Der Deutsche Bundestag hat am Donnerstag, 13. November 2025, das Gesetz zur Umsetzung der EU-NIS2-Richtlinie verabschiedet. Damit wird der europäische Rahmen zur Stärkung der Cyber- und Betriebsresilienz verbindlich in deutsches Recht überführt. Für viele Unternehmen, darunter auch Organisationen, die bisher nicht als klassische KRITIS-Betreiber galten, ergibt sich daraus eine neue Rechtslage mit klar definierten Verantwortlichkeiten und Pflichten.
Neben KRITIS auch andere Unternehmen betroffen
In bisherigen Beiträgen haben wir erläutert, welche organisatorischen Anforderungen sich aus der NIS2 ergeben, warum Meldewege und Risikomanagement künftig stärker im Fokus stehen und welche Rolle Lieferketten und Dienstleister dabei spielen. Mit dem nun beschlossenen Gesetz wechseln Unternehmen aus einer Empfehlungsperspektive in eine Umsetzungs- und Nachweispflicht.
Besonders relevant ist der erweiterte Anwendungsbereich: Neben kritischer Infrastruktur können nun auch mittelständische Betriebe betroffen sein, sofern Größe, Branche oder Dienstleistungsbereich in die Kategorien „wesentlich“ bzw. „wichtig“ fallen. Für Sicherheitsvorfälle gelten künftig strukturierte Meldepflichten, und das BSI erhält weitergehende Aufsichts- und Prüfbefugnisse. Längere Übergangsfristen sind aktuell nicht abzusehen, was die zeitnahe Klärung der Betroffenheit notwendig macht.
Erste Schritte: NIS2-Betroffenheitscheck und Gap-Analyse
Als Einstieg empfiehlt sich unser NIS2-Betroffenheitscheck, mit dem Unternehmen eine erste Einschätzung vornehmen können. Für Organisationen, die bereits geprüft haben, lohnt sich ein Abgleich auf Basis des verabschiedeten Gesetzes sowie eine anschließende Gap-Analyse, um Maßnahmen zu priorisieren und nachvollziehbar zu dokumentieren.
Unser Eindruck aus Kundenprojekten: Der entscheidende Aufwand entsteht weniger durch technische Maßnahmen, sondern durch die Anforderung, Governance-Strukturen, Entscheidungswege und Zuständigkeiten transparent und prüffähig nachweisen zu können. Hier werden Prozesse, Rollen, Lieferketten-Einbindung und interne Kommunikation zu wesentlichen Bausteinen.
Mit der Verabschiedung des Gesetzes ist nun klar, dass NIS2 nicht mehr als Zukunftsthema betrachtet werden sollte. Unternehmen, die frühzeitig Struktur und Verantwortlichkeiten definieren, reduzieren Aufwand, Zeitdruck und Reibungsverluste, und stärken gleichzeitig ihre organisatorische Resilienz.
Weiterführend:
• Betroffenheitscheck durchführen oder aktualisieren
• Rollen, Meldewege und Dokumentation prüfen
• Gap-Analyse zur Priorisierung nutzen
