Am 6. Dezember 2025 ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft getreten. Es setzt die europäische NIS-2-Richtlinie um und erweitert den Kreis der regulierten Unternehmen erheblich – von bislang vor allem Betreibern kritischer Infrastrukturen auf zahlreiche „wichtige“ und „besonders wichtige Einrichtungen“ aus Industrie, Digitalwirtschaft, Logistik und Gesundheitswesen.
Die zentralen Pflichten
- Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI),
- angemessene technische und organisatorische Maßnahmen des Risikomanagements, einschließlich der Sicherheit in der Lieferkette,
- gestufte Meldepflichten bei erheblichen Sicherheitsvorfällen (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat),
- Billigungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung – mit persönlicher Haftung bei Pflichtverletzungen.
Unternehmen sollten kurzfristig prüfen, ob sie betroffen sind, und Zuständigkeiten, Meldewege und Dienstleisterverträge anpassen. Wir unterstützen bei der Betroffenheitsanalyse, der Compliance-Organisation und der Vertragsgestaltung.
Mehr zum Thema: Compliance · IT-Recht