Gesetz zur Umsetzung der NIS-2-Richtlinie: Was Unternehmen jetzt wissen müssen
Seit dem 30. Juli 2025 liegt der Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie vor. Diese Entwicklung markiert einen bedeutenden Schritt zur Stärkung der Cybersicherheit und hat Auswirkungen auf betroffene Unternehmen.
Die NIS-2-Richtlinie der Europäischen Union steht für Network and Information Security und legt verbindliche Mindeststandards für die Cybersicherheit von Betreibern Kritischer Infrastrukturen fest. Ziel der Richtlinie ist es, die Cybersicherheitsstandards in der EU zu harmonisieren und zu verbessern. Unternehmen, die als Betreiber kritischer Infrastrukturen (KRITIS) eingestuft werden, müssen sich auf strengere Sicherheitsanforderungen einstellen. Dies umfasst sowohl technische als auch organisatorische Maßnahmen, um die Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen.
Was bedeutet die Veröffentlichung des Regierungsentwurfs?
Der Kabinettsbeschluss (Regierungsentwurf) markiert den zweiten Schritt im Gesetzgebungsverfahren. Zuvor war am 24. Juni 2025 der Referentenentwurf veröffentlicht worden, zu dem Bundesländer, Verbände, Organisationen und Institutionen schriftliche Stellungnahmen abgeben konnten. Als nächstes folgt die Stellungnahme im Bundesrat und schließlich die Lesungen im Bundestag. Erst danach erfolgt der Abschluss des Gesetzes. Wann dies so weit sein wird, steht noch nicht fest. Dennoch sollten sich betroffene Unternehmen zeitnah vorbereiten. Denn auch wenn noch unklar ist, wann das Gesetz verabschiedet wird, tritt es unmittelbar am Tag seiner Verkündung in Kraft. Das heißt, Unternehmen müssen die Anforderungen an diesem Tag X bereits umgesetzt haben.
Welche Änderungen ergeben sich für Unternehmen?
Der aktuelle NIS-2-Regierungsentwurf vom Juli 2025 bringt entscheidende Veränderungen für die Cybersicherheit in Deutschland mit sich: Laut Bundesministerium des Innern (BMI) sieht die NIS-2-Richtlinie im Wesentlichen eine Ausweitung von Cybersicherheitsmindestanforderungen und Meldepflichten auf mehr Unternehmen – in Deutschland von rund 4.500 (darunter ca. 1.800 KRITIS-Betreiber) auf rund 29.500 Unternehmen vor. Die Regulierung umfasst die Pflicht, Sicherheitsvorfälle zu melden und eine Reihe von Sicherheitsmaßnahmen zu ergreifen - einschließlich Risikomanagement, Sicherheit in der Lieferkette, Schulungen und Sensibilisierungsmaßnahmen sowie angemessene Reaktion auf Sicherheitsvorfälle. Weiterhin nimmt die NIS-2-Richtlinie Geschäftsführungen betroffener Einrichtungen in die Pflicht: Sie müssen die Risikomanagementmaßnahmen umsetzen, deren Einhaltung überwachen und sich in der Bewertung und im Management von Cyberrisiken weiterbilden. Darüber hinaus erhalten das BSI und das BMI künftig deutlich mehr Befugnisse und die Zuständigkeiten zwischen den Behörden werden neu geordnet. Gleichzeitig wird die Cybersicherheit in der Bundesverwaltung gestärkt – beispielsweise durch die Aufwertung des IT-Grundschutzes und erweiterte Aufgaben der Informationssicherheitsbeauftragten.
Die geplanten Änderungen zeigen: NIS-2 bleibt ein zentrales Thema für Unternehmen und Behörden und erfordert ein Umdenken hin zu einer nachhaltigen Sicherheitskultur.
Was sollten Unternehmen nun tun?
Welche Schritte und Maßnahmen sollten Unternehmen nun ergreifen? Die folgende Checkliste bietet eine gute erste Orientierung zur Umsetzung der NIS-2-Richtlinie.
