NIS2-Frist läuft aus: 11.000 Firmen drohen Bußgelder bis 500.000€
Veröffentlicht am: 20.07.2026 um 13:36 Uhr | Redaktion boerse-global.de
Sie müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren – sonst drohen Bußgelder und persönliche Haftung für die Geschäftsführung. Parallel dazu treibt die EU den Cyber Resilience Act (CRA) voran, der ab September erste verbindliche Meldepflichten vorsieht.
CRA: Erste Pflichten ab September
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist bereits seit Dezember 2024 in Kraft. Doch die Umsetzung erfolgt gestaffelt. Ab dem 11. September 2026 müssen Hersteller, Importeure und Händler von Produkten mit digitalen Elementen erste Melde- und Schwachstellenpflichten erfüllen. Die vollständigen Anforderungen werden erst ab Dezember 2027 verbindlich.
Die neuen Regeln zwingen Unternehmen zu schnellen Reaktionen bei Sicherheitsvorfällen. Innerhalb von 24 Stunden ist eine erste Frühwarnung an die ENISA und das CERT-Bund Pflicht. Eine detaillierte Meldung muss nach 72 Stunden folgen, der Abschlussbericht innerhalb von 14 Tagen nach Behebung des Vorfalls. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Betroffen sind nahezu alle Produkte mit Datenverbindung. Ausnahmen gibt es nur für freie und quelloffene Software außerhalb einer Geschäftstätigkeit.
NIS2: Frist läuft Ende Juli ab
Noch drängender ist die NIS2-Umsetzung in Deutschland. Am 31. Juli 2026 endet die Duldungsfrist für die Registrierung betroffener Unternehmen beim BSI. Rund 11.000 Firmen haben sich Berichten zufolge noch nicht angemeldet. Die Konsequenzen sind happig: Bußgelder bis zu 500.000 Euro und persönliche Haftung der Geschäftsführung.
Angesichts drohender Bußgelder und neuer Cybersicherheits-Gesetze müssen Unternehmen ihre IT-Infrastruktur jetzt proaktiv absichern. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig die neuen gesetzlichen Anforderungen ohne teure Investitionen erfüllen. IT-Sicherheit stärken und Haftungsrisiken minimieren
Auch andere EU-Länder verschärfen die Gangart. Die Niederlande planen ihr nationales Cybersicherheitsgesetz (Cbw) für den 15. August 2026. Und ab dem 2. August treten neue Transparenzpflichten des EU AI Acts in Kraft – insbesondere zur Kennzeichnung von KI-generierten Inhalten.
Viele Firmen haben ihre Geräte nicht im Griff
Die operativen Herausforderungen sind enorm. Eine Studie des Sicherheitsanbieters Armis zeigt: 66 Prozent der deutschen Unternehmen haben keine vollständige Kontrolle über ihre Netzwerkgeräte. Nur 29 Prozent der Organisationen haben ihre durchschnittlich 47.000 digitalen Assets vollständig im Blick.
Diese Intransparenz macht die Einhaltung der strengen Meldefristen fast unmöglich. Der aktuelle NIS Investments Report der ENISA zeigt zwar, dass Unternehmen stabil rund 9 Prozent ihres IT-Budgets für Cybersicherheit ausgeben. Doch der Fachkräftemangel bleibt das größte Problem: 76 Prozent der Befragten haben Schwierigkeiten, qualifiziertes Personal zu finden. Zudem brauchen 28 Prozent der Organisationen mehr als drei Monate, um kritische Sicherheitslücken zu schließen.
Die im Artikel genannten neuen Transparenzpflichten durch den EU AI Act stellen viele Unternehmen vor enorme Herausforderungen bei der Dokumentation. Ein kostenloser Umsetzungsleitfaden bietet hier einen kompakten Überblick über alle Anforderungen, Risikoklassen und Fristen der neuen KI-Verordnung. EU AI Act Umsetzungsleitfaden jetzt kostenlos anfordern
Neue Partnerschaften und KI-Lösungen
Die Industrie reagiert mit strategischen Allianzen. Am 17. Juli 2026 gaben secunet und Cloudflare eine Partnerschaft bekannt. Sie kombinieren globale Cloud-Infrastruktur mit einem europäischen Betriebsmodell – speziell für KRITIS-Betreiber und Behörden. Auch das IT-Unternehmen CGI und die Kanzlei Heuking bündeln ihre Kräfte: Sie bieten Rechts- und IT-Beratung für die NIS2-Compliance aus einer Hand.
Parallel dazu setzen Unternehmen auf Automatisierung. Das Unternehmen ONEKEY entwickelt im EU-Projekt CRACoWi KI-Assistenten. Sie sollen Hersteller bei der Erstellung der technischen Dokumentation und der Einhaltung der CRA-Vorgaben unterstützen.
Fachforen zur praktischen Umsetzung
Wie die neuen Standards in der Praxis funktionieren, steht im Mittelpunkt mehrerer Veranstaltungen. Am 29. und 30. September 2026 findet die secIT digital online statt. Dort spricht Christoph Puppe vom BSI über den Stand von „Grundschutz++“, das noch 2026 finalisiert werden soll. Workshops zur CRA-Umsetzung folgen am 6. und 8. Oktober 2026.
Bereits im Juni zeigte ein Bericht der ESMA zur DORA-Verordnung: Die regulatorische Aufsicht im Finanzsektor wird ebenfalls verschärft. Bei schwerwiegenden IKT-Vorfällen sind Erstmeldungen innerhalb von vier Stunden nach der Klassifizierung vorgesehen. Die Gesamtverantwortung liegt unübertragbar beim Vorstand.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
