Neue Cyber-Security-Regeln in Deutschland—Registrierungspflicht Läuft Am 6. März 2026 Ab

Mit einer Verspätung von mehr als einem Jahr ist im Dezember 2025 das deutsche Umsetzungsgesetz zur NIS2-Richtlinie (Richtlinie (EU) 2022/2555 in Kraft getreten (Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung). Das Gesetz sieht erhebliche Änderungen und Neugestaltungen verschiedener Cyber-Security-Gesetze vor, insbesondere des BSI-Gesetzes.

Sehr viel mehr Unternehmen als zuvor fallen nun in den Anwendungsbereich des BSI-Gesetzes. Zuvor wurden im BSI-Gesetz nur klassische kritische Infrastruktur wie Transport und Verkehr, Energie, Finanzwesen, Gesundheit, Forschung und die Telekommunikationsindustrie reguliert. Jetzt ist auch der Digitalsektor erfasst, insbesondere Cloud Computing-Dienste, Rechenzentrumsbetreiber, Managed (Security) Services Provider sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und sozialen Netzwerken. Auch Produktion und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmiteln sowie verschiedene Bereiche des verarbeitenden Gewerbs (Produktion von Waren) sind betroffen. Listen der erfassten Sektoren und Tätigkeiten sind hier und hier abrufbar. Das BSI bietet auf seiner Website eine Betroffenheitsprüfung an.

Obwohl von der Richtlinie so nicht vorgesehen, sieht das deutsche Umsetzungsgesetz eine de minimis-Ausnahme vor, wenn eine grundsätzlich erfasste Tätigkeit im Hinblick auf die Gesamttätigkeit eines Unternehmens vernachlässigbar sind. In diesen Fällen gelten die Anforderungen des BSI-Gesetzes nicht.

Erfasste Einrichtungen müssen sich bis zum 6. März 2026 auf der vom BSI bereitgestellten Plattform registrieren. Dies erfordert ein ELSTER-Organisationszertifikat.

Bei Verstoß droht ein Bußgeld von bis zu EUR€500.000. Aber auch unabhängig davon sollten Unternehmen gründlich prüfen, ob sie in den Anwendungsbereich des Gesetzes fallen und welche Pflichten das für sie mitbringt.

Weitere Pflichten von erfassten Unternehmen umfassen insbesondere:

• Ergreifen von angemessenen Maßnahmen zur Vermeidung und Behebung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit ihrer informationstechnischen Systeme;
• Unverzügliche Meldung von erheblichen Sicherheitsvorfällen an eine einheitliche Meldestelle;
• Schulungspflichten

Für Verstöße gegen diese Pflichten ist die Geschäftsführung ihrem Unternehmen gegenüber auf Schadensersatz haftbar.