NIS2-Umsetzung in Deutschland: Wie ist der aktuelle Stand beim NIS2UmsuCG?

NIS2-Umsetzungsgesetz: Mehr Sicherheit für infrastrukturkritische Branchen

In der heutigen digitalen Ära sind Sicherheitsmaßnahmen von entscheidender Bedeutung, insbesondere für Unternehmen, die kritische Infrastrukturen betreiben oder digitale Dienste anbieten. Die Europäische Union reagiert auf diese Bedrohung mit NIS2 (Netzwerk- und Informationssicherheit). 2022 hat die EU mit der NIS2-Bestimmung eine entsprechende Richtlinie auf den Weg gebracht, die „eine Kultur der Sicherheit in allen Sektoren, die für unsere Wirtschaft und Gesellschaft von entscheidender Bedeutung sind“ und einheitlich hohe Sicherheitsstandards für alle Mitgliedsstaaten schaffen soll. Die NIS2-Richtlinie bringt deutlich mehr Verpflichtungen für betroffene Unternehmen und Organisationen mit sich als ihr Vorgänger NIS1. 

Was ist das NIS2UmsuCG und wer ist betroffen?

Alle EU-Staaten hatten bis Oktober 2024 Zeit, NIS2 in nationales Recht umzuwandeln. Die NIS2-Umsetzung in Deutschland soll durch das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) erfolgen. Allerdings hat die Bundesrepublik die Umsetzungsfrist längst überschritten. Die Umsetzung hat sich unter anderem durch lange Abstimmungsschleifen und die Neuwahlen verzögert.

Zusammen mit dem KRITIS-Dachgesetz betrifft NIS2 eine größere Anzahl an Einrichtungen. Experten gehen davon aus, dass rund 30.000 Unternehmen und Organisationen betroffen sein werden. Ein deutlicher Anstieg zur bisherigen Regelung. In unserem Magazin erfahren Sie, welche Unternehmen konkret von der NIS2-Richtlinie betroffen sind.

Kernziele der deutschen Umsetzung der NIS2-Richtlinie

Das NIS2-Umsetzungsgesetz verfolgt mehrere zentrale Ziele:

1. Erhöhung der Cybersicherheit durch verbesserte Schutzmaßnahmen

Das Gesetz verlangt von Unternehmen und Organisationen robustere Sicherheitsvorkehrungen, um Cyberangriffe besser zu verhindern und die digitale Infrastruktur widerstandsfähiger zu machen. Dazu gehören technische und organisatorische Maßnahmen, wie etwa die Implementierung eines Informationssicherheits-Managementsystems (ISMS) oder der regelmäßige Einsatz von Risikoanalysen und Penetrationstests.

2. Harmonisierung der Cybersicherheitsstandards innerhalb der EU

Mit der NIS2-Umsetzung werden einheitliche Cybersicherheitsanforderungen für Unternehmen in der gesamten EU geschaffen. Dies erleichtert insbesondere grenzüberschreitend tätigen Unternehmen die Compliance mit Sicherheitsstandards und sorgt für eine einheitliche Mindestanforderung an die IT-Sicherheit.

3. Stärkung kritischer Infrastrukturen gegen Cyberbedrohungen

Die Vorschriften betreffen vornehmlich kritische Infrastrukturen sowie Einrichtungen aus wichtigen Branchen wie Gesundheitswesen, Energieversorgung, Verkehr, Finanzwesen und öffentliche Verwaltung. Ziel ist es, die Widerstandsfähigkeit gegenüber Cyberangriffen zu verbessern, um eine Unterbrechung wichtiger Dienstleistungen zu vermeiden.

4. Verbesserung der Krisenbewältigung bei Cybervorfällen

Mit dem NIS2UmsuCG sollen staatliche und unternehmensinterne Reaktionsmechanismen auf Cybervorfälle verbessert werden. Dazu gehören:

• Verpflichtende Notfallpläne für IT-Sicherheitsvorfälle
• Schnellere Erkennung und Reaktion auf Cyberangriffe
• Bessere Koordination zwischen Behörden und Unternehmen im Krisenfall

5. Erweiterung der Meldepflichten für Cybervorfälle

Unternehmen müssen Cyberangriffe und IT-Sicherheitsvorfälle schneller und detaillierter melden. Diese verschärften Meldepflichten sollen eine frühzeitige Reaktion auf Bedrohungen ermöglichen und helfen, Angriffe auf nationale und europäische Infrastrukturen effizienter zu bekämpfen.

Aktueller Stand der NIS2-Richtlinie: Umsetzung in Deutschland noch offen

Deutschland hat die NIS2-Umsetzung nicht fristgerecht zum Stichtag 17. Oktober 2024 implementiert. Durch den Bruch der Ampel-Koalition und die Neuwahlen im Februar 2025 könnte das NIS2-Umsetzungsgesetz erst Ende 2025 oder Anfang 2026 verabschiedet werden.  

Seit Juni 2025 gibt es einen neuen Referentenentwurf des Bundesinnenministeriums, den nun unter anderem die Bundesländer und Verbände kommentieren dürfen, bevor im nächsten Schritt ein Regierungsentwurf entstehen kann.

Obwohl sich die Umsetzung verzögert, sollten Unternehmen nicht auf das Inkrafttreten warten, sondern bereits jetzt handeln. Zwar ist es unwahrscheinlich, dass deutsche Behörden schon jetzt entsprechende NIS2-Nachweise sehen wollen. Allerdings könnten Unternehmen aus EU-Ländern, in denen die NIS2-Umsetzung bereits erfolgt ist, entsprechende Belege anfordern. Außerdem sind für die Umsetzung der NIS2-Richtlinie in Deutschland keine Übergangsfristen vorgesehen.  

Aktueller Stand der NIS2-Richtlinie: Umsetzung in Deutschland noch offen

Deutschland hat die NIS2-Umsetzung nicht fristgerecht zum Stichtag 17. Oktober 2024 implementiert. Durch den Bruch der Ampel-Koalition und die Neuwahlen im Februar 2025 könnte das NIS2-Umsetzungsgesetz erst Ende 2025 oder Anfang 2026 verabschiedet werden.  

Seit Juni 2025 gibt es einen neuen Referentenentwurf des Bundesinnenministeriums, den nun unter anderem die Bundesländer und Verbände kommentieren dürfen, bevor im nächsten Schritt ein Regierungsentwurf entstehen kann.

Obwohl sich die Umsetzung verzögert, sollten Unternehmen nicht auf das Inkrafttreten warten, sondern bereits jetzt handeln. Zwar ist es unwahrscheinlich, dass deutsche Behörden schon jetzt entsprechende NIS2-Nachweise sehen wollen. Allerdings könnten Unternehmen aus EU-Ländern, in denen die NIS2-Umsetzung bereits erfolgt ist, entsprechende Belege anfordern. Außerdem sind für die Umsetzung der NIS2-Richtlinie in Deutschland keine Übergangsfristen vorgesehen.  

So gelingt die Umsetzung von NIS2 in Deutschland in der Praxis

Die Implementierung des NIS2-Umsetzungsgesetzes erfordert eine proaktive Herangehensweise und die Zusammenarbeit verschiedener Abteilungen innerhalb eines Unternehmens.

• Bewertung der Betroffenheit: Identifizierung, ob das Unternehmen nach NIS2 als Betreiber wesentlicher Dienste oder als digitaler Diensteanbieter qualifiziert ist. Davon hängt u. a. ab, welche Anforderungen konkret gelten.
• Implementierungsplan: Entwicklung eines detaillierten Plans zur Umsetzung der erforderlichen Maßnahmen.
• Schulungen: Schulung der Mitarbeiter über die neuen Anforderungen und Best Practices.
• Sicherheitsbewusstsein: Förderung eines Sicherheitsbewusstseins auf allen Ebenen des Unternehmens.
• Regelmäßige Audits: Durchführung regelmäßiger Audits und Überprüfungen, um die Einhaltung der Richtlinie sicherzustellen.
• Technologische Unterstützung: Einsatz von spezialisierten Cybersicherheits-Tools und -Lösungen.

Was passiert bei Verstößen gegen das NIS2UmsuCG?

Implementieren Unternehmen nicht die geforderten Sicherheitsmaßnahmen oder versäumen ihre Meldepflichten, sieht der bisherige Entwurf des deutschen NIS2-Umsetzungsgesetzes erhebliche Geldstrafen vor. Die Höhe der Bußgelder variiert je nach Art der Einrichtung und Schwere des Verstoßes:

• Besonders wichtige Einrichtungen und Betreiber kritischer Anlagen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Unternehmens – je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes des Unternehmens – abhängig davon, welcher Betrag höher ist. 

Die NIS2-Umsetzung in Deutschland betont darüber hinaus die Verantwortung der obersten Führungsebene für die Cybersicherheit. Bei Verstößen können Mitglieder der Geschäftsleitung persönlich haftbar gemacht werden, insbesondere wenn sie ihre Überwachungs- und Umsetzungspflichten vernachlässigen.

Mögliche Verstöße bei NIS2, die erhebliche Strafen mit sich ziehen, sind beispielsweise: Unternehmen sind verpflichtet, angemessene technische und organisatorische Sicherheitsvorkehrungen zum Schutz ihrer IT-Infrastruktur zu implementieren. Ein Versäumnis dieser, stellt einen Verstoß dar, der mit Bußgeldern geahndet werden kann. Ein weiteres Beispiel ist die verspätete oder unterlassene Meldung von Sicherheitsvorfällen. Zudem können unvollständige oder fehlerhafte Mitteilungen an Kunden oder die Öffentlichkeit bei NIS2 ebenfalls unter Strafe gestellt werden.

Fazit: Jetzt handeln und auf die NIS2-Umsetzung vorbereitet sein

Das NIS2-Umsetzungsgesetz stellt eine wichtige Entwicklung im Bereich der Cybersicherheit dar und hat weitreichende Auswirkungen auf Unternehmen in Deutschland. Durch die Erfüllung der Vorgaben können Unternehmen nicht nur ihre eigene Sicherheit verbessern, sondern auch zur eigenen Cyberresilienz und der Resilienz des gesamten digitalen Ökosystems beitragen.