Mit dem Regierungsentwurf vom 30. Juli 2025 setzt die Bundesregierung einen wesentlichen Meilenstein für die Modernisierung des deutschen IT-Sicherheitsrechts. Das Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (im Folgenden: NIS2UmsuCG-E) überführt die Richtlinie (EU) 2022/2555 in nationales Recht und reformiert zugleich zentrale Vorschriften des BSI-Gesetzes. Für die Praxis bedeutet dies eine erhebliche Ausweitung der Pflichten für Unternehmen und eine stärkere Verbindlichkeit der staatlichen Aufsicht.
Ausgangslage und Zielsetzung
Die NIS-2-Richtlinie verfolgt das Ziel, europaweit ein hohes gemeinsames Cybersicherheitsniveau sicherzustellen. Hintergrund sind wachsende Bedrohungen wie Ransomware, Supply-Chain-Angriffe, Hacktivismus und staatlich gesteuerte Cyberoperationen, die sich längst nicht mehr auf kritische Infrastrukturen im engeren Sinne beschränken. Laut Bitkom verursachten Cyberangriffe allein in Deutschland im Jahr 2024 Schäden von rund 266,6 Milliarden Euro. Diese Dimension verdeutlicht, dass Informationssicherheit nicht mehr allein technische Herausforderung, sondern integraler Bestandteil der Unternehmens- und Verwaltungssicherheit ist.
Der Gesetzgeber sieht sich vor der Aufgabe, diese Bedrohungslage durch verbindliche Mindeststandards und klare Meldepflichten zu adressieren. Gleichzeitig soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit erweiterten Aufsichtsbefugnissen ausgestattet werden, um nicht nur beratend, sondern auch durchsetzungsstark tätig werden zu können.
Erweiterter Anwendungsbereich
Eine der zentralen Änderungen gegenüber dem IT-Sicherheitsgesetz 2.0 ist die deutliche Ausweitung des sachlichen und persönlichen Anwendungsbereichs. Während bislang primär Betreiber Kritischer Infrastrukturen (§ 2 Abs. 10 BSIG a. F.) erfasst waren, führt das NIS2UmsuCG-E die Kategorien der „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“ ein (§ 28 BSIG-E). Maßgeblich für die Einordnung sind Sektorzugehörigkeit, Unternehmensgröße und Bedeutung für die Versorgungssicherheit. Erfasst werden damit neben Energie- und Wasserversorgern, Verkehrs- und Gesundheitsdiensten auch Unternehmen der Abfallwirtschaft, digitale Diensteanbieter und ausgewählte Produktionsbetriebe.
Besonders relevant ist, dass die Einstufung nicht zwingend eine unmittelbare KRITIS-Eigenschaft voraussetzt. Auch Unternehmen ohne exponierte öffentliche Versorgungsfunktion können unter den Anwendungsbereich fallen, wenn sie aufgrund ihrer Größe oder ihres Sektors als relevant für die Gesamtresilienz eingestuft werden.
Risikomanagement und Sicherheitsmaßnahmen
Das Gesetz verpflichtet betroffene Einrichtungen zur Umsetzung eines umfassenden Risikomanagements (§ 30 BSIG-E). Der in Art. 21 Abs. 2 NIS-2 verankerte Katalog von Mindestsicherheitsmaßnahmen wird nahezu wortgleich in nationales Recht übernommen. Dazu zählen insbesondere die Durchführung regelmäßiger Risikoanalysen, die Implementierung von Backup- und Wiederherstellungsstrategien, die Verschlüsselung sensibler Daten sowie die Sicherstellung der physischen und logischen Sicherheit von Netz- und Informationssystemen. Bemerkenswert ist, dass der Gesetzgeber ausdrücklich eine Verhältnismäßigkeitsklausel vorsieht. Die Intensität der umzusetzenden Maßnahmen soll sich an der Einstufung als „wichtig“ oder „besonders wichtig“ orientieren. Gleichwohl wird in der Gesetzesbegründung klar, dass ein bloß formaler Mindeststandard nicht ausreicht: Die Maßnahmen müssen wirksam und an die konkrete Bedrohungslage angepasst sein. Dies eröffnet einerseits Spielräume, erfordert andererseits aber eine kontinuierliche Überprüfung und Anpassung der Sicherheitsarchitektur.
Meldepflichten und Informationsaustausch
Eine weitere Kernänderung ist das dreistufige Meldeverfahren (§ 32 BSIG-E), das die bisherige einmalige Meldung ablöst. Sicherheitsvorfälle sind künftig binnen 24 Stunden in einer Erstmeldung, innerhalb von 72 Stunden in einem Zwischenbericht und spätestens nach einem Monat in einem Abschlussbericht zu melden. Erfasst werden nicht nur tatsächlich eingetretene erhebliche Sicherheitsvorfälle, sondern auch sogenannte „Beinahevorfälle“, deren potenzielle Auswirkungen erheblich gewesen wären.
Das BSI wird zur zentralen Meldestelle ausgebaut und erhält zudem die Kompetenz, den Informationsaustausch zwischen betroffenen Unternehmen, Behörden und ausgewählten Dritten zu koordinieren (§ 6 BSIG-E). Für die Praxis bedeutet dies, dass Unternehmen klare interne Prozesse und Eskalationsstufen implementieren müssen, um die strengen Fristen einzuhalten.
Verantwortung der Geschäftsleitung
Eine besonders praxisrelevante Neuerung findet sich in § 38 BSIG-E: Die Geschäftsleitungen der betroffenen Einrichtungen sind persönlich verpflichtet, die Umsetzung und Einhaltung der Sicherheitsvorgaben sicherzustellen. Dies umfasst nicht nur die Bereitstellung der erforderlichen Ressourcen, sondern auch die aktive Überwachung der Umsetzung und die Schulung relevanter Führungskräfte. Verstöße können zu persönlichen Haftungsrisiken führen, insbesondere wenn nachweisbar keine angemessenen organisatorischen Maßnahmen getroffen wurden.
Aus Unternehmenssicht bedeutet dies, dass Cybersicherheit als Bestandteil der Corporate Governance verankert werden muss. Compliance-Management-Systeme sollten ausdrücklich um ein Informationssicherheits-Compliance-Modul ergänzt werden, um den Anforderungen gerecht zu werden.
Sanktionsmechanismen
Die Bußgeldvorschriften (§ 65 BSIG-E) orientieren sich in ihrer Höhe an der DSGVO: Für besonders wichtige Einrichtungen können Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des Umsatzes. Diese Sanktionen sind kumulativ zu möglichen Bußgeldern nach der DSGVO zu verstehen, sofern ein Sicherheitsvorfall auch eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO darstellt.
Für die Praxis ergibt sich hieraus ein erhebliches finanzielles Risiko, das über rein technische Sicherheitsaspekte hinaus auch strategische Entscheidungen betrifft – etwa die Frage, ob einzelne Geschäftsbereiche aufgrund unverhältnismäßiger Compliance-Kosten restrukturiert werden sollten.
Ausblick und Handlungsempfehlung
Das Gesetz soll nach aktueller Planung im Dezember 2025 oder Januar 2026 in Kraft treten. Angesichts der Breite der betroffenen Sektoren und der Komplexität der Pflichten ist der verbleibende Zeitraum knapp bemessen. Unternehmen sollten unverzüglich prüfen, ob sie unter den Anwendungsbereich fallen, und auf dieser Basis eine Gap-Analyse durchführen. Dabei ist nicht nur die technische Sicherheitsarchitektur zu bewerten, sondern auch das organisatorische Rahmenwerk – von der Geschäftsleitungsverantwortung über interne Meldeketten bis hin zu Vertragsbeziehungen mit Dienstleistern.
Juristisch betrachtet stellt das NIS2UmsuCG-E einen Paradigmenwechsel dar: Informationssicherheit wird zur rechtlich durchsetzbaren Organisationspflicht mit klaren Haftungsfolgen. Wer diese Pflicht ernst nimmt, kann nicht nur Sanktionen vermeiden, sondern auch die eigene Widerstandsfähigkeit gegenüber einer zunehmend komplexen Bedrohungslage signifikant erhöhen.