NIS2 Richtlinie und BSIG: Sind Sie NIS2 ready?

Das neue BSI-Gesetz gilt seit dem 6. Dezember 2025

Das „Gesetz zur Umsetzung der NIS2-Richtlinie“ wurde am 2. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und gilt seit dem 6. Dezember 2025. Artikel 1 ist das neue BSI-Gesetz (BSIG), und dieses Gesetz enthält die Pflichten, nicht die Richtlinie selbst.

Das BSI beaufsichtigt nach eigener Schätzung rund 29.500 Einrichtungen, vorher waren es rund 4.500 (BSI, November 2025).

Aus dem Gesetz folgen für betroffene Einrichtungen insbesondere:

geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen nach § 30 BSIG,
Registrierung beim BSI binnen drei Monaten, Änderungen binnen zwei Wochen (§ 33 BSIG),
bei einem erheblichen Vorfall eine frühe Erstmeldung binnen 24 Stunden, die bewertete Meldung binnen 72 Stunden und die Abschlussmeldung einen Monat später, an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG),
gesicherte Sprach-, Video- und Textkommunikation sowie Multi-Faktor-Authentifizierung als Mindestmaßnahme (§ 30 Abs. 2 Satz 2 Nr. 10 BSIG).

Quellen: BSIG in der seit 6. Dezember 2025 geltenden Fassung, gesetze-im-internet.de. Schätzung der beaufsichtigten Einrichtungen: BSI-Pressemitteilung vom 13. November 2025.

Was die NIS2-Richtlinie ist, und was daraus in Deutschland folgt

Die NIS2-Richtlinie (Network and Information Security) verpflichtet die Mitgliedstaaten der EU, strengere Anforderungen an die Cybersicherheit einzuführen. Deutschland hat sie mit dem neuen BSI-Gesetz umgesetzt. Maßgeblich für Ihr Haus ist deshalb das BSIG, nicht der Richtlinientext.

Besonders relevant für die Praxis: Zu den Mindestmaßnahmen zählt gesicherte Sprach-, Video- und Textkommunikation, im Rahmen der Verhältnismäßigkeit nach § 30 Abs. 1 BSIG. Das ist der Punkt, an dem ISEC7 mit eigenen Produkten und denen der Partner arbeitet.

Geschäftsführung und IT-Leitung stehen in der Verantwortung

§ 38 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen, deren Umsetzung zu überwachen und sich regelmäßig zu schulen. Verletzen sie diese Pflicht, haften sie ihrer Einrichtung nach den Regeln des jeweiligen Gesellschaftsrechts. Eine neue Außenhaftung entsteht dadurch nicht.

„Wir schaffen Sicherheit durch Stabilität und Stärke. Und NIS 2 erfüllt genau das: Stabilität und Stärke, meine Damen und Herren.“
Alexander Dobrindt, Bundesminister des Innern, Deutscher Bundestag, 13. November 2025, Plenarprotokoll 21/40

NIS2-Readiness-Check

Wo Ihre Einrichtung bei den Pflichten aus dem BSIG steht

Vierzehn Fragen aus fünf Pflichtbereichen, in vier Minuten beantwortet. Am Ende steht ein PDF mit Ihrem Stand, das Sie weitergeben können.

Ihr Gesamtergebnis und der Stand in fünf Pflichtbereichen
Die größten Lücken, sortiert nach Wirkung
Passende Lösungen von ISEC7 und unseren Partnern, mit Begründung
Alles als PDF, für Geschäftsführung, IT-Leitung oder die eigene Akte

Die Auswertung läuft in Ihrem Browser, Ihre Antworten werden nicht übertragen. Rechtsstand: BSIG in der Fassung, die seit 6. Dezember 2025 gilt.

Lösungen für gesicherte Kommunikation, aus eigener Hand und von Partnern

ISEC7 MANAGED SECURE VOICE

Managed Service für abhörsichere mobile Sprachkommunikation, auf Basis der App SecuVOICE von Secusmart, die eine Einsatzerlaubnis des BSI bis VS-NfD trägt. Adressiert die Sprachseite der Maßnahme aus § 30 Abs. 2 Satz 2 Nr. 10 BSIG. Die Einsatzerlaubnis trägt die Anwendung von Secusmart, nicht ISEC7.

ISEC7 MAIL & ISEC7 CLASSIFY

ISEC7 MAIL ist ein sicherer Mail-Client für klassifizierte Umgebungen, ISEC7 CLASSIFY übernimmt die Klassifizierung von Inhalten. Zusammen halten sie die Einstufung am Inhalt, auch mobil und auch im Anhang.

ISEC7 SPHERE

Herstellerübergreifendes Monitoring und Management für heterogene UEM-Umgebungen. Zeigt über mehrere UEM hinweg, welcher Stand auf welchen Geräten gilt, und liefert damit die Grundlage für Nachweise.

Arctic Wolf Managed SOC by ISEC7

Managed Detection and Response von Arctic Wolf, von ISEC7 an Ihre Mobility-Umgebung angebunden. Deckt Erkennung und Reaktion außerhalb der Bürozeiten ab. ISEC7 betreibt kein eigenes SOC, die Leistung kommt von Arctic Wolf.

Häufige Fragen zur NIS2-Umsetzung

Seit wann gilt die NIS2-Umsetzung in Deutschland?

Das NIS2-Umsetzungsgesetz wurde am 2. Dezember 2025 verkündet (BGBl. 2025 I Nr. 301) und gilt seit dem 6. Dezember 2025. Artikel 1 ist das neue BSI-Gesetz. Die Pflichten aus § 30 BSIG gelten seitdem. Für die Registrierung beim BSI gilt eine Frist von drei Monaten (§ 33 BSIG), Nachweise für Betreiber kritischer Anlagen sind erst nach drei Jahren fällig (§ 39 BSIG).

Wer ist betroffen?

Das BSI beaufsichtigt nach eigener Schätzung rund 29.500 Einrichtungen, vorher waren es rund 4.500 (BSI, November 2025). Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen, aus Bereichen wie Energie, Transport, Gesundheit, Wasser, Banken, öffentliche Verwaltung, digitale Dienste, Fertigung und Abfallwirtschaft.

Welche Kernpflichten gelten?

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen, darunter Lieferkettensicherheit sowie Multi-Faktor-Authentifizierung und gesicherte Sprach-, Video- und Textkommunikation (§ 30 Abs. 2 Satz 2 Nr. 10 BSIG). § 32 BSIG regelt die Meldung erheblicher Vorfälle: frühe Erstmeldung binnen 24 Stunden, bewertete Meldung binnen 72 Stunden, Abschlussmeldung einen Monat später, an die gemeinsame Meldestelle von BSI und BBK.

Welche Bußgelder sind möglich?

Nach § 65 BSIG sind bei besonders wichtigen Einrichtungen Bußgelder bis zu 10 Millionen Euro möglich, bei einem Gesamtumsatz über 500 Millionen Euro bis zu 2 Prozent des weltweiten Gesamtumsatzes. Bei wichtigen Einrichtungen liegt der Rahmen bei bis zu 7 Millionen Euro, oberhalb von 500 Millionen Euro Umsatz bei 1,4 Prozent.

Was gilt für die Geschäftsleitung?

§ 38 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen, deren Umsetzung zu überwachen und sich regelmäßig zu schulen. Verletzen sie diese Pflicht, haften sie ihrer Einrichtung nach den Regeln des jeweiligen Gesellschaftsrechts.

Wie unterstützt ISEC7 bei der Umsetzung?

ISEC7 liefert Lösungen aus eigenen Produkten und denen der Partner: ISEC7 MANAGED SECURE VOICE für abhörsichere mobile Sprachkommunikation auf Basis der App SecuVOICE von Secusmart, ISEC7 MAIL und ISEC7 CLASSIFY für eingestufte Text- und Dateikommunikation, ISEC7 SPHERE für herstellerübergreifendes Monitoring von UEM-Umgebungen sowie Managed Detection and Response von Arctic Wolf, von ISEC7 angebunden.

Rechtsstand: BSIG in der Fassung, die seit 6. Dezember 2025 gilt. Quellen: gesetze-im-internet.de, BSI-Pressemitteilungen vom 13. und 5. Dezember 2025 sowie vom 13. November 2025.