Glossarbegriff
NIS2UmsuCG
Auch: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, deutsches NIS2-Umsetzungsgesetz
Deutsches Gesetz zur Umsetzung der NIS2-Richtlinie (EU) 2022/2555, in Kraft seit dem 6. Dezember 2025. Betroffene Einrichtungen mussten sich bis zum 6. März 2026 beim BSI registrieren; das BSI erwartet ausstehende Registrierungen bis zum 31. Juli 2026 (Vollzugskulanz, keine neue gesetzliche Frist).
Die NIS2-Richtlinie hätte bis zum 17. Oktober 2024 in deutsches Recht überführt werden müssen. Deutschland verfehlte diese Frist um mehr als ein Jahr, die EU-Kommission leitete im November 2024 ein Vertragsverletzungsverfahren ein. Nach mehreren Referentenentwürfen (BMI 2023, 2024, 2025) trat das Gesetz am 6. Dezember 2025 in Kraft.
Inhaltlich überführt das NIS2UmsuCG die zehn Mindestmaßnahmen aus Art. 21 der Richtlinie in deutsches BSI-Gesetz, regelt Meldepflichten (24h/72h/Monatsbericht) an das BSI, definiert wesentliche und wichtige Einrichtungen und konkretisiert die persönliche Haftung der Geschäftsleitung nach Art. 20.
In der Praxis
Praxis-Konsequenz Stand Juli 2026: Selbstidentifizierung und Registrierung beim BSI sind fällig, die gesetzliche Frist (6. März 2026) ist abgelaufen und die behördliche Nachfrist endet am 31. Juli 2026. Von rund 29.500 betroffenen Einrichtungen war Ende Mai 2026 erst gut die Hälfte registriert. Aufsichtsbehörden (BSI, BNetzA, BaFin) arbeiten bereits mit NIS2-konformen Prüfkonzepten.
Verwandte Begriffe
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungsbereich auf rund 30.000 deutsche Unternehmen in 18 Sektoren, führt persönliche Haftung der Geschäftsleitung ein und verlangt zehn Mindestmaßnahmen nach Art. 21.
NIS2 Art. 20
The NIS2 article that makes the management body of an essential or important entity directly accountable for approving and overseeing cybersecurity risk-management measures. Management bodies that fail this duty can be held personally liable.
KRITIS
Kritische Infrastrukturen nach BSI-Gesetz und KritisV. Anlagen, deren Ausfall oder Beeintraechtigung erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit zur Folge haette. NIS2 erweitert KRITIS deutlich.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.