NIS2 in Deutschland: Umsetzung, Fristen und was kleine Provider ab 2025 tun müssen

Die NIS-2-Richtlinie der EU hätte bis Oktober 2024 in nationales Recht umgesetzt werden müssen. Deutschland hat die Frist verpasst, und monatelang blieb unklar, wann das Gesetz kommt. Jetzt liegt es vor: Das Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS2UmsuCG) wurde am 5. Dezember 2025 verkündet, die umfassende Novelle des BSI-Gesetzes (BSIG) trat am 6. Dezember 2025 in Kraft. Damit endet die Phase des Wartens, und für viele kleine Betreiber von Hosting, SaaS und digitaler Infrastruktur werden abstrakte Pflichten konkret.

Was das neue Gesetz macht

Die Umsetzung erfolgt im Wesentlichen über eine Neuauflage des BSI-Gesetzes. Der Kreis der regulierten Einrichtungen wächst dabei deutlich: Nach Zahlen des BSI fallen künftig rund 29.500 „besonders wichtige“ und „wichtige“ Einrichtungen unter die Aufsicht, bislang waren es etwa 4.500, vor allem KRITIS-Betreiber und Anbieter digitaler Dienste. Wer in den erfassten Sektoren tätig ist, sollte deshalb frühzeitig prüfen, ob und in welcher Kategorie die eigenen Voraussetzungen erfasst sind.

Wie das Gesetz die Größenzuordnung nach § 28 BSIG im Einzelnen regelt, fassen wir hier bewusst nicht in Zahlen zusammen: Die Schwellen und Kategorien hängen von Sektor, Unternehmensgröße und Art der Tätigkeit ab, und die verbindliche Einordnung ist eine Einzelfallfrage, die der Gesetzestext und die Erläuterungen des BSI beantworten, nicht dieser Beitrag. Wer unsicher ist, sollte die Selbstprüfung jetzt angehen statt im Halbjahr danach.

Die drei Pflichten

Aus den neuen Regelungen ergeben sich drei Kernpflichten, die für kleine Provider am häufigsten relevant sind:

• 1. Registrierung. „Besonders wichtige“ und „wichtige“ Einrichtungen müssen sich beim BSI registrieren, § 33 BSIG setzt dafür eine Frist von drei Monaten, nachdem man erstmals erfasst ist. Der Prozess ist zweistufig: erst ein Konto beim Dienst „Mein Unternehmenskonto“ (MUK), dann die Registrierung im BSI-Portal, das zum 6. Januar 2026 freigeschaltet wurde. Das BSI empfiehlt, das MUK-Konto noch 2025 anzulegen. Änderungen an den registrierten Daten sind unverzüglich, spätestens binnen zwei Wochen, nachzumelden.

• 2. Meldung. Erhebliche Sicherheitsvorfälle sind dem BSI zu melden, mit gestaffelten Fristen: 24 Stunden für die frühe Erstmeldung nach Kenntniserlangung, 72 Stunden für die eigentliche Meldung und 30 Tage für die Abschlussmeldung. Diese Fristen sind sportlich, wenn der Vorfallsprozess erst im Ernstfall erfunden wird.

• 3. Risikomanagement. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, mindestens in zehn Bereichen, von Risikoanalyse über Incident Response und Backup-Management bis zu Multi-Faktor-Authentifizierung und Schulung. Verantwortlich ist die Geschäftsleitung, und die Umsetzung ist nachvollziehbar zu dokumentieren. Genau die Dokumentation ist der Teil, den kleine Teams systematisch unterschätzen.

Was kleine Provider realistisch tun können

Die gute Nachricht vorweg: Vieles von dem, was § 30 BSIG verlangt, ist keine neue Technik, sondern Ordnung über Dinge, die gute Betreiber ohnehin tun. Ein realistischer Plan für ein kleines Team:

• Selbstprüfung und Registrierung zuerst. Klarstellen, ob und in welcher Kategorie man erfasst ist, und das MUK-Konto anlegen. Die Registrierungsfrist läuft, bevor irgendein Technikprojekt abgeschlossen sein muss.

• Grundhygiene dokumentierbar machen. Backups mit Wiederherstellungstest, ein Patchrhythmus, der nachvollzogen werden kann, MFA auf allen Verwaltungszugängen, und ein Incident-Plan auf Papier, der im Ernstfall auch von jemandem ausgeführt werden kann, der nicht der Autor ist. Genau das sind die Bereiche, die das Gesetz mindestens verlangt.

• Die Lieferkette ansprechen. Zu den zehn Mindestbereichen gehört die Sicherheit der Lieferkette, also die Frage, was die eigenen Anbieter leisten und was vertraglich geregelt ist. Kleine Provider sollten hier ehrlich nachfragen, was ihre Infrastrukturpartner beitragen, und was sie selbst verantworten.

• Geschäftsleitung einbinden. Die Verantwortung liegt gesetzlich bei der Leitung, nicht beim Administrator. Ein vierteljährliches Sicherheits-Reporting ist der einfachste Weg, das glaubwürdig abzubilden.

Wo ein Hoster oder Betreiber eines Infrastrukturumfelds die technischen Grundlagen stellt (Patching des Hosts, Netzwerkschutz, Monitoring), kann er einen Teil der Maßnahmen tragen. Die Verantwortung für Anwendungen, Zugänge und den Nachweis bleibt aber bei dem, der den Dienst erbringt. Diese Trennung ehrlich zu ziehen, ist besser als eine Vereinbarung, die im Ernstfall niemand lesen hat.

Was das für kleine Provider bedeutet

Zwei Punkte aus der Praxis verdienen eine klare Ansage. Erstens: Die Pflichten sind nicht delegierbar, auch nicht an den Dienstleister des Vertrauens. Das Gesetz unterscheidet zwischen der Verantwortung der Einrichtung und den Beiträgen ihrer Lieferkette, und die Lieferkette ist selbst einer der zehn Mindestbereiche. Wer Infrastruktur von Dritten bezieht, sollte also genau wissen, welche Sicherheitsleistungen vertraglich zugesagt sind und welche Lücken er selbst füllen muss. Zweitens: Bußgeld-Debatten sind der schlechteste Ausgangspunkt. Der sinnvollere Treiber ist der eigene Nutzen, denn ein gepflegter Backup-Prozess, ein getesteter Notfallplan und dokumentierte Zugangsregeln helfen bei jedem Zwischenfall, nicht nur bei einer Aufsichtsanfrage.

Wer die Infrastrukturentscheidung, die dahintersteht, neu bewerten möchte, findet im Frühjahr in unserem Cloud-gegen-On-Premise-Beitrag die Ausgangslage; unter Compliance-Gesichtspunkten fällt die Bewertung heute anders aus als vor zwei Jahren. Wer Unterstützung bei Einordnung und Umsetzung sucht, findet auf unserer Kontakt-Seite den direkten Draht, und auf der Support-Seite die laufenden Betriebsleistungen.

Quellen

• BSI: „Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft“, Pressemitteilung 5.12.2025, https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html (abgerufen 2026-11-01)

• Bundesgesetzblatt Teil I, Nr. 301/2025 (NIS2UmsuCG), https://www.recht.bund.de/bgbl/1/2025/301/VO.html (abgerufen 2026-11-01)

• BSIG, § 28 und § 33 (Gesetze im Internet), https://www.gesetze-im-internet.de/bsig_2025/ (abgerufen 2026-11-01)

• BSI: NIS-2-Pflichten (Meldefristen, Registrierungsprozess), https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Pflichten/nis-2-pflichten.html (abgerufen 2026-11-01)

• BSI: Risikomanagementmaßnahmen (§ 30 BSIG, zehn Mindestbereiche), https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Risikomanagementmassnahmen/NIS-2-Risikomanagementmassnahmen.html (abgerufen 2026-11-01)