Am 13. November 2025 hat der Bundestag die finale Version der deutschen NIS-2-Umsetzung verabschiedet. Damit endet eine mehr als ein Jahr über der eigentlichen EU-Frist liegende Gesetzgebungsphase. Nach der Zustimmung kann das Gesetz voraussichtlich Ende 2025 oder Anfang 2026 in Kraft treten.
Für Unternehmen bleibt der bekannte Rahmen bestehen. Die flächendeckende Betroffenheit der Wirtschaft wurde bestätigt, sodass sich mehr als dreißigtausend Organisationen auf klare Anforderungen an Cybersicherheit, Meldeprozesse und Risikomanagement einstellen müssen.
Wesentliche Punkte der finalen Fassung:
- Der Anwendungsbereich bleibt weit gefasst und umfasst weiterhin große Teile der deutschen Wirtschaft.
- Einführung eines dreistufigen Melderegimes bei Sicherheitsvorfällen.
- Erweiterte Aufsichtsbefugnisse des Bundesamts für Sicherheit in der Informationstechnik.
- Ergänzende Regelungen für kritische Komponenten sowie neue Vorgaben für die Bundesverwaltung.
Offene Fragen bestehen weiterhin bei vernachlässigbaren Tätigkeiten, der KRITIS-Verordnung und dem geplanten KRITIS-Dachgesetz für Resilienz und physische Sicherheit. Unternehmen sollten jetzt ihre eigene Betroffenheit prüfen, die Registrierung vorbereiten und vorhandene Sicherheitsmaßnahmen an den NIS-2-Standard anpassen.
Mehr Informationen gibt es direkt beim Bundestag.
