Zusammengefasst: Das NIS2UmsuCG ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Die reguläre Registrierungsfrist beim BSI endete am 6. März 2026, eine Nachfrist lief bis zum 31. Juli 2026. Rund 29.500 Unternehmen fallen jetzt unter die BSI-Aufsicht – vor NIS2 waren es rund 4.500. NIS2-Umsetzung in Deutschland: der aktuelle Stand Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 geltendes Recht in Deutschland. NIS2 in Deutschland bedeutet damit: Der offizielle Name lautet Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, kurz NIS2UmsuCG. Es novelliert vor allem das BSI-Gesetz (BSIG) und ergänzt Regelungen im Energiewirtschaftsgesetz (EnWG). Damit erweitert es den Kreis der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) beaufsichtigten Einrichtungen von bislang rund 4.500 auf über 29.500. Rechtlich basiert das NIS2-Umsetzungsgesetz auf der EU-Richtlinie 2022/2555. Sie löst die erste NIS-Richtlinie aus dem Jahr 2016 ab und erweitert deren Anwendungsbereich erheblich: von reinen Betreibern kritischer Infrastrukturen auf Unternehmen aus insgesamt 15 Sektoren, darunter digitale Dienste, digitale Infrastruktur und die Bundesverwaltung. Kommunen sind von der finalen Fassung des NIS2UmsuCG nicht erfasst: Anders als in früheren Entwürfen diskutiert, beschränkt sich die Regulierung öffentlicher Verwaltung im Ergebnis auf die Bundesebene. Betroffene Unternehmen mussten sich bis zum 6. März 2026 im BSI-Portal registrieren. Diese Frist ist abgelaufen. Wer sich noch nicht registriert hat, musste dies laut aktueller Information des BSI spätestens bis zum 31. Juli 2026 nachholen. Details zu Ablauf und Konsequenzen einer verpassten Registrierung finden Sie im Artikel zur NIS2-Registrierung. Für Unternehmen bedeutet das: NIS2 ist keine Zukunftsfrage mehr, sondern geltendes Recht mit laufenden Pflichten. Die wichtigsten Eckdaten auf einen Blick: 31. Juli 2026 Nachfrist für Registrierung 6. März 2026 Ablauf reguläre Registrierungsfrist 6. Januar 2026 Freischaltung BSI-Registrierungsportal 6. Dezember 2025 Inkrafttreten NIS2UmsuCG Der Weg zum Gesetz: Zeitstrahl vom Entwurf bis zum Inkrafttreten Bis zur finalen Fassung hat das NIS2UmsuCG einen ungewöhnlich langen Gesetzgebungsprozess durchlaufen. Die zugrunde liegende EU-Richtlinie (EU) 2022/2555 trat bereits am 16. Januar 2023 in Kraft. Die Mitgliedstaaten hatten ursprünglich bis zum 17. Oktober 2024 Zeit, sie in nationales Recht zu überführen. 03.07.2023 Referentenentwurf, Bearbeitungsstand 03.07.2023 Erste ausführliche Fassung des Bundesinnenministeriums, öffentlich diskutiert. 2 2024 Weitere Referentenentwürfe 2024 Ein überarbeiteter Entwurf mit Bearbeitungsstand 03.04.2024 wurde im Mai 2024 öffentlich bekannt. Die ursprünglich für März 2024 geplante Veröffentlichung verzögerte sich mehrfach. 3 2025 Diskontinuität durch Neuwahl Unter der Ampel-Koalition scheiterte die Verabschiedung. Mit dem Ende der Legislaturperiode verfielen alle offenen Gesetzesvorhaben, darunter auch das NIS2UmsuCG. 4 30.07.2025 Kabinettsbeschluss Das Bundeskabinett beschloss den Gesetzentwurf in der Fassung des Regierungsentwurfs vom 25. Juli 2025. 5 13.11.2025 Bundestagsbeschluss Der Deutsche Bundestag verabschiedete das NIS2UmsuCG. 6 20.11.2025 Bundesratszustimmung Der Bundesrat bestätigte das Gesetz. 7 06.12.2025 Inkrafttreten Verkündung im Bundesgesetzblatt, Geltung ohne Übergangsfrist. Was hat sich gegenüber früheren Entwürfen geändert? Bis zur finalen Fassung hat das NIS2UmsuCG einen ungewöhnlich langen Gesetzgebungsprozess durchlaufen. Die zugrunde liegende EU-Richtlinie (EU) 2022/2555 trat bereits am 16. Januar 2023 in Kraft. Die Mitgliedstaaten hatten ursprünglich bis zum 17. Oktober 2024 Zeit, sie in nationales Recht zu überführen. Deutschland hat diese Frist deutlich überschritten. Die Europäische Kommission leitete deshalb ein Vertragsverletzungsverfahren gegen Deutschland ein. Erst die Verabschiedung des NIS2UmsuCG beendete diese offizielle Beanstandung. Der politische Druck durch das EU-Vertragsverletzungsverfahren erklärt teilweise, warum die deutsche Umsetzung am Ende strenger und weniger kompromissbereit ausfiel als in manchen Nachbarländern. Frühere Referentenentwürfe ließen zentrale Fragen offen, etwa zur genauen Abgrenzung betroffener Sektoren oder zu Ausnahmeregelungen. Mit der finalen Fassung sind diese Punkte jetzt verbindlich geklärt. Drei Klarstellungen der finalen Fassung:Betroffenheit ist jetzt abschließend definiert. Frühere Entwürfe verwiesen auf noch offene Details. Die finale Fassung legt Sektoren, Schwellenwerte und Ausnahmen eindeutig fest. Eine ausführliche Einordnung, wer konkret betroffen ist, finden Sie im Artikel NIS2: Wer ist betroffen?Abgrenzung zu anderen Regelwerken ist geregelt. Das NIS2UmsuCG schließt Unternehmen aus, die unmittelbar der DORA-Verordnung unterliegen, etwa bestimmte Finanzunternehmen. Doppelregulierung wird damit vermieden.Der Energiesektor bleibt separat geregelt. Eine ursprünglich angestrebte Vereinfachung der Aufsicht zwischen BSI und Bundesnetzagentur wurde nicht umgesetzt. Risikomanagement- und Meldepflichten aus dem NIS2UmsuCG werden stattdessen zusätzlich ins Energiewirtschaftsgesetz übernommen.Für die Praxis heißt das: Unternehmen können sich nicht mehr auf offene Formulierungen aus alten Entwürfen berufen. Die Pflichten aus der finalen Fassung gelten unmittelbar und sind einklagbar. Welche Pflichten gelten für betroffene Unternehmen? Das NIS2UmsuCG definiert feste Schwellenwerte für die Einstufung als betroffenes Unternehmen. Grundsätzlich gilt: Ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in einem der 15 regulierten Sektoren greift die Regulierung. Betreiber kritischer Infrastrukturen und bestimmte Anbieter digitaler Dienste sind unabhängig von der Unternehmensgröße betroffen. Zentral ist die Meldepflicht bei Sicherheitsvorfällen. Ein erheblicher Sicherheitsvorfall muss dem BSI innerhalb von 24 Stunden als Frühwarnung gemeldet werden. Innerhalb von 72 Stunden folgt eine vollständige Meldung mit erster Bewertung des Vorfalls. Ein Abschlussbericht zur Bewältigung von Sicherheitsvorfällen ist spätestens einen Monat nach der vollständigen Meldung fällig. Zu den technischen und organisatorischen Mindestanforderungen zählen unter anderem: Risikomanagement für IT-Systeme und digitale Infrastruktur Multi-Faktor-Authentifizierung für den Zugriff auf kritische Systeme Dokumentierte Prozesse zur Erkennung und Bewältigung von Sicherheitsvorfällen Lieferkettensicherheit gegenüber Dienstleistern und Zulieferern Auch Einrichtungen der Bundesverwaltung fallen unter das NIS2UmsuCG, sofern sie die Kriterien einer wesentlichen oder wichtigen Einrichtung erfüllen. Eine vollständige Übersicht der Pflichten mit Priorisierungshilfe bietet die NIS2-Checkliste von Axians. Registrierung und erste Fristen: Wo stehen Unternehmen jetzt? Die reguläre Registrierungsfrist beim BSI ist am 6. März 2026 abgelaufen. Nach Angaben aus der Praxis haben rund 18.000 Unternehmen diese Frist verpasst. Die Registrierungspflicht besteht trotz Fristablauf unverändert weiter. Das BSI weist betroffene Unternehmen, die sich noch nicht registriert haben, darauf hin, dies umgehend im Registrierungsportal nachzuholen. BSI-Informationen zufolge wurde erwartet, dass ausstehende Registrierungen bis spätestens 31. Juli 2026 abgeschlossen werden. Eine fehlende Registrierung ist eine Ordnungswidrigkeit nach dem BSIG. Das BSI kann dafür Bußgelder verhängen. Zusätzlich fehlt ohne Registrierung die technische Grundlage für die Meldung erheblicher Sicherheitsvorfälle, für die im Ernstfall eine erste Meldung innerhalb von 24 Stunden erforderlich ist.Eine Schritt-für-Schritt-Anleitung zum Nachholen der Registrierung sowie eine Einordnung der konkreten Konsequenzen finden Sie im Artikel NIS2-Registrierung: Frist abgelaufen – was jetzt gilt. Welche Bußgeldrahmen bei Verstößen insgesamt drohen, erläutert der Artikel zu NIS2-Bußgeldern und Haftung. Wie geht es weiter? Ausblick auf Aufsicht und nächste Schritte Mit dem Ende der Registrierungsfrist verschiebt sich der Schwerpunkt von der formalen Anmeldung hin zur inhaltlichen Umsetzung der Pflichten. Das BSI ist als Aufsichtsbehörde jetzt für 29.500 statt 4.500 Einrichtungen zuständig. Drei Entwicklungen, die Unternehmen jetzt beobachten sollten:Verstärkte Prüftätigkeit des BSI. Mit der wachsenden Zahl registrierter Einrichtungen ist mit zunehmenden Stichproben und Nachfragen zur Umsetzung von Risikomanagementmaßnahmen zu rechnen.Konkretisierung durch Verwaltungspraxis. Wie streng Behörden die gesetzlich verankerten Bußgeldrahmen in der Praxis ausschöpfen, ist laut aktuellem Stand noch nicht absehbar. Erfahrungswerte aus der NIS2-Durchsetzung liegen bislang kaum vor.Regulierung im Energiesektor bleibt in Bewegung. Da Risikomanagement- und Meldepflichten zusätzlich ins Energiewirtschaftsgesetz übernommen werden, ist hier mit weiteren Klarstellungen der Bundesnetzagentur zu rechnen.Für betroffene Unternehmen bedeutet das: Die formale Phase der Registrierung ist weitgehend abgeschlossen. Im Mittelpunkt steht jetzt die Nachweisfähigkeit gegenüber dem BSI, etwa durch dokumentierte Risikomanagementmaßnahmen und funktionierende Meldeprozesse. FAQ zum aktuellen NIS2-Status Ist das NIS2-Umsetzungsgesetz in Deutschland bereits verabschiedet? Ja. Der Bundestag hat das NIS2UmsuCG am 13. November 2025 beschlossen, der Bundesrat hat am 20. November 2025 zugestimmt. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft. Was bedeutet NIS2UmsuCG? NIS2UmsuCG steht für NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Es ist das deutsche Gesetz zur Umsetzung der EU-Richtlinie (EU) 2022/2555 und ändert vor allem das BSI-Gesetz. Warum hat die Verabschiedung so lange gedauert? Die ursprüngliche EU-Frist lag beim 17. Oktober 2024. Ein erster Gesetzentwurf scheiterte am Ende der Ampel-Koalition und verfiel mit der Neuwahl. Die EU-Kommission leitete deshalb ein Vertragsverletzungsverfahren gegen Deutschland ein, das erst mit der finalen Verabschiedung endete. Gilt die Registrierungsfrist noch, obwohl der 6. März 2026 bereits verstrichen ist? Ja. Die Registrierungspflicht besteht trotz Fristablauf weiter. Nach BSI-Information sollten ausstehende Registrierungen spätestens bis zum 31. Juli 2026 nachgeholt worden sein. Wie viele Unternehmen sind vom NIS2UmsuCG betroffen? Rund 29.500 Unternehmen in 15 regulierten Sektoren fallen unter die Aufsicht des BSI. Vor dem NIS2UmsuCG waren es rund 4.500. Ab wann gilt ein Unternehmen als betroffen? Die Regel-Schwelle liegt bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in einem der 15 regulierten Sektoren. Betreiber kritischer Infrastrukturen können unabhängig von diesen Werten betroffen sein. Welche Meldefristen gelten bei einem Sicherheitsvorfall? Ein erheblicher Sicherheitsvorfall ist dem BSI innerhalb von 24 Stunden als Frühwarnung zu melden, gefolgt von einer vollständigen Meldung innerhalb von 72 Stunden. Ist NIS2 eine Verordnung oder eine Richtlinie? NIS2 ist rechtlich eine Richtlinie, keine Verordnung. Der Begriff "NIS2-Verordnung" ist umgangssprachlich verbreitet, aber fachlich ungenau: Anders als eine Verordnung gilt eine Richtlinie nicht unmittelbar, sondern muss von jedem EU-Mitgliedstaat erst in nationales Recht überführt werden. In Deutschland geschieht das durch das NIS2UmsuCG. Quellen:Bundesamt für Sicherheit in der Informationstechnik (BSI): Pressemitteilung zur Verabschiedung des NIS2UmsuCGDeutscher Bundestag: Drucksache 21/2782 – Beschlussempfehlung des InnenausschussesBundesgesetzblatt: Veröffentlichung des NIS2-UmsetzungsgesetzesEU-Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates < Zurück zur Übersicht NIS2 Compliance