NIS2-Umsetzungsgesetz und BSIG 2025: was seit wann gilt

Diese Seite ordnet den Rechtsstand ein: welches Gesetz NIS2 in Deutschland umsetzt, in welcher Fassung es gilt, was § 66 BSIG zeitlich staffelt und welche Verordnungen noch ausstehen. Welche Pflichten im Einzelnen gelten, zeigt die Übersicht der NIS2-Anforderungen. Ob Ihr Unternehmen betroffen ist, klärt die Betroffenheitsprüfung.

Wie heißt das NIS2-Umsetzungsgesetz offiziell?

Amtlich heißt es „Gesetz zur Umsetzung der NIS‑2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“. Es ist vom 2. Dezember 2025 und steht im Bundesgesetzblatt 2025 I Nr. 301. Das BSI nennt es kurz „NIS‑2-Umsetzungsgesetz“. Umgesetzt wird die Richtlinie (EU) 2022/2555 vom 14. Dezember 2022, die NIS‑2-Richtlinie.

Das Kürzel NIS2UmsuCG taucht in Fachbeiträgen und Suchanfragen auf. Im Bundesgesetzblatt und im Gesetzestext kommt es nicht vor. Auch „NIS2-Gesetz“ ist kein amtlicher Name. Wer sie verwendet, meint damit das Umsetzungsgesetz und vor allem das BSI-Gesetz, das darin enthalten ist. Wer in Richtlinien, Verträgen oder Berichten zitiert, verweist am besten auf das Gesetz mit den Pflichten: „BSIG in der Fassung vom …“.

Wie ist das Mantelgesetz aufgebaut?

Das Umsetzungsgesetz ist ein Mantelgesetz mit 30 Artikeln. Artikel 1 enthält das neue BSI-Gesetz. Es löst das BSI-Gesetz von 2009 ab, das nach Artikel 29 am Tag nach der Verkündung außer Kraft trat. Die übrigen Artikel ändern andere Gesetze und Verordnungen.

Für Unternehmen zählt fast nur Artikel 1. In Teil 3 des BSIG stehen die Einstufung (§ 28), das Risikomanagement (§ 30), die Meldepflicht (§ 32), die Registrierung (§§ 33, 34) und die Pflichten der Geschäftsleitung (§ 38). Für bestimmte Telekommunikations- und Energieunternehmen gelten nach § 28 Abs. 5 Teile davon nicht; die Ausnahmen erklärt die Betroffenheitsprüfung. TK-Anbieter finden die Einordnung auf der Seite TK-Anbieter unter NIS2 und TKG.

Welche Fassung des BSIG gilt?

Es gilt das BSI-Gesetz vom 2. Dezember 2025, zuletzt geändert durch Artikel 8 des Gesetzes vom 22. Oktober 2026 (BGBl. 2026 I Nr. 318). Das ist der Stand auf gesetze-im-internet.de am 06.11.2026, kurz: BSIG in der Fassung vom 22.10.2026. Seit der Verkündung wurde das Gesetz dreimal geändert:

• durch Artikel 4 des Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen vom 11.03.2026 (BGBl. 2026 I Nr. 66), mit Wirkung vom 17.03.2026; mit diesem Gesetz kam auch das KRITIS-Dachgesetz,
• durch Artikel 9 eines Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221), mit Wirkung vom 29.07.2026,
• durch Artikel 8 des Gesetzes zur Modernisierung des Bundespolizeigesetzes vom 22.10.2026, mit Wirkung vom 28.10.2026. Nach der Änderungsübersicht betrifft diese Änderung nicht die Pflichten der Einrichtungen in §§ 28 ff.; eine Änderungsanweisung zu § 2 ist laut Fußnote der Gesamtausgabe auf gesetze-im-internet.de wegen textlicher Unstimmigkeit nicht ausführbar.

Die Änderungsdaten stammen aus der Änderungsübersicht bei buzer.de (Sekundärquelle), abgeglichen mit dem Gesetzestext.

Die Gesamtausgabe auf gesetze-im-internet.de ist nichtamtlich. Amtlich sind die Verkündungen im Bundesgesetzblatt. Unsere Empfehlung: Halten Sie in Ihrer Dokumentation fest, auf welche Fassung Sie sich beziehen, und prüfen Sie den Stand in festen Abständen, etwa vierteljährlich und vor jeder Prüfung.

Seit wann gilt das Gesetz, und gibt es eine Übergangsfrist?

Das Gesetz gilt seit dem 6. Dezember 2025. Der Bundestag hat es am 13.11.2025 beschlossen, der Bundesrat am 21.11.2025; verkündet wurde es am 05.12.2025, in Kraft trat es am Tag danach. Eine allgemeine Übergangsfrist gibt es nicht. Das BSI schreibt, betroffene Unternehmen müssten ihre Pflichten „grundsätzlich unmittelbar nach Inkrafttreten“ erfüllen, und nennt als Beispiele Registrierung, Risikomanagement und Meldepflichten.

Die Pflichten hängen nicht an der Registrierung. Wer betroffen ist, muss die Maßnahmen nach § 30 seit dem Inkrafttreten umsetzen und ihre Einhaltung dokumentieren, auch wenn die Registrierung noch fehlt. Ein Maßnahmenplan verschiebt diese Pflichten nicht; er legt fest, in welcher Reihenfolge Lücken geschlossen werden.

Deutschland hat spät umgesetzt: Die Richtlinie verlangte Umsetzung bis zum 17. Oktober 2024 und Anwendung ab dem 18. Oktober 2024. Wer erst später betroffen wird, etwa weil die Größenschwelle zum zweiten Mal in Folge überschritten ist, hat eigene Stichtage; die NIS2-Fristen laufen dann ab dem Eintritt der Betroffenheit.

Was staffelt § 66 BSIG und was nicht?

§ 66 verschiebt nur vier Regeln, alle mit Bezug zu kritischen Anlagen. Die Begriffe „kritische Anlage“ (§ 2 Nr. 22) und „kritische Dienstleistung“ (§ 2 Nr. 24) sowie § 33 Abs. 2 und 5 sind in neuer Fassung erst anzuwenden, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz in Kraft ist. Bis dahin gelten sie in einer älteren Fassung weiter.

Wenn irgendwo von „zeitlich gestaffelter Anwendung“ die Rede ist, betrifft das nur diese KRITIS-Regeln. Für alle anderen besonders wichtigen und wichtigen Einrichtungen staffelt § 66 nichts.

Was regeln Verordnungen noch?

Das BSIG ist ohne weitere Verordnung anwendbar, enthält aber mehrere Ermächtigungen. Schon heute wirkt eine europäische Verordnung, allerdings nur für elf digitale Einrichtungsarten: die Durchführungsverordnung (EU) 2024/2690. Sie hat für diese Einrichtungsarten nach § 30 Abs. 3 Vorrang, etwa Cloud-Anbieter, Rechenzentren und Managed Service Provider, und regelt für sie auch, wann ein Vorfall erheblich ist. Welche Einrichtungsarten das sind, zeigt das Sektorenverzeichnis.

Ohne Verordnung, aber verbindlich: Das Registrierungsverfahren hat das BSI nach § 33 Abs. 6 selbst festgelegt, in Version 1.0 vom 26.06.2026. Wie die Registrierung im BSI-Portal abläuft, beschreibt eine eigene Seite. Physische Resilienz kritischer Anlagen regelt das KRITIS-Dachgesetz, in Kraft seit 17.03.2026; Pflichten daraus entstehen erst mit der Verordnung und der Registrierung.

Zu den Begriffen: Die Richtlinie spricht von „wesentlichen“ und „wichtigen“ Einrichtungen, das BSIG von „besonders wichtigen“ und „wichtigen“. Gemeint sind dieselben Kategorien.

Zeitleiste: was gilt seit wann

Die Übersicht fasst den Rechtsstand für Unternehmen zusammen. Daten, die nicht wörtlich in der Quelle stehen, sind von uns berechnet und so gekennzeichnet.

Beispiel: den Rechtsstand für die Geschäftsleitung festhalten

Fiktives Beispiel, kein Kunde. Ein Hersteller von Elektromotoren mit 140 Beschäftigten hat sich als wichtige Einrichtung eingestuft (Anlage 2, Herstellung von elektrischen Ausrüstungen). Die Geschäftsführung bittet den IT-Leiter um ein Blatt, das den Rechtsstand festhält und auf das sich interne Richtlinien beziehen können. Er hält fest:

• Rechtsgrundlage: BSIG in der Fassung vom 22.10.2026, geprüft am 06.11.2026 auf gesetze-im-internet.de.
• Geltung: seit 06.12.2025, keine Übergangsfrist; Registrierung, Risikomanagement nach § 30 und Meldewege nach § 32 sind also schon heute gefordert.
• § 66: betrifft uns nicht, weil wir nach der BSI-Kritisverordnung keine kritische Anlage betreiben.
• Durchführungsverordnung 2024/2690: ist für uns nicht einschlägig, weil wir keine der elf digitalen Einrichtungsarten sind; für die Frage, ob ein Vorfall erheblich ist, nutzen wir wie vom BSI empfohlen Art. 3 Abs. 1 als Orientierung.
• Wiedervorlage: Fassung vierteljährlich prüfen; bei Änderungen am BSIG Richtlinien und Meldeprozess abgleichen.

Das Blatt ersetzt keine rechtliche Prüfung. Es sorgt dafür, dass alle internen Dokumente auf denselben Stand verweisen.

Drei typische Fehlannahmen

Diese Seite gibt allgemeine Informationen zum Rechtsstand. Ob und wie Ihr Unternehmen betroffen ist, hängt vom Einzelfall ab und ist im Zweifel rechtlich zu prüfen. Wenn Sie wissen wollen, wo Ihr Unternehmen gegenüber den Pflichten aus dem BSIG steht, ist die NIS2-Gap-Analyse der strukturierte Einstieg.