EU‑Richtlinie zur Cybersicherheit (NIS2)
Quelle: Bundesgesetzblatt, BSI | Datum: 08.12.2025
NIS2-Umsetzungsgesetz in Deutschland: Ab sofort neue Pflichten für tausende Unternehmen
Zusammenfassung
Am 5. Dezember 2025 wurde das deutsche NIS2-Umsetzungsgesetz im Bundesgesetzblatt veröffentlicht und trat am 6. Dezember 2025 in Kraft. Damit wird die EU-NIS2-Richtlinie in deutsches Recht überführt und der Kreis der betroffenen Einrichtungen massiv ausgeweitet: Statt bislang rund 4.500 gelten nun geschätzt bis zu 30.000 Unternehmen und Organisationen als reguliert, eingeteilt in „wichtige" und „besonders wichtige" Einrichtungen.
Zentrales Element sind ein verpflichtendes Cybersicherheits-Risikomanagement, strenge Meldepflichten für Sicherheitsvorfälle sowie eine Registrierung beim BSI. Für das digitale Unternehmenskonto „Mein Unternehmenskonto" empfiehlt das BSI eine Einrichtung spätestens bis Ende 2025; die Registrierung im neuen BSI-Portal soll ab dem 6. Januar 2026 möglich sein.
Wichtig: Übergangsfristen für die Sicherheitsmaßnahmen gibt es praktisch nicht. Bei Verstößen drohen Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (für besonders wichtige Einrichtungen) bzw. 7 Mio. Euro oder 1,4 % (für wichtige Einrichtungen).
Weiterlesen: NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft
Quelle: BSI | Datum: 2026-04-07
Sicheres Cloud-Computing, BSI veröffentlicht C5:2026
Zusammenfassung
Das BSI hat C5:2026 als aktualisierten Kriterienkatalog für sicheres Cloud Computing veröffentlicht. C5 bleibt der zentrale deutsche Referenzrahmen für Cloud-Anbieter, Cloud-Kunden und Prüfer. Für DE/EU-Organisationen ist das relevant, weil der Standard regelmäßig in Ausschreibungen, Lieferantenbewertungen und Governance-Anforderungen referenziert wird.
Faktenkernpunkte
- Neues Release C5:2026, veröffentlicht am 2026-04-07.
- C5 adressiert Mindestanforderungen an sicheres Cloud Computing und richtet sich an Anbieter, Kunden und Prüfer.
- BSI positioniert C5 explizit als praxistauglichen Maßstab für Nutzung, Prüfung, Angebot und Beschaffung von Cloud-Diensten.
Analyse & Bewertung
Management-Perspektive
Hohe Relevanz für Cloud Sourcing, Third Party Risk und NIS2 Governance. Bezug zu ISO 27001/27002 vor allem A.5.23 (Informationssicherheit bei Nutzung von Cloud-Diensten), A.5.19 bis A.5.22 (Lieferanten) und A.8.8 (Management technischer Schwachstellen).
Technische Perspektive
Keine akute Incident-Lage, aber mittelbarer Handlungsdruck für Kontrollkataloge, Anbieter-Assessments, Logging-, IAM- und Resilienzanforderungen.
Risiko & Priorität
- Eintrittswahrscheinlichkeit: hoch, weil viele Organisationen C5 in Einkauf, Due Diligence und Audit referenzieren.
- Auswirkung: mittel bis hoch, weil Vertragswerke, Kontrolltests und Cloud-Bewertungen angepasst werden müssen.
- Gesamtrisiko/Priorität: mittel, P2
Empfehlungen
Kurzfristig (0–7 Tage)
C5:2026 gegen bestehende Supplier-Questionnaires, Auditpläne und Cloud-Policies mappen.
Mittelfristig (8–30 Tage)
Verträge, Kontrollnachweise und interne Cloud-Freigaben aktualisieren.
Strategisch (>30 Tage)
C5:2026 fest in Beschaffungs- und Rezertifizierungsprozesse integrieren.
Zuständig: CISO, IT Ops, Risk/Compliance, Einkauf, Legal
Weiterführende Links
Status: Neu | Tags: BSI, Cloud, C5, NIS2, Third Party Risk
Quelle: Bundesregierung, BSI | Datum: 30.07.2025 / Stand September 2025
NIS2-Umsetzungsgesetz Deutschland: Finale Gesetzgebungsphase
Zusammenfassung
Das Bundeskabinett hat den finalen Regierungsentwurf des „Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung" beschlossen. Mit dem Gesetz wird die Aufsicht des BSI wesentlich erweitert: Statt bisher ca. 4.500 sind künftig rund 29.500 Einrichtungen betroffen, insbesondere durch Ausweitung auf „wichtige" und „besonders wichtige" Unternehmen in 18 Wirtschaftssektoren.
Weiterlesen: NIS2-Umsetzungsgesetz Deutschland: Finale Gesetzgebungsphase
Öffentliche Anhörung im Bundestag, Experten kritisieren Unschärfen im NIS2UmsuCG und fordern Nachbesserungen
Zusammenfassung
Am 13. Oktober 2025 fand im Innenausschuss des Deutschen Bundestages die öffentliche Anhörung zum Regierungsentwurf des „Gesetzes zur Umsetzung der NIS-2-Richtlinie" (NIS2UmsuCG, BT-Drs. 21/1501) statt. Der Entwurf soll die EU-Richtlinie (EU) 2022/2555 in nationales Recht überführen und das BSI-Gesetz (BSIG) sowie weitere Fachgesetze anpassen. Ziel ist es, den Geltungsbereich der Cybersicherheitsanforderungen deutlich zu erweitern und Aufsicht, Meldewege und Mindeststandards neu zu ordnen.
Mehrere Sachverständige, darunter Vertreter:innen von Bitkom, eco, BDI und der Datenschutzkonferenz (DSK), mahnten jedoch rechtliche und organisatorische Unschärfen an. Insbesondere die Abgrenzung zwischen „wesentlichen" und „wichtigen Einrichtungen", das dreistufige Meldesystem, die Aufsichtskompetenzen des BSI und die Interoperabilität mit bestehenden Regimen (z. B. DSGVO, DORA, KRITIS-DachG) gelten als noch nicht praxistauglich ausgestaltet.
Der Gesetzentwurf befindet sich weiterhin in der Ausschussberatung; eine zweite und dritte Lesung im Bundestag ist frühestens im November oder Dezember 2025 zu erwarten.
Weiterlesen: Sachverständige fordern Nachbesserungen am NIS2UmsuCG