NIS2-Gesetz: Tausende deutsche Firmen drohen hohe Bußgelder

Die Schonfrist ist vorbei: Seit heute gilt das verschärfte deutsche IT-Sicherheitsgesetz NIS2UmsuCG in voller Härte. Erste Daten zeigen ein alarmierendes Bild – nur etwa 38,5 Prozent der schätzungsweise 30.000 betroffenen Unternehmen haben sich fristgerecht registriert. Tausende Firmen riskieren nun saftige Geldstrafen und persönliche Haftung für ihre Geschäftsführer.

Massive Nachholbedarf bei der Registrierung

Die Zahlen sind eindeutig: Der Großteil der betroffenen deutschen Wirtschaft hat die Frist verpasst. Bis zum Stichtag am 6. März 2026 registrierten sich nur rund 11.500 der geschätzten 30.000 Unternehmen im Portal des Bundesamts für Sicherheit in der Informationstechnik (BSI). Besonders betroffen sind mittelständische Betriebe, die als „wichtige Einrichtungen“ erstmals unter die erweiterte Regulierung fallen.

Angesichts der neuen gesetzlichen Anforderungen und drohender Konsequenzen für die Geschäftsführung ist eine fundierte Vorbereitung auf Cyberrisiken unerlässlich. Dieser Experten-Report enthüllt effektive Strategien für mittelständische Unternehmen, um sich ohne Budget-Explosion gegen Cyberkriminelle zu wappnen. Wie mittelständische Unternehmen sich gegen Cyberkriminelle wappnen

Das BSI dürfte nun systematisch Nachforschungen anstellen. Im Fokus stehen Unternehmen mit mehr als 50 Mitarbeitern oder einem Jahresumsatz über 10 Millionen Euro in Schlüsselsektoren wie der Fertigungsindustrie, Lebensmittelproduktion oder digitalen Dienstleistungen. Die Registrierungslücke gilt nicht als Formsache, sondern als primärer Verstoß gegen das Gesetz.

Neue Pflichten: Drei-Stufen-Meldung und Risikomanagement

Das NIS2UmsuCG setzt neue Maßstäbe. Unternehmen müssen nun state-of-the-art Risikomanagementsysteme etablieren – inklusive Verschlüsselung, Multi-Faktor-Authentifizierung und gesichertem Lieferkettenmanagement. Die „angemessenen Maßnahmen“ der alten Regelung sind Geschichte; jetzt sind dokumentierte, auditfähige Prozesse Pflicht.

Das Herzstück der neuen Pflichten ist ein straffer Meldezyklus bei Sicherheitsvorfällen. Seit Dezember 2025 gilt für „erhebliche“ Vorfälle eine dreistufige Meldepflicht:
* Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme
* Detaillierter Vorfallbericht innerhalb von 72 Stunden
* Abschlussbericht mit Ursachenanalyse binnen eines Monats

Diese engen Fristen stellen interne IT-Abteilungen und Security Operations Center vor enorme Herausforderungen. Die Meldepflicht gilt übrigens auch für Unternehmen, die ihre Registrierung noch nicht abgeschlossen haben.

Persönliche Haftung: IT-Sicherheit landet im Vorstand

Die wohl disruptivste Neuerung ist die verschärfte Managementhaftung. Nach §38 des novellierten BSI-Gesetzes trägt die Geschäftsleitung die persönliche Verantwortung für die Umsetzung und Überwachung der Cybersicherheitsmaßnahmen. Diese Verantwortung lässt sich nicht an IT-Leiter oder externe Dienstleister delegieren.

Zudem müssen Führungskräfte regelmäßig an IT-Sicherheitsschulungen teilnehmen. Sie müssen in der Lage sein, Risiken und deren Auswirkungen auf ihr Unternehmen eigenständig einzuschätzen. Die finanziellen Konsequenzen bei Verstößen sind drastisch: Für „besonders wichtige Einrichtungen“ können Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes fällig werden.

Neben der IT-Infrastruktur müssen Geschäftsführer heute auch neue Regulierungen wie die KI-Gesetzgebung im Blick behalten, um haftungssicher zu agieren. Was Verantwortliche jetzt über Cyber Security im Jahr 2024 wissen müssen, erfahren Sie in diesem kostenlosen Leitfaden. Diese neuen KI-Gesetze betreffen jetzt auch Ihr Unternehmen

Lieferketten unter Druck: Der Dominoeffekt

Die Auswirkungen des Gesetzes erfassen bereits die gesamte deutsche Lieferkette. Da regulierte Unternehmen auch für die Sicherheit ihrer Zulieferer verantwortlich sind, werden viele KMU, die formal nicht unter die NIS2-Schwellenwerte fallen, über Vertragsklauseln zur Einhaltung gezwungen.

Großunternehmen aus der Automobil- und Chemiebranche verlangen von ihrem gesamten Lieferantennetzwerk bereits Nachweise für Risikomanagement und Meldefähigkeit. Aus dem IT-Sicherheitsgesetz für kritische Infrastrukturen wird so ein De-facto-Standard für die gesamte Wirtschaft.

Was kommt jetzt? Von der Registrierung zur Überprüfung

Im zweiten Quartal 2026 rechnen Branchenbeobachter mit den ersten gezielten Audits durch das BSI und die zuständigen Aufsichtsbehörden. Der Fokus verschiebt sich von der reinen Registrierung hin zur Überprüfung der umgesetzten Sicherheitsmaßnahmen.

Die Nachfrage nach „NIS2-Readiness-Checks“ und Zertifizierungen wie ISO 27001 dürfte stark steigen. Das BSI wird voraussichtlich noch konkrete Leitfäden für spezifische Subsektoren wie Managed Service Provider veröffentlichen. Die Botschaft aus Berlin ist klar: Die Übergangsphase ist beendet. Für Unternehmen, die weiter abwarten, wird es teuer.

boerse | 69045627 |