NIS2-Gesetz: Ab sofort gelten verschärfte Cybersicherheits-Pflichten

Ab heute müssen sich über 30.000 deutsche Unternehmen auf verschärfte Kontrollen einstellen. Die Übergangsfrist für das neue IT-Sicherheitsgesetz NIS2 ist ausgelaufen – und mit ihr jede Schonzeit für Nachzügler.

BERLIN – Der Countdown ist abgelaufen: Seit Mitternacht gilt das verschärfte IT-Sicherheitsgesetz NIS2 in vollem Umfang. Für Zehntausende Unternehmen bedeutet das konkrete Handlungszwänge – und persönliche Haftung für ihre Führungskräfte. Besonders im Fokus steht dabei das Business Continuity Management (BCM), also die Fähigkeit, Betriebsabläufe auch während Cyberangriffen aufrechtzuerhalten.

Die erste praktische Hürde wartet bereits am 6. Januar 2026. Dann geht das zentrale Meldeportal des Bundesamts für Sicherheit in der Informationstechnik (BSI) live. Über diese Plattform müssen betroffene Unternehmen künftig Sicherheitsvorfälle innerhalb von 24 beziehungsweise 72 Stunden melden.

Passend zum Thema NIS2: Viele Unternehmen sind auf den Start des BSI‑Meldeportals und die neue Management‑Haftung nicht vorbereitet. Unser kostenloser Cyber‑Security‑Leitfaden erklärt in klaren Schritten, welche Schutzmaßnahmen jetzt Vorrang haben – von Awareness‑Programmen über Phishing‑Prävention bis zu Business‑Continuity‑Checks, die Aufsichtsbehörden sehen wollen. Ideal für Geschäftsführer und IT‑Verantwortliche, die jetzt schnell Lücken schließen müssen. Jetzt kostenlosen Cyber‑Security‑Leitfaden sichern

„Die Zeit für administrative Vorbereitungen ist definitiv vorbei“, kommentiert ein Branchenbeobachter. Unternehmen, die bis gestern kein „Mein Unternehmenskonto“ (MUK) beim BSI eingerichtet haben, starten mit Rückstand ins neue Jahr. Dieses Konto ist die Voraussetzung für die Nutzung des Meldeportals.

Kontinuitätsmanagement wird zur Chefsache

Während viele Diskussionen 2025 noch um den Anwendungsbereich kreisten, rückt nun der operative Kern in den Vordergrund. Das NIS2-Umsetzungsgesetz verlangt mehr als nur IT-Sicherheit: Es macht robuste Krisenpläne zur gesetzlichen Pflicht.

Rechtsexperten von Heuking und Bird & Bird betonen in aktuellen Analysen: „BCM unter NIS2 geht weit über traditionelle Datensicherungen hinaus.“ Konkret müssen Unternehmen nun nachweisen können:

• Krisenmanagement-Protokolle für die Aufrechterhaltung kritischer Gesellschaftsfunktionen
• Lieferketten-Resilienz durch Überwachung direkter Zulieferer
• Getestete Disaster-Recovery-Pläne mit dokumentierten Wiederherstellungszeiten

„Viele deutsche Unternehmen sind hier nur teilweise vorbereitet“, warnt das Beratungshaus SOCWISE. Da es keine Schonfrist mehr gibt, könnte jeder Betriebsausfall ab sofort regulatorische Konsequenzen haben.

Persönliche Haftung für Führungskräfte

Eine der weitreichendsten Neuerungen: Die persönliche Verantwortung des Top-Managements. Seit Inkrafttreten des Gesetzes am 6. Dezember 2025 haften Geschäftsführer und Vorstände persönlich für die Cybersicherheit ihres Unternehmens.

„Diese Verantwortung ist nicht delegierbar“, stellt PwC Deutschland klar. Führungskräfte müssen sich zu Cyberrisiken schulen lassen. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – auch für DAX-Konzerne eine spürbare Summe.

Das BSI bestätigt: Die Management-Haftung gilt sofort. Bei Sicherheitsvorfällen ab Anfang 2026 werden Aufsichtsbehörden nachweisen wollen, dass die Geschäftsleitung die BCM-Strategien genehmigt und überwacht hat.

Dreifache Ausweitung des Regelungsbereichs

Der Weg zu diesem verschärften Regime begann mit der EU-NIS2-Richtlinie. Die deutsche Umsetzung passierte den Bundestag am 13. November 2025 und trat kurz darauf in Kraft.

Die Neuerung ist gewaltig: Statt bisheriger KRITIS-Branchen erfasst das Gesetz nun auch Abfallwirtschaft, Lebensmittelproduktion und Teile des verarbeitenden Gewerbes. Geschätzte 29.500 bis 30.000 Unternehmen fallen unter die neue Regelung – etwa dreimal so viele wie bisher.

Anders als bei früheren Gesetzen sah der Gesetzgeber keine lange Übergangsfrist vor. Hintergrund: die zunehmend volatile Bedrohungslage durch Cyberangriffe.

Was im ersten Quartal 2026 auf Unternehmen zukommt

Die Agenda für die kommenden Monate ist klar:

1. Portal-Start am 6. Januar: Technische Integration der Meldesysteme
2. Registrierungswelle bis März: Alle betroffenen Unternehmen müssen sich beim BSI registrieren
3. Audit-Vorbereitungen: Gap-Analysen zur Überprüfung der Compliance
4. Verschärfte Durchsetzung: Das BSI kann bei Verstößen sofort aktiv werden

Für die deutsche Wirtschaft markiert der Jahreswechsel 2025/2026 eine Zeitenwende. Business Continuity Management ist vom IT-Thema zur Vorstandsaufgabe geworden – und Freiwilligkeit gibt es nicht mehr. Die Frage ist nicht mehr ob, sondern wie schnell Unternehmen die neuen Anforderungen umsetzen.

PS: Sie müssen sich auf strengere Kontrollen einstellen — vor allem bei Meldepflichten und Audit‑Nachweisen. Das kostenlose E‑Book „Cyber Security Awareness Trends“ fasst die aktuellen Bedrohungen, neue gesetzliche Pflichten (inklusive relevanter KI‑Regelungen) und sofort anwendbare Schutzmaßnahmen zusammen. Holen Sie sich die Checkliste für Incident‑Reporting und BCM‑Nachweise, bevor das nächste Audit kommt. Jetzt E‑Book herunterladen und Compliance stärken