Der Bundestag hat am 13. November 2025 das Gesetz zur Umsetzung der europäischen NIS2-Richtlinie beschlossen. Damit gelten in Deutschland für deutlich mehr Unternehmen verbindliche Vorgaben zur Cybersicherheit als bisher.
Nach Schätzungen der Bundesregierung sind rund 29.000 Unternehmen betroffen. Viele davon hatten bisher keine gesetzlichen Pflichten in diesem Bereich.
Wer ist betroffen?
Betroffen sind Unternehmen aus bestimmten Sektoren, etwa Energie, Transport, Gesundheit, digitale Dienste, Abfallwirtschaft, Lebensmittel oder verarbeitendes Gewerbe, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz. Auch wer selbst nicht betroffen ist, spürt die Regeln oft als Zulieferer, weil große Kunden ihre Anforderungen weitergeben.
Die wichtigsten Pflichten
- Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI).
- Risikomanagement: Datensicherung, Notfallpläne, Zugriffskontrolle, Verschlüsselung und Schulungen.
- Meldung erheblicher Sicherheitsvorfälle, eine erste Meldung innerhalb von 24 Stunden.
- Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und haftet dafür.
Was Sie jetzt tun sollten
Prüfen Sie zuerst, ob Ihr Unternehmen unter die Regeln fällt. Unabhängig davon lohnt sich ein Blick auf die Grundlagen: Sind Backups aktuell und getestet? Gibt es einen Notfallplan? Sind Firewall, Virenschutz und Updates auf dem neuesten Stand?
Wir unterstützen Sie bei der Bestandsaufnahme und bei der Umsetzung technischer Maßnahmen. Mehr dazu unter IT-Sicherheit.
