kraft.

Das Kernstück: ein komplett überarbeitetes BSI-Gesetz (BSIG). Damit wächst der Kreis der regulierten Einrichtungen von rund 4.500 auf rund 29.850 Einrichtungen (BT-Drs. 21/1501) in 18 Sektoren – 8.250 besonders wichtige und 21.600 wichtige Einrichtungen.

Keine Übergangsfrist – das ist der wichtigste Punkt

Viele Unternehmer rechneten mit einer Schonfrist von einem oder zwei Jahren. Die gibt es nicht. Das Gesetz gilt ab Tag eins ohne Übergangszeit. Die Kanzlei Advant Beiten weist ausdrücklich darauf hin: Die Pflichten greifen unmittelbar.

Konkret bedeutet das: Wer am 6. Dezember 2025 betroffen war, hätte die Risikomanagement-Maßnahmen aus § 30 BSIG eigentlich schon umgesetzt haben müssen. In der Praxis prüft das BSI risikoorientiert und nicht flächendeckend ab Tag eins – aber rechtlich besteht kein Aufschub.

Wer ist jetzt betroffen?

Das BSIG unterscheidet drei Gruppen:

Die Größenschwellen aus § 28 BSIG sind der erste Filter. Daneben gibt es Sonderfälle (z. B. TK-Anbieter, Vertrauensdiensteanbieter, DNS-Dienste), die unabhängig von der Größe erfasst werden. Wer unsicher ist, sollte zuerst eine NIS2-Betroffenheitsanalyse durchführen.

Es trifft auch die kleineren Unternehmen, die nicht direkt unter NIS2 fallen – aber aufgrund der Lieferkette ein wichtiger Bestandteil sind. Die bekommen die Anforderungen über ihre großen Kunden durchgereicht.

Nils OehmichenDatenschutzberater bei frag.hugo

Welche Fristen laufen jetzt?

Drei Fristen sind sofort relevant:

1. Registrierung beim BSI: Spätestens drei Monate, nachdem Sie erstmals als regulierte Einrichtung gelten (§ 33 Abs. 1, § 34 Abs. 1 BSIG). Das Portal ist seit 6. Januar 2026 erreichbar. Empfohlen wird zuvor ein "Mein Unternehmenskonto" (MUK).
2. Frühwarnung bei erheblichen Vorfällen: Innerhalb von 24 Stunden nach Kenntnis (§ 32 BSIG).
3. Folge- und Abschlussmeldung: 72 Stunden für die Meldung mit erster Bewertung, danach ein Monat für die Abschlussmeldung — gerechnet ab der 72-Stunden-Meldung, nicht ab dem Vorfall. Eine Zwischenmeldung nur auf Ersuchen des Bundesamts.

Diese dreistufige Meldepflicht ist im BSI-Infopaket zur NIS-2-Meldepflicht im Detail beschrieben. Wer noch nicht registriert ist, kann einen Vorfall übergangsweise per Online-Formular melden.

Was Geschäftsführer jetzt konkret tun müssen

§ 38 BSIG nimmt die Leitungsorgane direkt in die Pflicht: Sie müssen die Risikomanagement-Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (Abs. 1) und sich selbst schulen lassen (Abs. 3). Verstöße können zur persönlichen Haftung führen. Die Details lesen Sie in unserem Beitrag zur NIS2-Geschäftsführerhaftung nach § 38.

• Betroffenheit prüfen. Größenschwellen und Sektor abgleichen, Ergebnis dokumentieren.
• Beim BSI registrieren. Frist von drei Monaten beachten, MUK-Konto anlegen.
• Risikomanagement aufsetzen. Die zehn Mindestmaßnahmen aus § 30 BSIG umsetzen.
• Meldeprozess etablieren. Wer meldet wann an wen? 24/72-Stunden-Kette einüben.
• Geschäftsleitung schulen. Schulungspflicht aus § 38 erfüllen, mindestens alle drei Jahre wiederholen.
• Lieferkette absichern. Auch ohne direkte Betroffenheit reichen Kunden Anforderungen durch.

Ihr nächster Schritt

NIS2 ist kein Projekt für “irgendwann”. Die Fristen laufen bereits. Wir helfen Ihnen, Betroffenheit, Registrierung und die zehn Pflichtmaßnahmen pragmatisch abzuarbeiten – ohne Ihren Betrieb lahmzulegen.

Sie sind über die Lieferkette betroffen? Dann ist unser Hugo Shield für NIS2-Lieferketten-Compliance der richtige Einstieg. Für den strukturierten Aufbau Ihrer Informationssicherheit lohnt sich ein Blick auf Hugo ISMS.

Häufige Fragen (FAQ)

Seit wann gilt NIS2 in Deutschland?

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 5. Dezember 2025 verkündet und ist seit dem 6. Dezember 2025 in Kraft. Eine Übergangsfrist gibt es nicht – die Pflichten gelten unmittelbar.

Wie viele Unternehmen sind von NIS2 betroffen?

Die Bundesregierung beziffert den Kreis der betroffenen Einrichtungen auf rund 29.850 (BT-Drs. 21/1501) – 8.250 besonders wichtige und 21.600 wichtige Einrichtungen in 18 Sektoren. Zuvor waren es etwa 4.500 Organisationen.

Bis wann muss ich mich beim BSI registrieren?

Betroffene Einrichtungen müssen sich innerhalb von drei Monaten registrieren, nachdem sie erstmals als regulierte Einrichtung gelten (§ 33/34 BSIG). Das Registrierungsportal des BSI ist seit dem 6. Januar 2026 geöffnet.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Erhebliche Sicherheitsvorfälle müssen dreistufig gemeldet werden: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser 72-Stunden-Meldung (§ 32 Abs. 1 BSIG). Adressat ist die gemeinsame Meldestelle von BSI und BBK.

Haftet der Geschäftsführer persönlich?

Ja. § 38 BSIG verpflichtet die Leitungsorgane, die Risikomanagement-Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen (Abs. 1) sowie sich selbst schulen zu lassen (Abs. 3). Bei Pflichtverletzungen droht die persönliche Haftung.