Durch die NIS-2-Richtlinie soll in der gesamten EU die Widerstandskraft von Businessanwendern gegen Cyberkriminelle und Hacker auf ein gleiches Niveau angehoben und dabei massiv gestärkt werden. Wer sich mit der Thematik noch nicht auseinandergesetzt hat, sollte jetzt nicht mehr zögern, denn es drohen schmerzhafte Bußgelder.
Diese Worte von Bundeskanzler Friedrich Merz gingen durch alle Medien: „Wir sind nicht im Krieg, aber wir sind auch nicht mehr im Frieden“, sagt er im Mai 2026. Diese Aussage bezog sich auf immer häufigere Gefährdungen unserer Infrastruktur, des deutschen Luftraums, aber auch der Informationstechnologie.
Mit Blick auf die gefährdeten Kommunikations- und Computernetzwerke wurden im Rahmen der NIS-2-Richtlinie alle Regierungen in den Mitgliedsstaaten der EU dazu verpflichtet, eine nationale Cybersicherheitsstrategie zu erarbeiten und diese gesetzlich zu verankern.
Die Umsetzungsfrist endete bereits Mitte Oktober 2024, doch wegen der Neuwahlen in Deutschland im Februar 2025 wurde das aus Brüssel eingeforderte Gesetzeswerk erst im November 2025 verspätet verabschiedet.
Was Unternehmen für NIS-2 tun müssen
- Betroffenheit über die BSI- Betroffenheitsprüfung klären
- Budget und Ressourcen einplanen
- Verantwortlichkeiten festlegen: Geschäftsführung und operati- ve Leitungsfunktion
- Risikomanagement überprüfen und Lücken identifizieren
- Maßnahmen priorisieren und umsetzen
- Notfall- und Wiederanlauf- konzepte aktualisieren
- Mitarbeiter schulen
- Cybersicherheit laufend über prüfen und verbessern.
Prüfen Sie direkt beim BSI, ob Ihr Unternehmen unter die NIS-2-Richtlinie fällt.
Neue Pflichten
Alle von NIS-2 betroffenen Unternehmen müssen zahlreiche technische und organisatorische Maßnahmen umsetzen, die ihre IT-Sicherheit verbessern, darunter: Durchführung einer systematischen Risikoanalyse, Ausarbeitung von Schutzkonzepten und Sicherheitsrichtlinien, Aufstellung von Notfall- und Wiederanlaufplänen, Durchführung regelmäßiger Überprüfungen und Tests, Einführung sicherer Prozesse für Entwicklung, Einkauf und Wartung, Absicherung der Lieferkette. Diese Anforderungen gehen deutlich über bisherige Standards hinaus und betreffen das gesamte Unternehmen.
Strenge Meldepflichten
Kommt es trotz dieser Maßnahmen zu Sicherheitsvorfällen, sind die Betriebe verpflichtet, ihr IT-Ereignis innerhalb von 24 Stunden an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Ein Update müssen sie innerhalb von 72 Stunden nachliefern. Zu einer Abschlussmeldung über die durchgeführten Maßnahmen sind sie innerhalb eines Monats verpflichtet.
Haftbar sind in erster Linie die Geschäftsführer oder die Mitglieder der obersten Leitungsebene. Sie tragen die Verantwortung für Risikomanagement, Sicherheitsmaßnahmen, Meldepflichten und Schulungen. Bei Verstößen drohen behördliche Sanktionen und auch persönliche Haftung.
Noch Handlungsbedarf bei rund 10.000 Unternehmen
Trotz des Überschreitens von zwei eingeräumten Meldepflichten haben zahlreiche Betriebe noch rein gar nichts unternommen. So endete die gesetzliche Registrierungsfrist für Einrichtungen, die nach dem NIS-2-Umsetzungsgesetz als „wichtige“ oder „besonders wichtige“ Einrichtungen eingestuft werden, am 6. März 2026. Am 31. Juli 2026 lief die Nachfrist für eine Registrierung aus. Während nach Schätzungen des Gesetzgebers rund 29.500 Registrierungen hätten stattfinden müssen, hatten sich bis Ende Juli 2026 nur 18.845 betroffene Unternehmen gemeldet.
Bisher zeigen sich die Behörden nachsichtig: „Das BSI bewertet diesen Stand als grundsätzlich zufriedenstellend, auch wenn ein Teil der betroffenen Einrichtungen den gesetzlichen Verpflichtungen bislang nicht oder nicht vollständig nachgekommen ist“, erklärte eine Behördensprecherin.
Allerdings wird es auf Dauer sicher nicht so bleiben, dass beide Augen zugedrückt werden. Das BSI erwartet von allen betroffenen Einrichtungen, dass sie die Prüfung ihrer Betroffenheit sowie die zweistufige Registrierung zeitnah und vollständig durchführen – die gesetzlichen Fristen gelten unabhängig vom individuellen Umsetzungsaufwand“, unterstreicht eine BSI-Sprecherin. Die Registrierung ist eine sogenannte „bußgeldbewehrte Pflicht“. Wer fortgesetzt nichts unternimmt, muss also mit Ordnungsmaßnahmen rechnen. Das Bundesamt beobachtet die Situation „engmaschig“.
IT-Sicherheit jetzt verbessern
Betriebe, die ihre IT-Sicherheit optimieren möchten, sollten mit den Experten von SEC-COM ein Beratungsgespräch vereinbaren. Wir führen detaillierte Sicherheitsprüfungen durch, die gezielt Schwachstellen identifizieren und dabei helfen, weitere Schutzmaßnahmen zu implementieren.
Das rät Experte Dominik Brocks von SEC-COM
Welche Fehler Unternehmen bei der NIS2-Umsetzung vermeiden sollten, wo in der Praxis die größten Schwachstellen liegen und was unser Experte Unternehmen jetzt empfiehlt, lesen Sie im vollständigen Interview.
Wie können Sie Ihr Unternehmen sicher digitalisieren – ohne unnötige Risiken einzugehen?
Finden wir es gemeinsam heraus – vereinbaren Sie jetzt Ihren Beratungstermin!
+49 2361 9322 445
Foto: saifulasmee chede – istockphoto.com
