appforge
NIS2UmsuCG · BSIG · in Kraft seit 06.12.2025

NIS2 umsetzen, wie es das BSIG verlangt

Das NIS2-Umsetzungsgesetz ist am 06.12.2025 in Kraft getreten und hat das BSIG neu gefasst. Nach der Auswertung von OpenKRITIS fallen rund 30.000 Unternehmen darunter. Wir liefern die technische Umsetzung: Gap-Audit in 4 bis 6 Wochen zum Festpreis, danach die Maßnahmen aus § 30 BSIG, den Meldeprozess nach § 32 BSIG und die Dokumentation, die Ihre Geschäftsleitung nach § 38 BSIG vorlegen muss.

NIS2-Gap-Audit anfragen
Betroffenheit in 2 Minuten prüfen

Kurzfassung

  • Das NIS2UmsuCG wurde am 05.12.2025 verkündet und ist am 06.12.2025 in Kraft getreten. Maßgeblich ist seitdem das BSIG, nicht die Richtlinie.
  • Zwei Kategorien nach § 28 BSIG: besonders wichtige Einrichtungen ab 250 Beschäftigten oder über 50 Mio. EUR Umsatz und über 43 Mio. EUR Bilanzsumme, wichtige Einrichtungen ab 50 Beschäftigten oder über 10 Mio. EUR bei beiden Werten.
  • Registrierung beim BSI binnen drei Monaten nach § 33 BSIG. Das BSI weist darauf hin, dass die gesetzliche Frist bereits abgelaufen ist.
  • Meldekette nach § 32 BSIG: 24 Stunden frühe Erstmeldung, 72 Stunden Meldung mit erster Bewertung, ein Monat Abschlussmeldung.
  • Bußgeldrahmen nach § 65 BSIG: bis zehn Millionen Euro bei besonders wichtigen, bis sieben Millionen Euro bei wichtigen Einrichtungen, für einen Teil der Tatbestände umsatzbezogen bis 2 % beziehungsweise 1,4 %.
Anwendungsbereich

Wer fällt unter das neue BSIG?

Zwei Kategorien, zwei Anlagen. Besonders wichtige Einrichtungen nach § 28 Abs. 1 BSIG: mindestens 250 Beschäftigte oder über 50 Mio. EUR Jahresumsatz und zugleich über 43 Mio. EUR Jahresbilanzsumme. Wichtige Einrichtungen nach § 28 Abs. 2 BSIG: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR. Zuständig ist das BSI.

Anlage 1: Sektoren hoher Kritikalität
Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Wasser und Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, Weltraum. Große Unternehmen aus diesen Sektoren sind besonders wichtige Einrichtungen nach § 28 Abs. 1 BSIG.
Finanz- und Versicherungswesen
Kreditinstitute, Finanzmarktinfrastrukturen, Versicherer. Für Finanzunternehmen gilt DORA parallel, mit teilweise strengeren Anforderungen an das IKT-Risikomanagement.
Gesundheit
Kliniken, Labore, Hersteller von Arzneimitteln und kritischen Medizinprodukten, pharmazeutischer Großhandel.
Transport und Verkehr
Luft, Schiene, Wasser, Straße. Post- und Kurierdienste stehen dagegen in Anlage 2 und zählen damit zu den wichtigen Einrichtungen.
Anlage 2: verarbeitendes Gewerbe
Medizinprodukte, Elektronik, Maschinenbau, Kraftfahrzeuge, Chemie, Lebensmittel, Abfallbewirtschaftung, Forschung. Ab 50 Beschäftigten oder über 10 Mio. EUR Umsatz und Bilanzsumme gelten diese Unternehmen als wichtige Einrichtungen.
Digitale Dienste und IT-Dienstleister
Cloud-Anbieter, Rechenzentren, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, verwaltete Dienste. Qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Dienstanbieter fallen unabhängig von ihrer Größe unter § 28 Abs. 1 BSIG.

Die Zuordnung im Konzernverbund entscheidet häufiger über die Betroffenheit als der Sektor. Rechnen Sie Beschäftigte und Umsatz nicht ohne Prüfung auf Ebene der einzelnen Gesellschaft. Für Österreich und die Schweiz gelten eigene nationale Regeln, die wir hier bewusst nicht mitbehaupten. Die verbindliche Einstufung gehört zu Ihrer Rechtsberatung, die technische Umsetzung zu uns.

Pflichtenkatalog

Acht Punkte, an denen Prüfungen zuerst ansetzen

§ 30 BSIG verlangt Risikomanagementmaßnahmen nach dem Stand der Technik, verhältnismäßig zu Größe und Gefährdungslage. Die folgenden Punkte fehlen in der Praxis am häufigsten oder existieren nur auf dem Papier.

  • § 30 BSIG

    Risikoanalyse und Sicherheitskonzepte

    Risikoregister

    Dokumentiertes Risikoregister für die Systeme, von denen der Betrieb abhängt. Bedrohungsmodell, Auswirkungsanalyse, priorisierte Maßnahmen. Ohne diesen Schritt lässt sich Verhältnismäßigkeit nicht begründen.

  • § 30 BSIG

    Business Continuity und Backup

    RTO / RPO

    Notfallkonzept mit RTO- und RPO-Werten, Wiederanlaufplan, jährlich geprüft. Ein Backup gilt erst als vorhanden, wenn eine Rücksicherung tatsächlich durchgeführt und protokolliert wurde.

  • § 32 BSIG

    Meldekette 24 / 72 Stunden

    24 h / 72 h / 1 Monat

    Frühe Erstmeldung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Der Weg zum BSI, die Zugänge und die Zuständigkeiten gehören vorher festgelegt und geübt.

  • § 30 BSIG

    Sicherheit der Lieferkette

    Lieferantenprüfung

    Bewertung der direkten Dienstleister, Sicherheitsklauseln im Vertrag, Auditrecht, Liste der Unterauftragnehmer. Cloud-Dienste und SaaS-Werkzeuge gehören vollständig in dieses Verzeichnis.

  • § 30 BSIG

    Zugriffskontrolle und Mehr-Faktor-Authentisierung

    MFA überall

    Mehr-Faktor-Authentisierung für jeden administrativen Zugang, rollenbasierte Rechte, Prinzip der minimalen Berechtigung. Zugriffe werden protokolliert und regelmäßig überprüft.

  • § 30 BSIG

    Kryptografie und Verschlüsselung

    TLS und at rest

    Transportverschlüsselung mit TLS 1.2 oder höher, Verschlüsselung ruhender Daten mit AES-256, dokumentierte Schlüsselverwaltung samt Rotation. Für sensible Daten zusätzlich Pseudonymisierung.

  • § 31 BSIG

    Angriffserkennung bei kritischen Anlagen

    Zusatzpflicht KRITIS

    Betreiber kritischer Anlagen müssen zusätzlich Systeme zur Angriffserkennung einsetzen. Praktisch bedeutet das zentrale Protokollierung, Auswertung und ein definiertes Verfahren für Alarme.

  • § 38 BSIG

    Geschäftsleitung: Umsetzung, Überwachung, Schulung

    Schulungspflicht

    Die Geschäftsleitung muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und selbst regelmäßig an Schulungen teilnehmen. Für Schäden aus Pflichtverletzungen haftet sie nach dem Gesellschaftsrecht ihrer Rechtsform.

Sanktionen

Was auf dem Spiel steht

§ 65 BSIG setzt den Bußgeldrahmen. Welche Obergrenze im Einzelfall greift, hängt vom konkreten Tatbestand ab, die umsatzbezogene Variante gilt nur für einen Teil davon. Der eigentliche Schaden entsteht ohnehin daneben: Betriebsunterbrechung, Wiederherstellungskosten und die Frage Ihrer Kunden, wie es dazu kommen konnte.

KategorieObergrenzeUmsatzbezogenRechtsgrundlage und Beispiel
Besonders wichtige Einrichtungenbis 10 Mio. EURoder bis 2 % des weltweiten Gesamtumsatzes§ 28 Abs. 1 BSIG: Betreiber kritischer Anlagen, große Unternehmen aus Anlage 1
Wichtige Einrichtungenbis 7 Mio. EURoder bis 1,4 % des weltweiten Gesamtumsatzes§ 28 Abs. 2 BSIG: Anlage 1 und Anlage 2 ab 50 Beschäftigten oder über 10 Mio. EUR
GeschäftsleitungHaftung nach Gesellschaftsrechtkein eigener Bußgeldrahmen§ 38 BSIG: Umsetzung, Überwachung und eigene Schulung sind persönliche Pflichten

Zur tatsächlichen Bußgeldpraxis unter dem neuen BSIG liegen uns keine belastbaren öffentlichen Zahlen vor. Wir nennen deshalb keine, auch nicht als Schätzung. Quelle für die Rahmenwerte: § 65 BSIG.

Ablauf

NIS2-Programm in 6 bis 9 Monaten

Das Gesetz gilt seit dem 06.12.2025, die Registrierungsfrist nach § 33 BSIG ist nach Angabe des BSI bereits abgelaufen. Wer noch nicht angefangen hat, beginnt sinnvoll mit dem Gap-Audit und holt die Registrierung parallel nach.

Woche 0 bis 6: Gap-Audit

Wir stellen den Ist-Zustand den Anforderungen aus § 30 BSIG gegenüber. Ergebnis ist eine priorisierte Roadmap mit Aufwand und Budget je Maßnahme. Festpreis 7.800 bis 18.200 EUR, umgerechnet aus unseren HUF-Spannen zum Kurs 385 HUF/EUR und unverbindlich.

  • · Interviews mit Geschäftsführung, IT, Recht und Einkauf
  • · Inventar der Informationswerte samt Kritikalitätsbewertung
  • · Abgleich der Maßnahmen gegen die Pflichtbereiche des § 30 BSIG
  • · Prüfung der Registrierung nach § 33 BSIG und des Meldewegs

Monat 1 bis 3: technische Grundlagen

Zugriffskontrolle mit SSO und Mehr-Faktor-Authentisierung, zentrale Protokollierung, Schwachstellen- und Patch-Management, Backup mit geprüfter Rücksicherung. Für Betreiber kritischer Anlagen kommt die Angriffserkennung nach § 31 BSIG dazu.

  • · SSO und Mehr-Faktor-Authentisierung für alle administrativen Zugänge
  • · Zentrale Protokollierung, Auswertung, Alarmierung
  • · Endpoint Detection and Response
  • · Rücksicherungstest mit Protokoll statt Backup-Report

Monat 2 bis 4: Prozesse und Nachweise

Notfallhandbuch, Wiederanlaufplan, Meldeprozess entlang der Fristen aus § 32 BSIG, Lieferantenbewertung und Vertragsklauseln. Dieser Teil entscheidet über das Bestehen einer Prüfung, nicht die Werkzeuge.

  • · Meldeprozess für 24 Stunden, 72 Stunden und einen Monat
  • · Notfall- und Wiederanlaufplan mit RTO- und RPO-Werten
  • · Sicherheitsfragebogen und Vertragsklauseln für Dienstleister
  • · Jährliche Notfallübung am Tisch, mit Protokoll

Monat 3 bis 9: Geschäftsleitung und Schulung

§ 38 BSIG verlangt die Billigung und Überwachung der Maßnahmen durch die Geschäftsleitung sowie deren eigene regelmäßige Schulung. Wir liefern die Beschlussvorlage, den Berichtsweg mit Kennzahlen und ein Schulungsprogramm für Leitung und Belegschaft.

  • · Beschlussvorlage und Verantwortungsmatrix
  • · Schulung der Geschäftsleitung mit Teilnahmenachweis
  • · Phishing-Simulation und jährliche Pflichtschulung
  • · Quartalsbericht an die Leitung mit wenigen belastbaren Kennzahlen

Laufend: Wirksamkeitsprüfung

§ 30 BSIG verlangt, die Wirksamkeit der Maßnahmen zu bewerten. Betreiber kritischer Anlagen erbringen zusätzlich alle drei Jahre den Nachweis nach § 39 BSIG. Laufende Betreuung 2.100 bis 6.500 EUR pro Monat, Kurs 385 HUF/EUR, unverbindlich.

  • · Auswertung der Protokolle und Alarme
  • · Penetrationstest und Schwachstellenprüfung im vereinbarten Turnus
  • · Aktualisierung der Dokumentation bei Änderungen an Systemen
  • · Begleitung bei Rückfragen des BSI
Unterschied zu Ungarn

Warum wir die ungarische Fassung dieser Seite nicht übersetzt haben

Wir arbeiten seit Jahren an ungarischen NIS2-Projekten. Die dortige Umsetzung sieht eine Aufsicht durch die Behörde SZTFH vor, ein Pflichtaudit durch behördlich registrierte Auditoren, eine gesetzlich gedeckelte Auditgebühr und eine jährliche Aufsichtsgebühr. Nichts davon steht im BSIG. Wer Ihnen eine deutsche NIS2-Seite mit Auditpflicht für jede Einrichtung verkauft, hat aus einer anderen Rechtsordnung übersetzt.

In Deutschland gilt: eine turnusmäßige Nachweispflicht trifft nach § 39 BSIG die Betreiber kritischer Anlagen im Drei-Jahres-Turnus. Besonders wichtige und wichtige Einrichtungen unterliegen der Aufsicht des BSI nach §§ 61 und 62 BSIG, das Bundesamt kann Nachweise verlangen und Prüfungen anordnen. Was Ihnen die Erfahrung aus Ungarn bringt, ist die Umsetzungsseite, denn die Risikomanagementmaßnahmen gehen in beiden Ländern auf dieselbe Richtlinie zurück.

Sie sind Zulieferer, nicht selbst betroffen?

§ 30 BSIG nennt die Sicherheit der Lieferkette als eigenen Pflichtbereich. Betroffene Auftraggeber geben die Anforderungen deshalb über Verträge weiter: Sicherheitsklauseln, Auditrechte, Meldefristen für Vorfälle, Auskunft über Unterauftragnehmer. Für Softwarehäuser, verwaltete IT-Dienste und SaaS-Anbieter ist das der Punkt, an dem NIS2 zur Vertriebsfrage wird. Wir stellen das Sicherheitsprofil zusammen, das Ihre Kunden für ihre eigene Dokumentation brauchen.

Quellen

Stand 14.08.2026. Diese Seite ist keine Rechtsberatung. Für die verbindliche Einstufung und für Fragen zur verspäteten Registrierung wenden Sie sich an eine auf das BSIG spezialisierte Kanzlei.

Häufige Fragen

NIS2 und BSIG in der Praxis

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 05.12.2025 im Bundesgesetzblatt verkündet und ist am 06.12.2025 in Kraft getreten. Es hat das BSIG neu gefasst. Die Pflichten stehen seitdem in den §§ 28 bis 39 BSIG. Nach der Auswertung von OpenKRITIS fallen rund 30.000 Unternehmen darunter, davon etwa 8.250 als besonders wichtige und etwa 21.600 als wichtige Einrichtungen. Anders als in Ungarn gibt es keine gesetzlich festgelegte Auditgebühr und keine jährliche Aufsichtsgebühr.

Passend dazu

Themen, die zusammen auftreten

NIS2 kommt selten allein. Diese Bausteine bauen wir im selben Projekt mit.

Gap-Audit anfragen

4 bis 6 Wochen, Festpreis. Ergebnis: eine belastbare Lückenliste gegen § 30 BSIG, eine priorisierte Roadmap und ein Budget, mit dem Ihre Geschäftsleitung entscheiden kann.

NIS2-Gap-Audit anfragen →30 Minuten Erstgespräch
Projekt starten