Regelwerk · NIS2 und NIS2UmsuCG
Das BSI-Gesetz in der Fassung des NIS2UmsuCG gilt seit dem 6. Dezember 2025. Complass führt von der Einstufung über die zehn Mindestmaßnahmen bis zu Meldewesen und Nachweisen.
NIS2 ist die EU-Richtlinie (EU) 2022/2555 für ein hohes gemeinsames Cybersicherheitsniveau. In Deutschland setzt das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) sie um, vor allem über das BSI-Gesetz: Betroffene Einrichtungen müssen sich registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle melden; die Geschäftsleitung ist verantwortlich.
Stand der Inhalte:
Betroffen sind Unternehmen einer Einrichtungsart aus Anlage 1 oder 2 des BSIG, die eine bestimmte Größe erreichen. Vereinfacht:
| Einstufung | Beschäftigte | oder Umsatz und Bilanzsumme |
|---|---|---|
| Besonders wichtig (Anlage 1) | ab 250 | über 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme |
| Wichtig (Anlage 1 und 2) | ab 50 | über 10 Mio. € Umsatz und Bilanzsumme |
| Betreiber kritischer Anlagen | unabhängig von der Größe | – |
Die erste Phase im Modul führt durch Zuordnung, Größenschwellen, Konzernstrukturen und Sonderregime, mit Begründung für Ihre Dokumentation.
Kostenlos prüfen, ob NIS2 gilt In wenigen Minuten, ohne Anmeldung.
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
BSIG in der Fassung des NIS2UmsuCG gilt
Innerhalb von drei Monaten
Registrierung beim BSI, nachdem ein Unternehmen erstmals oder erneut als Einrichtung gilt
§ 33 BSIG§ 33 BSIG Registrierungspflicht(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete …Original öffnen (gesetze-im-internet.de) ↗
24 Stunden / 72 Stunden / ein Monat
Frühe Erstmeldung, Meldung und Abschlussmeldung erheblicher Sicherheitsvorfälle
§ 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Original öffnen (gesetze-im-internet.de) ↗
Regelmäßig
Schulungen der Geschäftsleitung; Umsetzung der Maßnahmen verantworten und überwachen
§ 38 BSIG§ 38 BSIG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. (2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung …Original öffnen (gesetze-im-internet.de) ↗
Acht Phasen: Betroffenheit, Registrierung, Governance, Risiko- und Gap-Analyse, Maßnahmen, Meldewesen und Wirksamkeit.
Jede Mindestmaßnahme mit Anwendbarkeit, Status und Nachweis, verknüpfbar mit ISO 27001 und IEC 62443.
Vorfälle nach § 32 BSIG mit Prüffragen, Meldestufen und Countdown im Incident-Management.
Geschäftsleitungs-Cockpit: Maßnahmen beschließen, Umsetzung je Quartal überwachen und Schulungen nachweisen, jedes Mitglied bestätigt persönlich; dazu der Management-Bericht als PDF.
Katalog: Art. 21 Abs. 2 NIS2 / § 30 Abs. 2 BSIG – Mindestmaßnahmen
Wenn NIS2 für Sie gilt, deckt diese Auswahl die Pflichten in Complass ab. Ob das so ist, zeigt der kostenlose Betroffenheits-Check.
Mindestauswahl NIS2
199 € netto pro Monat
Empfohlen
590 € netto pro Monat
Mehr Wirkung mit Asset-Management und Zonen, Lieferantenmanagement und Notfallmanagement (BCM), Platz für 10 Nutzer und 2 Regelwerke.
Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 06.11.2026. Alle Pakete und Bausteine in der Preisübersicht
Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt bei Umsetzung und Nachweis und ersetzt keine Rechtsberatung. Rechtliche Hinweise
Nicht unmittelbar, wenn Sie selbst nicht unter § 28 BSIG fallen. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen und fragen deshalb oft Nachweise an. Diese können Sie mit Complass, z. B. über ISO 27001, strukturiert erbringen.
Das BSIG schreibt keine Zertifizierung vor. ISO/IEC 27001 ist aber ein bewährter Rahmen; in Complass verknüpfen Sie beide Kataloge, sodass Nachweise für beide gelten.
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.
