Im Blickpunkt

Mit der Verkündung des Gesetzes zur Umsetzung der NIS-2-RL und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung am 5.12.2025 ist seit dem 6.12.2025 eine umfassende Modernisierung des Cybersicherheitsrechts in Kraft (vgl. PM BSI vom 5.12.2025). Das Gesetz erhöht die Anforderungen an die Cybersicherheit der Bundesverwaltung sowie bestimmter Unternehmen. Die nationale Umsetzung der EU-RL erfolgt insbesondere im Rahmen einer Novellierung des BSIG. Unternehmen müssen selbständig prüfen, ob sie von der NIS-2-RL betroffen sind und damit künftig zu den rund 29 500 durch das BSI beaufsichtigten Einrichtungen gehören, für die neue gesetzliche Pflichten in der IT-Sicherheit gelten. Bislang waren etwa 4 500 Organisationen durch das BSI-Gesetz reguliert – insbesondere Betreiber Kritischer Infrastrukturen (KRITIS), Anbieter digitaler Dienste (DSP) und Unternehmen im besonderen öffentlichen Interesse (UBI). Mit Inkrafttreten des NIS-2-Umsetzungsgesetzes wird der Anwendungsbereich des BSIG deutlich erweitert: Unternehmen, die in bestimmten Sektoren tätig sind und dabei gesetzlich festgelegte Schwellenwerte mit Blick auf Mitarbeiter, Umsatz und Bilanz überschreiten, fallen künftig unter die neuen Kategorien “wichtige Einrichtungen” und “besonders wichtige Einrichtungen”. Diese müssen drei zentralen Pflichten nachkommen: Sie sind gesetzlich verpflichtet, sich als NIS-2-Unternehmen zu registrieren, dem BSI erhebliche Sicherheitsvorfälle zu melden und Risikomanagementmaßnahmen zu implementieren und diese zu dokumentieren. KRITIS gelten automatisch als besonders wichtige Einrichtungen. Das BSI sieht für Einrichtungen in Deutschland, die von der NIS-2-RL betroffen sind, einen zweistufigen Registrierungsprozess vor: Zunächst muss eine Anmeldung beim digitalen Dienst “Mein Unternehmenskonto” (MUK) erfolgen. Dabei handelt es sich um ein Nutzerkonto im Sinne des Onlinezugangsgesetzes (OZG). Es dient juristischen Personen als Zugang zu digitalen Dienstleistungen der Verwaltung und stellt das geschäftliche Pendant zur personenbezogenen BundID dar. MUK basiert auf der ELSTER-Technologie und nutzt ELSTER-Organisationszertifikate, die üblicherweise bereits in Steuerverfahren genutzt werden. Weitere Informationen zur Registrierung bei MUK stellt das BSI bereit. Das BSI empfiehlt, den Account bei “Mein Unternehmenskonto” bis spätestens zum Jahresende 2025 anzulegen, um sich im zweiten Schritt ab Anfang 2026 mit dem MUK-Nutzerkonto beim u. a. für NIS-2 neu entwickelten BSI-Portal zu registrieren. Das BSI-Portal wird am 6.1.2026 freigeschaltet und dient u. a. als Meldestelle für erhebliche Sicherheitsvorfälle. Meldepflichtige Einrichtungen, die von NIS-2 betroffen sind und vor Registrierung im BSI-Portal einen erheblichen Sicherheitsvorfall erleiden, melden diesen dem BSI über ein Online-Formular; KRITIS und Bundesbehörden nutzen vorübergehend ihre bisherigen Meldewege.

Uta Wichering, Ressortleiterin Wirtschaftsrecht