NIS2UmsuCG

Das NIS2UmsuCG ist ein Artikelgesetz, dessen Kern eine vollständige Neufassung des BSI-Gesetzes (BSIG) bildet. Es setzt die Richtlinie (EU) 2022/2555 (NIS-2) um, deren Umsetzungsfrist bereits am 17. Oktober 2024 endete; Deutschland hat diese Frist deutlich überschritten, was ein Vertragsverletzungsverfahren der EU-Kommission nach sich zog. Nach dem Beschluss des Bundestages im November 2025 und der Befassung des Bundesrates ist das Gesetz zum Jahreswechsel 2025/2026 in Kraft getreten. Es weitet den Kreis der Verpflichteten von wenigen tausend KRITIS-Betreibern auf schätzungsweise mehrere zehntausend Unternehmen aus und unterscheidet dabei zwischen "besonders wichtigen Einrichtungen" und "wichtigen Einrichtungen" (§ 28 BSIG). Maßgeblich sind eine sektorale Zuordnung (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Post, ITK-Dienste) sowie die Größenschwellen der EU-KMU-Definition. Eine behördliche Einstufung gibt es grundsätzlich nicht: Die Einrichtungen müssen ihre Betroffenheit selbst prüfen und dokumentieren.

Die praktisch erste Pflicht ist die Registrierung beim BSI (§ 33 BSIG): Betroffene Einrichtungen müssen sich innerhalb von drei Monaten ab dem Zeitpunkt, zu dem sie unter das Gesetz fallen, über das Registrierungsportal des BSI melden und Angaben zu Einrichtung, Sektor, Kontaktdaten und Erreichbarkeit rund um die Uhr hinterlegen; Änderungen sind nachzuziehen. Für bestimmte Anbieter digitaler Dienste und digitaler Infrastruktur — etwa DNS-Dienste, TLD-Registries, Cloud-Computing-, Rechenzentrums- und CDN-Anbieter, Anbieter verwalteter Dienste sowie Online-Marktplätze, Suchmaschinen und soziale Netzwerke — gelten erweiterte Registrierungsangaben. Kommt eine Einrichtung der Pflicht nicht nach, kann das BSI die Registrierung von Amts wegen vornehmen. Inhaltlich verlangt das Gesetz einen risikobasierten Mindestkatalog technischer und organisatorischer Maßnahmen (§ 30 BSIG: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Schulungen), eine dreistufige Meldekette bei erheblichen Sicherheitsvorfällen (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats, § 32 BSIG) sowie ausdrückliche Pflichten der Geschäftsleitung, die Maßnahmen zu billigen, ihre Umsetzung zu überwachen und sich regelmäßig zu schulen (§ 38 BSIG).

Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik. Das BSIG folgt dabei der Systematik der Richtlinie: Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht mit anlassunabhängigen Prüfungen, Vor-Ort-Kontrollen und Sicherheitsaudits sowie turnusmäßigen Nachweispflichten, während wichtige Einrichtungen grundsätzlich nur anlassbezogen — etwa nach einem Vorfall oder bei Hinweisen auf Verstöße — geprüft werden. Das BSI kann Auskünfte und Unterlagen verlangen, Anordnungen zur Beseitigung von Mängeln treffen und bei schwerwiegenden Verstößen bis hin zur vorübergehenden Untersagung von Leitungsfunktionen eskalieren; hinzu kommen die aus der Richtlinie übernommenen Bußgeldrahmen von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige und bis zu 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen. Abzugrenzen ist das NIS2UmsuCG vom sogenannten KRITIS-Dachgesetz, das die physische Resilienz kritischer Einrichtungen nach der CER-Richtlinie (EU) 2022/2557 regelt und in einem eigenen Gesetzgebungsverfahren behandelt wird — beide Regelwerke greifen bei KRITIS-Betreibern ineinander, ersetzen einander aber nicht.