NIS-2
Umsetzungsgesetz
„Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“
Inkraftsetzung 6. Dezember 2025
Cyberangriffe und eine daraus deutlich gestiegene Bedrohungslage erhöhen die Notwendigkeit, Sicherheitsstandards in unserer Gesellschaft zu verbessern. Die Resilienz kritischer Infrastrukturen (KRITIS) und damit verbundener Einrichtungen stehen dabei im Mittelpunkt und im besonderen Fokus.
Bereits im Jahr 2022 wurden mit Hilfe der EU-Richtlinie (EU) 2022/2555 (NIS-2) Cybersicherheitsstandards in der EU vereinheitlicht, um auf die Schwächen der Vorgängerrichtlinie (NIS-1) einzugehen.
Mit dem am 06.12.2025 ohne Übergangsfrist in Kraft gesetzten „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ will die Bundesregierung einheitliche Sicherheitsstandards nun in deutsches Recht umsetzen. Als so genanntes Artikel-Gesetz greift es mit sofortiger Wirkung in eine Vielzahl bestehender Gesetze ein.
Das Gesetz legt die Grundlagen für einheitliche Sicherheitsstandards, definiert strenge Sicherheitsanforderungen, umfangreiche Meldepflichten bei Sicherheitsvorfällen und definiert schärfere Sanktionen bei Verstößen, inkl. Haftungsfragen. Insbesondere Unternehmen, die für die Grundversorgung der Bevölkerung wichtig sind, wie auch Unternehmen im Energie- und Infrastruktursektor, sind von diesen Änderungen betroffen und müssen künftig strengere Regeln zur IT-Sicherheit einhalten.
Betroffene Unternehmen müssen prüfen, inwieweit sie die erforderlichen Maßnahmen bereits erfüllen.
Spezifische Anforderungen für den Energiesektor
Für den Energiesektor ergeben sich konkret spezifische Anforderungen für Betreiber von Energienetzen, Energieanlagen sowie digitalen Energiediensten (z. B. Aggregatoren).
Neu ist dabei die Kategorisierung der Sicherheitsanforderungen nach „wichtigen Einrichtungen“, „besonders wichtigen Einrichtungen“ und „KRITIS-Betreibern“ – mit jeweils abgestuften Anforderungen an die IT-Sicherheit.
Der erweiterte Schutzumfang beinhaltet im Energiesektor Telekommunikations- und Datenverarbeitungssysteme, energiewirtschaftliche Dienste, Beschaffungsprozesse und Lieferketten, um Risiken durch die zunehmende Digitalisierung und Vernetzung in der Energiewirtschaft zu minimieren. Ziel ist es, durch die sektorenübergreifende Regulierung ein einheitliches Cybersicherheitsniveau im gesamten Energiesektor zu etablieren.
Mit dem KRITIS-Dachgesetz kommen weitere Anforderungen an die physische Sicherheit hinzu und wird ein ganzheitlicher Schutzansatz verfolgt.
CONSULECTRA begleitet seine Kunden bei der Umsetzung der Anforderungen aus der NIS-2 Richtlinie und dem kommenden KRITIS-Dachgesetz. Ausgewiesene zertifizierte Experten bieten unseren Kunden praxisorientierte und fachlich fundierte Unterstützung bei der Umsetzung und Entwicklung von Lösungen für die zunehmend komplexen Herausforderungen.
| SPRECHEN SIE UNS AN: Für Fragen und Terminvereinbarungen, z. B. zu einem Beratungsgespräch oder einem Workshop, stehen wir Ihnen gerne zur Verfügung. |
01
EINORDNUNG
Kategorien – besonders wichtige Einrichtungen
Betroffenheit & Einordnung
Nr. | Kategorie | Beschreibung | Schwellenwerte / Voraussetzungen |
01 | Betreiber kritischer Anlagen | Betreiber von Anlagen, die als kritisch | Immer besonders wichtige Einrichtung |
02 | Vertrauens- und | Qualifizierte Vertrauensdiensteanbieter, | Unabhängig von Größe oder Umsatz |
03 | Telekommunikation | Anbieter öffentlich zugänglicher Telekommunikationsdienste oder | Eine der folgenden Voraussetzungen:a) ≥ 50 Beschäftigte |
04 | Sonstige Einrichtungen nach Anlage 1 | Natürliche oder juristische Personen sowie rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die entgeltlich Waren oder Dienstleistungen anbieten und einer Einrichtungsart nach Anlage 1 zuzuordnen sind | Eine der folgenden Voraussetzungen: |
Kategorien – wichtige Einrichtungen
Betroffenheit & Einordnung
Nr. | Kategorie | Beschreibung | Schwellenwerte / Voraussetzungen |
01 | Vertrauensdiensteanbieter | Vertrauensdiensteanbieter | Keine zusätzlichen Größen- |
02 | Telekommunikation | Anbieter öffentlich zugänglicher Telekommunikationsdienste oder | Alle folgenden Voraussetzungen |
03 | Sonstige Einrichtungenz. B. Energie, Wasser, Verkehr, und weiter Sektoren nach BSI* (siehe Anlage 1 und Anlage 2) | Natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die entgeltlich Waren oder Dienstleistungen anbieten und einer Einrichtungsart nach Anlagen 1 und 2 zuzuordnen sind | Eine der folgenden Voraussetzungen:a) ≥ 50 Mitarbeiter |
Kategorien – Betreiber kritischer Anlagen
Betroffenheit & Einordnung
Nr. | Kategorie | Beschreibung | Schwellenwerte / Voraussetzungen |
01 | Betreiber kritischer Anlagen | Betreiber kritischer Anlagen in den Sektoren | Festgelegt in der BSI-Kritisverordnung |
02
AUSNAHMEN
Arten der Ausnahmen
Ausnahmen und Sonderregelungen
Nr. | Art der Ausnahme | Regelungsinhalt |
01 | Ermittlung Unternehmenskennzahlen | Anwendung der EU-KMU-Empfehlung 2003/361/EG; Partner- und verbundene Unternehmen werden nicht mitgerechnet, sofern das Unternehmen hinsichtlich IT-Systemen, -Komponenten und -Prozessen unabhängig ist. |
02 | Abgrenzung – Geschäftstätigkeit | Vernachlässigbare Geschäftstätigkeiten können bei der Zuordnung |
03 | Vorrang Telekommunikation | §§ 30, 31, 32, 35, 36, 38, 39, 61, 62 gelten nicht für besonders wichtige Einrichtungen |
04 | Vorrang Energie (EnWG) | §§ 30, 31, 32, 35, 36, 38, 39, 61, 62 gelten nicht für Energieversorgungsnetze, Energieanlagen und digitale Energiedienste, stattdessen gelten erweiterte Anforderungen nach §§ 5c–5e EnWG (IT Sicherheitskataloge der BNetzA mit Anforderungen z. B. an das Risikomanagement, Systeme zur Angriffserkennung, BCM, etc.) |
04a | Einschränkung der Ausnahme | Ausnahme gilt nicht, wenn zusätzliche kritische Anlagen oder weitere Tätigkeiten |
04b | Nebentätigkeit Energie | Ausnahme gilt nicht, wenn Energieanlage nur Nebentätigkeit ist |
03
PFLICHTEN, MASSNAHMEN UND FRISTEN
Umzusetzende Maßnahmen nach Einrichtungstyp
Pflichten, Maßnahmen und Fristen
Nr. | Pflicht / Maßnahme | Betreiber kritischer Anlagen (KRITIS) | Besonders wichtige Einrichtungen | Wichtige Einrichtungen |
01 | Risikomanagement | Ja | Ja | Ja |
02 | Pflichtinhalte | Ja | Ja | Ja |
03 | Dokumentation der Maßnahmen | Ja | Ja | Ja |
04 | EU-Durchführungsrechtsakte | Vorrang, vollständig anzuwenden | Vorrang vor nationalen Maßnahmen | Nur falls betroffen |
05 | Zertifizierungspflicht | Ja, wenn für KRITIS per VO bestimmt | Nutzung bestimmter IKT‑Produkte nur mit EU‑Zertifizierung | Nur wenn per Rechtsverordnung angeordnet |
06 | Pflicht zur Angriffserkennung | Ja | Nein | Nein |
07 | Meldepflicht | Ja, außer Sonderfall Finanzwesen | Ja (Erstmeldung ≤ 24 h, | Ja (Erstmeldung ≤ 24 h, |
08 | Registrierung | Ja, mit zusätzlichen Angaben | Ja, innerhalb von 3 Monaten | Ja, innerhalb von 3 Monaten |
09 | Erweiterte Registrierung | Nein | Ja (für Einrichtungen nach | Ja (für Einrichtungen nach |
10 | Nachweispflichten | Audits / Prüfungen / Zertifikate | Nein | Nein |
11 | Erstnachweis | Frühestens 3 Jahre | – | – |
12 | Übergangsregel | Kein Doppel-Nachweis | – | – |
04
§ 38 UMSETZUNGS-, ÜBERWACHUNGS- UND
SCHULUNGSPFLICHTEN DER GESCHÄFTSLEITUNG
§ 38 Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung
Nr. | Thema | Betreiber kritischer Anlagen (KRITIS) / Besonders wichtige Einrichtungen / Wichtige Einrichtungen |
01 | Wer ist verantwortlich? | Geschäftsleitung |
02 | Umsetzungspflicht | Umsetzung der Risikomanagementmaßnahmen nach § 30 verpflichtend |
03 | Überwachungspflicht | Laufende Überwachung der Umsetzung durch die Geschäftsleitung |
04 | Delegation möglich? | Ja, operativ |
05 | Haftung bei Pflichtverletzung | Persönliche Haftung für schuldhaft verursachte Schäden nach Gesellschaftsrecht |
06 | Zusätzliche Haftung nach diesem Gesetz | Nur wenn das Gesellschaftsrecht keine Haftungsregelung enthält |
07 | Schulungspflicht | Regelmäßige verpflichtende Schulungen |
05
BUSSGELDER
§ 65 – Bußgeldvorschriften
Nr. | Pflicht / Maßnahme | Konkreter Verstoß | Betroffene Einrichtungen | Geldbuße |
01 | Erstmeldung | Sicherheitsvorfall nicht | Alle | bis 7 Mio. € (wichtig) / |
02 | Abschlussmeldung | Abschlussmeldung nicht | Alle | bis 7 Mio. € / 10 Mio. € |
03 | Registrierung | Registrierung / Angaben nicht, | Alle | bis 500.000 € |
04 | Dokumentation | Maßnahmen nicht oder | Alle | bis 7 Mio. € / 10 Mio. € |
05 | Zertifizierung | Zertifikate / Kennzeichen | Alle | bis 500.000 € |
06 | Risikomanagement | Maßnahmen nicht / nicht richtig / | Alle | bis 7 Mio. € / 10 Mio. € |
07 | Nachweise | Nachweise nicht, nicht richtig | KRITIS | bis 1 Mio. € |
08 | Mitwirkungspflicht | Zutritt, Unterlagen oder Auskünfte verweigert (§ 61 Abs. 5) | Besonders wichtige/KRITIS | bis 100.000 € |
09 | Weiteres |
06
CONSULECTRA
Unterstützung durch CONSULECTRA
Unterstützung bei der Einrichtung
von Kontakt- und Meldestellen
Bestandsaufnahmen zur (Cyber-) Sicherheit (technisch, organisatorisch, personell und physisch) durchführen und
mit dem Stand der Technik abgleichen
Hilfestellung bei der Bewertung der Betroffenheit & Ermittlung des relevanten Geltungsbereichs
Unterstützung bei der Nachweiserbringung für die Übermittlung an die zuständigen Behörden (soweit erforderlich)
Geeignete Methoden zum Risikomanagement entwickeln oder bestehende Methoden anpassen sowie die Durchführung des Risikomanagements unterstützen
Schulung von Schlüsselpersonal inkl. Geschäftsleitung
Aufbau oder Weiterentwicklung
von Managementsystemen zur Informationssicherheit (ISMS)
und Business Continuity Management (BCMS)
Technische, organisatorische, personelle und physische Maßnahmen zur Steigerung der (Cyber-) Sicherheit und Resilienz konzipieren und umsetzen (z. B. Managementsysteme zur Informationssicherheit (ISMS) und Business Continuity Management (BCM) etablieren bzw. erweitern, Sicherheit in der Lieferkette gewährleisten etc.)
Unterstützung bei der Registrierung als wichtige Einrichtung, besonders wichtige Einrichtung oder KRITIS-Betreiber
IHR ANSPRECHPARTNER
+49 40 27899-211