Bundestag beschließt NIS-2-Umsetzungsgesetz – Unternehmen sollten spätestens jetzt NIS-2-compliant werden

Das deutsche NIS-2-Umsetzungsgesetz ist gestern am 13.11.2025 – endlich! – vom Bundestag beschlossen worden (s. hier). Im nächsten Schritt wird sich der Bundesrat mit dem Gesetz befassen. Mit der Verkündung im Bundesgesetzblatt und dem Inkrafttreten des Gesetzes ist spätestens (!) Anfang 2026 zu rechnen. 

Unternehmen, die sich bislang darauf verlassen haben, dass der deutsche Gesetzgeber den Gesetzgebungsprozess nur schleppend (und im Übrigen europarechtswidrig) vorangetrieben hat, sollten sich also spätestens jetzt mit NIS-2 auseinandersetzen und in die Umsetzung einsteigen.   

Mit unserem Team, das in den vergangenen Monaten zahlreiche NIS-2-Umsetzungsprojekte begleitet hat, stehen wir Unternehmen zu allen Rechtsfragen zur IT-Sicherheit zur Verfügung. Wir verfügen zudem über ein Netzwerk von technischen Dienstleistern, mit denen wir bei Bedarf Ihr NIS-2 Projekt interdisziplinär begleiten und umsetzen. Gerne verweisen wir auch auf unser umfassendes Whitepaper, welches hier abrufbar ist: s. hier.

Drei Punkte, auf die wir Unternehmen nochmal hinweisen möchten: 

• Unternehmen müssen selbst prüfen, ob sie von dem Gesetz betroffen sind. Die konkrete Anwendbarkeitsprüfung ist eine Rechtsfrage. Anders, als man dies landläufig schon gehört hat, wird das BSI auch keine Liste mit den betroffenen Unternehmen veröffentlichen. Das ist elementar für die richtige Entscheidung und Enthaftung der Geschäftsleitung. Als erste Einordnung kann unser NIS-2-Betroffenheitstool dienen, welches hier abrufbar ist: s. hier.  
• Es gibt keine Übergangsfristen. Mit Inkrafttreten des Gesetzes gelten alle Pflichten, insbesondere zur Umsetzung der Cyber-Risikomanagementmaßnahmen, zur Registrierung beim BSI und zur Meldung von relevanten Sicherheitsvorfällen gegenüber Behörden und anderen Stellen.     
• Selbst wenn Ihr Unternehmen nicht direkt unter die NIS2-Regeln fällt, ist die Wahrscheinlichkeit erheblich gestiegen, dass einer oder mehrere Ihrer Kunden darunterfallen und daher von allen Lieferanten verlangen (müssen), dass sie dokumentieren können, ihren Teil der Cyberresilienz zu erfüllen. Die wenigsten Unternehmen sind auf solche Anfragen bereits vorbereitet, obwohl sie für die Wettbewerbsfähigkeit sehr wichtig sind. 

Für weitere Informationen sprechen Sie unser Team jederzeit gerne an.