Am 13. November 2025 soll der Bundestag über das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ (NIS2UmsuCG) abstimmen. Nach einer halbstündigen Debatte ist die Schlussabstimmung vorgesehen – es geht um den zentralen Rechtsrahmen, der NIS2 in Deutschland endlich verankern soll (BT-Drs. 21/1501; 21/2072). Federführend ist der Innenausschuss, der bereits am 13. Oktober eine öffentliche Anhörung mit zahlreichen Sachverständigen durchgeführt hat.
Die NIS-2-Richtlinie (Richtlinie (EU) 2022/2555) der Europäischen Union ist seit dem 16. Januar 2023 in Kraft und legt verbindliche Mindeststandards für die Cybersicherheit von Netz- und Informationssystemen fest. Deutschland als EU-Mitgliedsstaat ist verpflichtet, diese Richtlinie fristgerecht in nationales Recht umzusetzen. Deutschland hat die ursprüngliche Frist (18. Oktober 2024) nicht eingehalten. Mit der aktuellen Vorlage will die Bundesregierung nun den Schritt zur nationalen Umsetzung gehen.
Nächste Schritte der NIS-2 in Deutschland
Damit Deutschland die Vorgaben der NIS-2 nicht nur verabschiedet, sondern auch wirksam umsetzt, sind im Folgenden mehrere Schritte erforderlich:
-
Gesetzgebungsprozess im Bundestag und Bundesrat abschließen
-
Nach der ersten Lesung im Bundestag ist nun die Überweisung des Entwurfs an die zuständigen Ausschüsse (z. B. Innenausschuss, Haushaltsausschuss) erfolgt.
-
Anschließend folgt die zweite und dritte Lesung im Bundestag sowie die Zustimmung im Bundesrat – insbesondere da das Gesetz auch Länderzuständigkeiten tangiert.
-
Erst mit der Verkündung im Bundesgesetzblatt wird das Gesetz rechtskräftig.
-
-
Erarbeitung der Begleit-Verordnungen und Verwaltungsvorschriften
-
Die Richtlinie setzt Mindeststandards, aber viele Details müssen national in Ausführungsverordnungen und Verwaltungsvorschriften geregelt werden – etwa Zuständigkeiten, Meldewege und Sanktionen.
-
Auch die Ausweitung auf verschiedene Sektoren und Kategorien „wesentlicher“ bzw. „wichtiger“ Einrichtungen erfordert Klarstellungen.
-
-
Aufbau von Meldesystemen und Registrierungspflichten
-
Betroffene Unternehmen müssen künftig registriert werden und Meldepflichten erfüllen (z. B. binnen 24 Stunden bei „wesentlichen“ Einrichtungen) – das nationale Portal und die Prozesse müssen eingerichtet werden.
-
Auch das zuständige Aufsichtsorgan – das Bundesamt für Sicherheit in der Informationstechnik (BSI) – muss personell und technisch ausgestattet werden.
-
NIS-2 Umsetzung
Für Unternehmen und Behörden gilt: Jetzt ist der Zeitpunkt, sich auf die neuen Vorgaben vorzubereiten – sowohl organisatorisch als auch technisch. Wer früh handelt, kann Umsetzungsrisiken minimieren. Hier finden Sie mehr zur Anwendbarkeit der NIS-2 für Ihr Unternehmen.
Mit der ersten Lesung des Gesetzes zur Umsetzung der NIS-2-Richtlinie hat der Bundestag einen wichtigen Schritt gemacht. Allerdings steht die vollständige Umsetzung noch bevor – und mit ihr zahlreiche Aufgaben für Gesetzgeber, Verwaltung, Wirtschaft und Behörden. Ob Deutschland bei der Umsetzung rechtzeitig und wirkungsvoll vorgeht, wird maßgeblich sein, um das Sicherheitsniveau im digitalen Raum zu erhöhen und europäisch vergleichbar zu gestalten.
