NIS2-Frist endet 31. Juli: 11.000 Unternehmen drohen Bußgelder bis 500.000 Euro

Bislang reichte es oft, die DSGVO einzuhalten. Doch das ist Geschichte. Die EU verschärft die Regeln für die digitale Sicherheit massiv. Zwei neue Gesetze treiben den Wandel voran: die NIS2-Richtlinie und der Cyber Resilience Act (CRA). Sie zwingen Unternehmen, Datenschutz und Informationssicherheit organisatorisch klarer zu trennen und gleichzeitig enger zu verzahnen.

Frist läuft: NIS2-Registrierung endet diesen Monat

Ein zentraler Termin rückt näher. Am 31. Juli 2026 endet die Duldungsfrist für die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Rund 11.000 Unternehmen in Deutschland sind betroffen – darunter Energieversorger, Abfallwirtschaft und Lebensmittelketten. Wer die Frist verpasst, riskiert Bußgelder von bis zu 500.000 Euro. Zudem droht die persönliche Haftung der Geschäftsführung.

Doch NIS2 ist nur der Anfang. Ab dem 11. September 2026 greifen die ersten Meldepflichten des Cyber Resilience Act. Unternehmen müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden als Frühwarnung an die ENISA und das CERT-Bund melden. Ein detaillierter Bericht folgt binnen 72 Stunden. Die Strafen sind empfindlich: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Datenschutz ist nicht gleich IT-Sicherheit

Die beiden Bereiche überschneiden sich, verfolgen aber unterschiedliche Ziele. Der Datenschutz konzentriert sich auf personenbezogene Daten. Er regelt technisch-organisatorische Maßnahmen (TOM), Berechtigungskonzepte und Löschvorgänge. Die Informationssicherheit hingegen schützt Systeme als Ganzes – unabhängig davon, ob personenbezogene Daten verarbeitet werden. Ihr Fokus liegt auf Integrität, Verfügbarkeit und Vertraulichkeit.

Die Bedrohungslage macht die Dringlichkeit deutlich. Laut Bitkom sind die Schäden durch Ransomware seit 2019 um 358 Prozent gestiegen. Das BSI bewertet die aktuelle Lage als besorgniserregend. Angreifer nutzen zunehmend bekannte Schwachstellen (CVEs). Die Zeit zwischen Systeminfiltration und Schadsoftware-Aktivierung beträgt oft nur zwei Stunden bis zwei Wochen.

Angesichts steigender Bedrohungen und neuer gesetzlicher Auflagen müssen Unternehmer jetzt proaktiv handeln, um ihre IT-Infrastruktur abzusichern. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Cyberrisiken Sie aktuell kennen müssen. Neue Cyberrisiken und gesetzliche Anforderungen jetzt prüfen

Defizite in der Praxis: Drittanbieter als blinde Flecken

Viele Unternehmen tun sich schwer mit der Umsetzung. Branchenanalysen zeigen: Oft fehlt ein vollständiges Produktinventar, Verantwortlichkeiten sind ungeklärt. Besonders riskant ist das Management von Drittanbietern. 64 Prozent der Unternehmen weisen dieses Risiko anderen Abteilungen als der IT-Sicherheit zu. Nur die Hälfte nutzt spezialisierte Systeme zur Überwachung.

Für bestimmte Sektoren gibt es bereits Hilfestellungen. Das BSI veröffentlichte am 14. Juli 2026 einen Kurzleitfaden für die Cybersicherheit in Arztpraxen. Die entsprechenden IT-Sicherheitsrichtlinien sind seit Anfang des Jahres verbindlich.

So werden Unternehmen resilienter

Fachleute empfehlen eine Kombination aus Prävention und klaren Reaktionsketten. Dazu gehören:

• Netzwerksegmentierung und Zero-Trust-Modelle – sie verhindern die Ausbreitung von Angriffen innerhalb der Infrastruktur.
• Verschlüsselte Kommunikation – NIS2 fordert für Videokonferenzen und Kollaborationstools eine Ende-zu-Ende-Verschlüsselung.
• Patch-Management und Monitoring – schnelles Schließen von Sicherheitslücken ist essenziell.
• Notfallplanung (BCM) – ein Business Continuity Management sichert die Betriebsfähigkeit im Angriffsfall.

Da immer mehr Unternehmen Opfer von Cyberangriffen werden, ist eine strukturierte Absicherung ohne hohe Investitionen wichtiger denn je. Experten erklären im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und sich proaktiv schützen, bevor es zu spät ist. Kostenlose Checkliste zur IT-Sicherheit herunterladen

Awareness-Trainings für Mitarbeiter bleiben zentral. Menschliches Fehlverhalten ist weiterhin eines der größten Einfallstore. Die strikte Trennung administrativer Rollen und die Protokollierung sicherheitsrelevanter Vorgänge sind ebenso wichtig wie die rechtskonforme Gestaltung hybrider Arbeitsmodelle.

de | wirtschaft | 69814108 |