NIS2-Compliance: Nur 38,5% der Unternehmen hielten Frist ein

Trotz bereits verstrichener Meldefristen sind zahlreiche Organisationen nicht ausreichend auf die neuen Cybersicherheitsanforderungen vorbereitet.

Der am 1. Juni 2026 veröffentlichte dritte NIS360-Bericht der Europäischen Agentur für Cybersicherheit (ENISA) zeigt erhebliche Defizite in kritischen Sektoren. Besonders betroffen sind die Bereiche Trinkwasser, Abwasser und Schienenverkehr, die trotz ihrer hohen Bedeutung eine unterdurchschnittliche Cybersicherheitsreife aufweisen. Spitzenreiter in puncto Widerstandsfähigkeit bleiben dagegen die Sektoren Banken, Strom und Telekommunikation. Die öffentliche Verwaltung ist laut Bericht das am häufigsten angegriffene Ziel – mit Schwerpunkten auf Hacktivismus, Datenlecks und Cyber-Spionage.

IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen wie die NIS-2-Richtlinie erfüllen. Kostenlosen Cyber-Security-Ratgeber jetzt herunterladen

Meldefristen und Compliance-Lücken

Die deutsche Umsetzung der EU-Richtlinie, das NIS2UmsuCG, ist seit dem 6. Dezember 2025 in Kraft. Der Bundestag hatte das Gesetz am 13. November 2025 verabschiedet, der Bundesrat folgte am 21. November 2025. Doch die Realität sieht ernüchternd aus: Daten vom März 2026 zeigen, dass nur 38,5 Prozent der rund 29.000 direkt betroffenen Unternehmen die erste Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) eingehalten hatten. Diese Frist endete am 6. März 2026.

Nachmeldungen sind zwar noch möglich. Doch Unternehmen, die unter die sogenannte Size-Cap-Rule fallen – in der Regel ab 50 Mitarbeitern oder einem Jahresumsatz von zehn Millionen Euro – unterliegen nun einer strengen Überwachung. Die Intensität der Aufsicht und mögliche Sanktionen hängen davon ab, ob ein Unternehmen als „besonders wichtig“ (etwa große Firmen in Energie oder Gesundheit) oder als „wichtig“ (mittelständische Unternehmen in diesen Sektoren oder Akteure in Bereichen wie Lebensmittel und Chemie) eingestuft wird.

Haftung des Managements und Meldepflichten

Ein zentraler Pfeiler der neuen Regulierung ist die persönliche Haftung der Geschäftsführung. Nach §38 des BSI-Gesetzes (BSIG) sind die Führungskräfte für die Umsetzung und Überwachung der Sicherheitsmaßnahmen verantwortlich. Verstöße können empfindliche Geldstrafen nach sich ziehen:

• Für wesentliche Einrichtungen: bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes
• Für wichtige Einrichtungen: bis zu sieben Millionen Euro oder 1,4 Prozent des globalen Umsatzes

Die Richtlinie sieht zudem strenge Meldefristen für erhebliche Sicherheitsvorfälle vor. Unternehmen müssen innerhalb von 24 Stunden nach Entdeckung eine erste „Frühwarnung“ abgeben, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden. Um diese Anforderungen zu erfüllen, planen Branchenexperten spezielle Schulungen – darunter ein Webinar am 10. Juni 2026, das Unternehmen durch die konkreten Datenschritte und Verfahren für eine compliant-gemäße Vorfallsmeldung führen soll.

Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern und die neuen gesetzlichen Pflichten rechtssicher dokumentieren, bevor es zu spät ist. Gratis-E-Book: Cyber Security Trends sichern

Lieferkette und technische Anforderungen

Die Auswirkungen der NIS-2-Richtlinie reichen weit über die direkt regulierten Unternehmen hinaus. Große Organisationen geben die Compliance-Anforderungen zunehmend über Vertragsklauseln an ihre Subunternehmer weiter. In Österreich, wo das nationale NIS-Gesetz (NISG 2026) am 1. Oktober 2026 in Kraft tritt, schätzen Experten, dass rund 4.000 Organisationen direkt betroffen sein werden – indirekt jedoch bis zu 60.000 Zulieferer.

Um einen nachweisbaren Sicherheitszustand zu erreichen, definiert das BSI-Gesetz zehn Kernbereiche des Risikomanagements:

• Risikoanalyse und Richtlinien zur Informationssicherheit
• Vorfallsreaktion und Business Continuity Management (BCM)
• Lieferkettensicherheit
• Kryptographie und Multi-Faktor-Authentifizierung (MFA)
• Cybersicherheitsschulungen und Dokumentation

Branchenberater betonen, dass Vorschriften wie NIS-2 und der Digital Operational Resilience Act (DORA) zwar Erkennungs- und Reaktionsfähigkeiten verlangen, aber kein Security Operations Center (SOC) explizit vorschreiben. Unternehmen können zwischen internen Modellen, Hybrid-Lösungen oder vollständig ausgelagerten Managed Detection and Response (MDR)-Diensten wählen, um die gesetzlichen Anforderungen an die Anomalieerkennung zu erfüllen.

Audits und Business Continuity

Regelmäßige Gap-Analysen und interne Audits entwickeln sich zu unverzichtbaren Werkzeugen, um Compliance nachzuweisen. Diese Prüfungen bewerten nicht nur die Existenz von Sicherheitsmaßnahmen, sondern auch deren tatsächliche Wirksamkeit. Zu den zentralen Leistungsindikatoren zählen die Reife der Dokumentation, die Aktualität von Nachweisen und die Ergebnisse aus Wiederherstellungsübungen.

Im aktuellen Rechtsrahmen hat das Business Continuity Management erheblich an Bedeutung gewonnen. Sowohl für wesentliche als auch für wichtige Einrichtungen ist der Nachweis von Wiederherstellungsfähigkeiten nach einem Datenverlust zwingend erforderlich. Dies verschiebt den Fokus von der bloßen Vorhaltung von Backups hin zu einem funktionierenden und dokumentierten Disaster-Recovery-Prozess, den das Management aktiv überwachen muss.

de | wirtschaft | 69476070 |