Die Reihenfolge lautet: IT-Sicherheitsgesetz 2015, NIS-1 im Jahr 2016, IT-Sicherheitsgesetz 2.0 im Jahr 2021, NIS-2 im Jahr 2022 — in Deutschland umgesetzt seit Dezember 2025. Sie wird häufig durcheinandergebracht, deshalb zuerst die Datierung.
Eine Ergänzung ist seither dazugekommen, die in vielen Vergleichen fehlt: Das KRITIS-Dachgesetz vom 11. März 2026 hat das BSI-Gesetz durch seinen Artikel 4 bereits wieder geändert.
Der Systemwechsel besteht darin, dass die Betroffenheit nicht mehr an einzelnen kritischen Anlagen hängt, sondern an Sektor und Unternehmensgröße. Unter NIS-1 und dem IT-Sicherheitsgesetz 2.0 hing sie im Kern an kritischen Anlagen und an Schwellenwerten der BSI-Kritisverordnung. Wer die Werte nicht erreichte, war draußen.
Das neue BSI-Gesetz kennzeichnet stattdessen ganze Einrichtungen und knüpft an zwei Merkmale an: die Zugehörigkeit zu einem Sektor der Anlagen 1 und 2 und die Unternehmensgröße. Daraus entstehen zwei Kategorien — besonders wichtige und wichtige Einrichtungen —, deren Pflichten sich vor allem im Aufsichtsregime unterscheiden. Betreiber kritischer Anlagen sind weiterhin erfasst, bilden aber nur noch eine Teilmenge.
§ 28 BSIG arbeitet dafür mit Größenschwellen, die sich an der europäischen Empfehlung zur Definition kleiner und mittlerer Unternehmen orientieren: Für die höhere Kategorie sind Beschäftigtenzahl beziehungsweise Umsatz und Bilanzsumme deutlich höher angesetzt als für die niedrigere, für Telekommunikations- und Vertrauensdienste gelten Sonderregeln. Der entscheidende praktische Unterschied zum alten Recht liegt nicht in den konkreten Werten, sondern im Verfahren: Es gibt keine Behörde mehr, die einem Unternehmen mitteilt, dass es betroffen ist. Die Einrichtungen müssen das selbst feststellen.
Der Effekt ist der meistzitierte Vergleich dieser Reform: Das BSI beziffert den regulierten Kreis auf rund 29.500 Einrichtungen gegenüber zuvor rund 4.500 (Pressemitteilung des BSI vom 5. Dezember 2025). Die Prüfung der eigenen Betroffenheit ist damit zu einer Aufgabe geworden, die jedes mittelständische Unternehmen in einem der genannten Sektoren betrifft; die einzelnen Schritte dieser Prüfung sind unter NIS-2: Welche Unternehmen betroffen sind beschrieben.
Neu gegenüber beiden Vorgängergenerationen ist die aktive Selbstmeldung. § 33 BSIG verlangt die Registrierung beim Bundesamt spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut betroffen ist; Änderungen sind unverzüglich, spätestens innerhalb von zwei Wochen nachzuziehen. Das dafür vorgesehene Portal ist seit Anfang Januar 2026 freigeschaltet, der Zugang läuft zweistufig über das Unternehmenskonto.
Wichtig für die Einordnung: Das BSI stellt auf seinen Seiten inzwischen ausdrücklich fest, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Wer NIS-2 noch als kommende Anforderung plant, plant an der Rechtslage vorbei.
Die Maßnahmenkataloge der drei Generationen ähneln sich stärker, als die Debatte vermuten lässt. Verschoben hat sich die Verbindlichkeit.
§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen und listet in Absatz 2 einen Katalog von Mindestmaßnahmen auf. Dessen Nummer 7 nennt einen Punkt, der unter NIS-1 nur mittelbar enthalten war: grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik. Awareness ist damit ausdrücklich Teil des gesetzlichen Mindeststandards — die Angriffsklasse dahinter beschreibt Social Engineering, den organisatorischen Aufbau eines Programms der Beitrag zum Security-Awareness-Programm.
§ 32 BSIG ersetzt die frühere einstufige Meldung durch eine Kaskade: eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall; eine Meldung mit Bewertung innerhalb von 72 Stunden; Zwischenmeldungen auf Ersuchen des Bundesamts; eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall zu diesem Zeitpunkt noch an, tritt an die Stelle der Abschlussmeldung zunächst eine Fortschrittsmeldung; die Abschlussmeldung folgt dann nach abschließender Bearbeitung. Das ist weniger eine neue Pflicht als eine neue Taktung — und sie setzt einen eingeübten Prozess voraus, nicht eine Telefonnummer im Notfallordner.
§ 38 BSIG ist der Punkt mit der größten organisatorischen Wirkung. Nach seinen Absätzen 1 bis 3 muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen, haftet bei Pflichtverletzung nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform und muss selbst regelmäßig an Schulungen zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken im Bereich der Informationssicherheit teilnehmen. Unter NIS-1 gab es dafür keine Entsprechung. Dass Leitungsschulungen damit ihrerseits nachweisbar sein müssen, ist eine unmittelbare Folge; welche Angaben ein tragfähiger Nachweis enthält, steht in Pflichtschulungen nachweisen.
Bei besonders wichtigen Einrichtungen wird das Bundesamt proaktiv tätig und kann unter anderem Prüfungen und Nachweise anordnen; bei wichtigen Einrichtungen greift die Aufsicht anlassbezogen. Der Bußgeldrahmen des § 65 BSIG ist gestaffelt und kann sich am weltweiten Jahresumsatz orientieren. Konkrete Beträge nennt dieser Beitrag bewusst nicht — sie hängen von Einrichtungskategorie und Verstoß ab und gehören in eine rechtliche Einzelfallprüfung.
Gleich geblieben sind der Maßstab Stand der Technik, die Zuständigkeit des Bundesamts für Sicherheit in der Informationstechnik und die Bausteine eines Managementsystems für Informationssicherheit. In der Diskussion um NIS-2 geht diese Kontinuität regelmäßig unter, obwohl sie für die Umsetzung eine gute Nachricht ist: Vorhandene Arbeit wird nicht wertlos.
Der Grundgedanke bleibt der Stand der Technik: Schon das IT-Sicherheitsgesetz 2015 verlangte angemessene organisatorische und technische Vorkehrungen, und schon damals war die Angemessenheit ein bewegliches Ziel. Auch die Zuständigkeit des Bundesamts für Sicherheit in der Informationstechnik als zentrale Stelle ist unverändert. Wer ein Informationssicherheits-Managementsystem betreibt, arbeitet weiter mit denselben Bausteinen — Risikoanalyse, Maßnahmen, Wirksamkeitskontrolle, Dokumentation. Und die Meldung an das Bundesamt gab es dem Grunde nach ebenfalls schon vorher.
Verschoben haben sich drei Dinge: der Kreis der Adressaten, die Taktung der Pflichten und die Frage, wer im Unternehmen persönlich adressiert wird. Das dritte ist der Punkt, der Projekte am ehesten ins Rollen bringt.
Vier Konsequenzen gelten branchenunabhängig: eine wiederkehrende Betroffenheitsprüfung, ein geprobter Meldeprozess, dokumentierte Awareness und eine beteiligte Leitungsebene.
Seit dem 17. März 2026 gibt es eine zweite Säule; das Gesetz wurde am 16. März 2026 im Bundesgesetzblatt ausgegeben und trat am Tag darauf in Kraft. Das KRITIS-Dachgesetz setzt die Richtlinie (EU) 2022/2557 um und regelt die physische Resilienz kritischer Anlagen: Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, Risikoanalysen, Resilienzpläne, Störungsmeldungen.
Die Abgrenzung ist einfach zu merken: Das BSI-Gesetz regelt die Cybersicherheit, das KRITIS-Dachgesetz den Schutz vor physischen Ausfällen und Einwirkungen. Betreiber kritischer Anlagen können beides zugleich treffen; registriert wird dafür allerdings nicht an zwei getrennten Stellen, sondern über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Möglichkeit. Wer heute einen Vergleich NIS-1 gegen NIS-2 gegen IT-Sicherheitsgesetz 2.0 aufmacht und diese zweite Säule weglässt, zeichnet ein unvollständiges Bild.
Seit dem 6. Dezember 2025. Grundlage ist das NIS-2-Umsetzungsgesetz vom 2. Dezember 2025, verkündet als BGBl. 2025 I Nr. 301. Durch Artikel 4 des KRITIS-Dachgesetzes vom 11. März 2026 wurde das BSI-Gesetz bereits erneut geändert, unter anderem im Zusammenspiel mit der Bestimmung kritischer Anlagen. Die Vorgängerfassung von 2009 ist damit vollständig abgelöst.
Nicht im Wortsinn. Das IT-Sicherheitsgesetz 2.0 war ein Änderungsgesetz, das 2021 unter anderem das BSI-Gesetz erweiterte, etwa um Systeme zur Angriffserkennung. Ein Änderungsgesetz kann nicht aufgehoben werden. Abgelöst wurde die damalige Fassung des BSI-Gesetzes, die im Zuge der NIS-2-Umsetzung neu gefasst wurde; die Inhalte von 2021 sind darin aufgegangen.
Beide Kategorien knüpfen an die Sektorzugehörigkeit nach den Anlagen 1 und 2 des BSI-Gesetzes und an Größenschwellen an, die sich an der europäischen Definition kleiner und mittlerer Unternehmen orientieren. Die Pflichten aus § 30 BSIG sind weitgehend gleich. Der praktisch wichtigste Unterschied liegt im Aufsichtsregime: Bei besonders wichtigen Einrichtungen wird das Bundesamt proaktiv tätig, bei wichtigen Einrichtungen anlassbezogen.
§ 32 BSIG sieht eine Kaskade statt einer einzelnen Meldung vor: eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Vorfall; eine Meldung mit Bewertung innerhalb von 72 Stunden; Zwischenmeldungen, wenn das Bundesamt darum ersucht; eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung, bei noch andauerndem Vorfall zunächst eine Fortschrittsmeldung. Die erste Stufe verlangt keine vollständige Analyse, sondern eine schnelle Information.
§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen, deren Umsetzung zu überwachen und regelmäßig an Schulungen zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken im Bereich der Informationssicherheit teilzunehmen. Bei Pflichtverletzungen haftet sie gegenüber der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform. Eine Delegation an die IT-Abteilung entlastet von der Überwachungspflicht ausdrücklich nicht.
Es ist die physische Ergänzung zur Cybersicherheit. Das KRITIS-Dachgesetz setzt die Richtlinie (EU) 2022/2557 um und adressiert Ausfallresilienz und Schutz kritischer Anlagen — mit eigener Registrierung, Risikoanalysen, Resilienzplänen und Störungsmeldungen —, während das BSI-Gesetz die Cybersicherheit regelt. Betreiber kritischer Anlagen können unter beide Regime zugleich fallen; die Registrierung läuft dann über eine gemeinsame Möglichkeit des Bundesamts für Sicherheit in der Informationstechnik und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe.
Ja, wenn sie einem Sektor der Anlagen 1 oder 2 des BSI-Gesetzes angehören und die Größenschwellen erreichen. Genau darin liegt der Systemwechsel: Maßgeblich ist nicht mehr allein, ob eine kritische Anlage betrieben wird, sondern die Kombination aus Sektor und Unternehmensgröße. Der Sprung von rund 4.500 auf rund 29.500 Einrichtungen ist die unmittelbare Folge dieser Umstellung.
Alle Quellen abgerufen am 06.08.2026, soweit im Eintrag nicht anders angegeben. Für Vorschriften auf gesetze-im-internet.de gilt der Rechtsstand 06.08.2026; ein Abruf war dort technisch nicht möglich.
Einblicke in das digitale Lernen der Zukunft mit Fokus auf KI, Compliance und moderne Schulungslösungen. Entdecken Sie die neuesten Beiträge und aktuelle Artikel, um praxisnahe Insights zu rechtssicherer, effizienter und automatisierter Weiterbildung im Unternehmen zu erhalten.
Unterweisungen und Weiterbildungen auditsicher, einfach und passgenau.
Wir unterstützen die IHK-Initiative Pack ma's digital, um der Wirtschaft in Oberbayern bei der Digitalisierung weiter zu helfen und die Zukunft des Standorts zu sichern.Hinweis: Texte, Bilder und Videos auf dieser Website wurden teilweise mit Künstlicher Intelligenz generiert.
Alle Inhalte dienen der Information und wurden sorgfältig journalistisch geprüft, erheben jedoch keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
.webp)