NIS2 in Deutsch­land: das BSI-Gesetz, kurz.

• Das BSI-Gesetz vom 2. Dezember 2025 ist seit dem 6. Dezember 2025 in Kraft.
• Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist zuständige Behörde, CSIRT und zentrale Anlaufstelle. Betroffene Einrichtungen registrieren sich spätestens drei Monate, nachdem sie unter das Gesetz fallen. Laut BSI ist die gesetzliche Registrierungsfrist bereits abgelaufen.
• Das BSIG nennt die Maßnahmen, die eine Einrichtung zumindest ergreifen muss (§ 30), darunter Schulungen. Die Pflichten der Geschäftsleitung stehen in § 38, die Meldepflichten in § 32.

BSI-Gesetz (BSIG) · § 33 BSIG · BSI, NIS-2-regulierte Unternehmen

• Einrichtungen in den Sektoren, die das BSIG aufzählt. Wichtige Einrichtungen sind in der Regel Unternehmen, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen (§ 28 BSIG).
• Die lokale Verwaltungsebene ist laut BSI ausgenommen. Für Einrichtungen der Bundesverwaltung gelten die Regeln für besonders wichtige Einrichtungen, mit Ausnahmen (§ 29 BSIG).
• Besonders wichtige Einrichtungen sind in der Regel Unternehmen, die mindestens 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen (§ 28 BSIG).
• Kommunale Betriebe können laut BSI unter das BSIG fallen, wenn sie kritische Anlagen betreiben oder die Schwellenwerte überschreiten.
• Die Registrierung erfolgt beim BSI, spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut unter das Gesetz fällt (§ 33 BSIG).

§ 28 BSIG · § 29 BSIG · § 33 BSIG · BSI, FAQ zu NIS-2

Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen "umzusetzen und ihre Umsetzung zu überwachen". Sie muss außerdem "regelmäßig an Schulungen teilnehmen" (§ 38 BSIG).

• Geschäftsleitung ist, wer nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist (§ 2 BSIG).
• Das Gesetz nennt weder Stundenzahl noch Intervall. Laut BSI gibt das Gesetz "keine Intervalle zur Durchführung vor", und die vier Stunden aus der Gesetzesbegründung sind "keine Empfehlung".
• Eine Geschäftsleitung, die ihre Pflichten verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden (§ 38 Abs. 2 BSIG). Als letztes Mittel kann einer Geschäftsleitung die Tätigkeit vorübergehend untersagt werden (§ 61 BSIG).

§ 38 BSIG · § 2 BSIG · § 61 BSIG · BSI, FAQ zu NIS-2

Die Maßnahmen müssen zumindest "grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik" umfassen (§ 30 Abs. 2 Nr. 7 BSIG). Das Gesetz nennt keinen Personenkreis, kein Intervall und keine Dauer. Laut BSI richtet sich die Anforderung an die Mitarbeitenden, also die internen und externen Nutzenden von Systemen und Anwendungen der Einrichtung.

Die Einrichtung muss die Einhaltung dokumentieren (§ 30 Abs. 1 BSIG). Das BSI zählt "Nachweise über Schulungen und Awareness-Maßnahmen" zu dieser Dokumentation.

§ 30 BSIG · BSI, #nis2know Schulungen · BSI, FAQ zu NIS-2

Empfänger ist eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK). Laut BSI dient das BSI-Portal als Meldestelle. Die Fristen laufen ab Kenntniserlangung von einem erheblichen Sicherheitsvorfall. Eine Verletzung des Schutzes personenbezogener Daten melden Sie zusätzlich nach Artikel 33 DSGVO der zuständigen Datenschutzaufsicht.

§ 32 BSIG · BSI, NIS-2-Meldepflicht

Die Beträge sind Obergrenzen nach § 65 BSIG. Die Prozentregel gilt erst bei einem Gesamtumsatz von mehr als 500 Millionen Euro.

§ 65 BSIG · BSI, FAQ zu NIS-2 · Richtlinie (EU) 2022/2555, Artikel 34

• BSI-Gesetz (BSIG) vom 2. Dezember 2025, Gesamttext, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (3)

  • Es tritt gem. Art. 30 dieses G am 6.12.2025 in Kraft
  • zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist
  • seine Aufgaben als zuständige Behörde, CSIRT und zentrale Anlaufstelle im Sinne der NIS-2-Richtlinie
• § 28 BSIG, besonders wichtige und wichtige Einrichtungen, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (4)

  • mindestens 250 Mitarbeiter beschäftigen oder
  • einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen
  • mindestens 50 Mitarbeiter beschäftigen oder
  • einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen
• § 29 BSIG, Einrichtungen der Bundesverwaltung, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (1)

  • Für Einrichtungen der Bundesverwaltung sind die Regelungen für besonders wichtige Einrichtungen anzuwenden
• § 30 BSIG, Risikomanagementmaßnahmen, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (2)

  • grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
  • Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren
• § 32 BSIG, Meldepflichten, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (4)

  • innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung
  • innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall
  • spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2
  • gemeinsame Meldestelle
• § 33 BSIG, Registrierungspflicht, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (1)

  • spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten
• § 38 BSIG, Pflichten der Geschäftsleitung, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (3)

  • sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen
  • müssen regelmäßig an Schulungen teilnehmen
  • haften ihrer Einrichtung für einen schuldhaft verursachten Schaden
• § 61 BSIG, Aufsichtsmaßnahmen, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (2)

  • vorübergehend untersagen
  • als letztes Mittel
• § 65 BSIG, Bußgeldvorschriften, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (5)

  • mit einer Geldbuße bis zu zehn Millionen Euro
  • mit einer Geldbuße bis zu sieben Millionen Euro
  • Gesamtumsatz von mehr als 500 Millionen Euro
  • bis zu 2 Prozent des Gesamtumsatzes
  • bis zu 1,4 Prozent des Gesamtumsatzes
• BSI, FAQ zu NIS-2, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (5)

  • Die lokale Verwaltungsebene wurde durch den IT-Planungsrat explizit ausgenommen
  • Das NIS-2-Umsetzungsgesetz gibt keine Intervalle zur Durchführung vor
  • Der Zeitrahmen von 4 Stunden ist keine Empfehlung
  • Nachweise über Schulungen und Awareness-Maßnahmen
  • wenn diese Betriebe kritische Anlagen betreiben oder die Schwellenwerte für wichtige
• BSI, NIS-2-Meldepflicht, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (1)

  • Das BSI-Portal dient u. a. als Meldestelle
• BSI, NIS-2-regulierte Unternehmen, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (1)

  • Die gesetzliche Registrierungsfrist ist bereits abgelaufen
• BSI, #nis2know Schulungen, geprüft am 11. November 2026
  Textstellen, auf die sich diese Seite stützt (1)

  • Adressat dieser Anforderung sind die Mitarbeitenden, d.h. die internen und externen Nutzenden von Systemen und Anwendungen innerhalb der betroffenen Einrichtung
• Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex