NIS2-Umsetzung kommt: Bundesregierung peilt Inkrafttreten bis Anfang 2026 an

Konkreter Zeitrahmen für NIS2-Umsetzung in Deutschland

Laut Medienberichten konkretisieren sich die Pläne zur Umsetzung der EU-Richtlinie NIS2 in deutsches Recht (NIS2‑Umsetzungs‑ und Cybersicherheitsstärkungsgesetz, abgekürzt NIS2UmsuCG).

Claudia Plattner, Präsidentin des Bundesamts für Sicherheit in der Informationstechnik (BSI), sagte gegenüber der Deutschen Presse-Agentur:

„Ich habe die Hoffnung, dass wir es schaffen, dass es Anfang 2026 in Kraft treten kann.“

Damit liegt endlich ein realistisch anvisierter Zeitpunkt vor, wann das NIS2-Umsetzungsgesetz auf nationaler Ebene greifen könnte. Die Vorbereitungen im Bundesinnenministerium laufen bereits, erste Verbände und Bundesländer wurden einbezogen.

Auch die EU-Kommission macht inzwischen Druck: Am 28. November 2024 leitete sie ein Vertragsverletzungsverfahren gegen Deutschland ein, da die Umsetzung der Richtlinie verspätet erfolgt.

Daraufhin folgte am 7. Mai 2025 eine offizielle Begründete Stellungnahme (reasoned opinion). Deutschland wurde aufgefordert, innerhalb von zwei Monaten zu reagieren – andernfalls drohen finanzielle Sanktionen oder eine Anrufung des Europäischen Gerichtshofs.

Mehr Unternehmen betroffen als je zuvor

Mit der Umsetzung von NIS2 wird sich der Kreis der betroffenen Organisationen drastisch erweitern: Von bislang etwa 4.500 auf zukünftig rund 29.000 Unternehmen. Laut Plattner sei vielen Firmen noch nicht klar, welche Verantwortung auf sie zukommt. Sie mahnt daher zur frühzeitigen Beschäftigung mit dem Thema.

Was Unternehmen jetzt tun sollten

Die Anforderungen der NIS2-Richtlinie sind komplex, lassen sich aber durch frühzeitige Planung bewältigen. Die folgenden Schritte helfen beim Einstieg:

1. Betroffenheit klären

Ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, hängt von verschiedenen Faktoren wie Branche, Unternehmensgröße und Umsatz ab. Die Klärung ist in vielen Fällen mit wenigen Fragen möglich – etwa über unseren Online-Check.

2. Zuständigkeiten festlegen

Wer ist im Unternehmen für NIS2 zuständig? Legen Sie erste Verantwortlichkeiten fest: Das kann z. B. die Geschäftsführung, die IT-Leitung oder das Compliance-Team sein. Frühzeitige Klarheit spart später viel Zeit.

3. Orientierung schaffen

Verschaffen Sie sich einen Überblick über die typischen Anforderungen, die mit NIS2 auf Sie zukommen. Dazu gehören unter anderem:

• Risikoanalysen und Risikomanagement
• Angemessene technische und organisatorische Sicherheitsmaßnahmen
• Meldepflichten bei Sicherheitsvorfällen

Sie benötigen Unterstützung?

Sollten Sie bei einem dieser Schritte Unterstützung benötigen, stehen wir Ihnen gerne für einen persönlichen Austausch zur Verfügung. Jetzt ist der richtige Zeitpunkt, um vorbereitet zu sein – bevor NIS2 Gesetz wird.