Am 13. November 2025 vom Bundestag beschlossen, am 21. November vom Bundesrat bestätigt, am 5. Dezember im Bundesgesetzblatt veröffentlicht: Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 – ohne Übergangsfrist.
Statt bisher 4.500 regulierter Unternehmen fallen nun über 29.500 Unternehmen in 18 Sektoren unter die Pflichten. Das BSI unterscheidet zwischen „besonders wichtigen Einrichtungen" (ex-ante Aufsicht mit regelmäßigen Audits) und „wichtigen Einrichtungen" (anlassbezogene Aufsicht).
Kernpflichten ab sofort
Risikomanagement-Maßnahmen, Meldepflichten bei Cybervorfällen (24h Frühwarnung, 72h Bericht), Registrierung beim BSI, verpflichtende Geschäftsführer-Schulungen zu Cybersicherheit und Lieferketten-Sicherheit.