Dr. Kristina Schreiber, RAin

Das neue BSIG 2025 bringt neue Cybersicherheitspflichten für unzählige Branchen: NIS-2-Richtlinie jetzt auch in Deutschland umgesetzt

Zum 6.12.2025 ist das neue Informationssicherheitsrecht der NIS-2-Richtlinie auch in Deutschland in Kraft getreten, mit über einem Jahr Verspätung. Die NIS-2-Richtlinie hätte schon bis zum 17.10.2024 in nationales Recht umgesetzt werden müssen, Deutschland hatte dies insbesondere aufgrund der Neuwahlen im Frühjahr 2025 nicht realisieren können. Das am 5.12.2025 verkündete Gesetz zur Umsetzung der NIS-2-Richtlinie enthält in seinem Art. 1 mit der Neufassung des BSIG nunmehr aber das Herzstück der neuen Pflichten für rund 30 000 Unternehmen, die diese ohne Übergangsfrist einzuhalten haben. Für welche Einrichtungen ab wann welche Pflichten gelten, zeigt dieser Beitrag auf.

I. Verschärfung des Informationssicherheitsrechts

Digitale Innovationen sind nicht erst seit dem Vormarsch von Anwendungen künstlicher Intelligenz (KI) allgegenwärtig: Die digitale Transformation ist in vollem Gange. Mit der zunehmenden Digitalisierung wachsen indes auch die Sicherheitsbedürfnisse und Angriffsflächen im digitalen Raum. Dies gilt umso mehr, als die Cybersicherheit seit Jahren bedroht ist: Etwa der BSI-Lagebericht 2025 zur IT-Sicherheit in Deutschland zeigt erneut eine besorgniserregende Bedrohungslage auf.