NIS2-Umsetzung: 66% der Unternehmen hinken hinterher
Veröffentlicht am: 19.08.2026 um 23:03 Uhr | Redaktion boerse-global.de
Mit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) am 6. Dezember 2025 haben sich die regulatorischen Anforderungen an die IT-Sicherheit in Deutschland grundlegend verschärft.
Ein zentraler Bestandteil des Regelwerks ist die verpflichtende Einführung der Multi-Faktor-Authentifizierung (MFA) gemäß § 30 BSIG. Als Stand der Technik für diese Verfahren definiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) in der Technischen Richtlinie TR-03188 insbesondere phishing-resistente Methoden wie FIDO2 und Passkeys.
Gesetzliche Verpflichtungen und weitreichende Bußgeldrisiken
Die neuen Regelungen differenzieren zwischen verschiedenen Kategorien von Einrichtungen, wobei das Gesetz keine Übergangsfristen vorsieht. Die MFA-Pflicht greift für wichtige Einrichtungen ab einer Größe von 50 Mitarbeitern oder einem Jahresumsatz von 10 Millionen Euro. Besonders wichtige Einrichtungen, die mindestens 250 Mitarbeiter beschäftigen oder einen Umsatz von 50 Millionen Euro erzielen, unterliegen noch strengeren Auflagen.
Bei Verstößen gegen die Sicherheitsvorgaben drohen empfindliche Sanktionen. Für besonders wichtige Einrichtungen sieht der Gesetzgeber Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Gesamtumsatzes vor. Wichtige Einrichtungen müssen bei Non-Compliance mit Strafzahlungen von bis zu 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes rechnen.
Neben der Authentifizierung umfasst die NIS2-Dokumentation weitere Pflichten wie Risikoanalysen, technisches Incident-Management sowie strikte Meldewege. Erhebliche Vorfälle müssen innerhalb von 24 Stunden gemeldet werden, gefolgt von einem ausführlichen Bericht nach 72 Stunden.
Wer sich mit den neuen gesetzlichen Anforderungen an die IT-Sicherheit befasst, benötigt einen klaren Überblick über alle relevanten Fristen und Pflichten. Dieser kostenlose Umsetzungsleitfaden hilft Unternehmen, die Vorgaben der EU-KI-Verordnung und angrenzender Cyber-Regeln rechtssicher zu erfüllen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Phishing-Resistenz als neuer technischer Standard
Im Zentrum der technischen Umsetzung stehen Passkeys, die auf dem FIDO2-Standard sowie WebAuthn basieren. Diese Verfahren nutzen asymmetrische Kryptografie und sind fest an die jeweilige Domain gebunden, was klassische Phishing-Angriffe erheblich erschwert.
Da bei diesem Prozess keine privaten Schlüssel übertragen werden, gilt die Methode als besonders sicher. Auch die US-Cybersicherheitsbehörde CISA empfiehlt ausdrücklich den Einsatz phishing-resistenter Authentifizierungslösungen.
Trotz der Sicherheitsvorteile stellt die Migration Unternehmen vor komplexe Aufgaben. Fachberater weisen darauf hin, dass die reine Einführung von Passkeys kein ganzheitliches Sicherheitskonzept ersetzt.
Vielmehr müssen Organisationen Prozesse für die Verwaltung, den Umgang mit Geräteverlusten, Rollenwechsel innerhalb des Unternehmens sowie Recovery-Szenarien etablieren. In der Praxis erweist sich daher oft eine hybride Strategie als sinnvoll, um den Übergang von passwortbasierten Systemen zu bewältigen.
Die technologische Umstellung auf moderne Sicherheitsstandards wie Passkeys ist ein entscheidender Schritt, um den aktuellen Cyberbedrohungen und gesetzlichen Pflichten wirksam zu begegnen. Ein kostenloser PDF-Report erläutert im Detail, wie diese passwortlose Technologie funktioniert und sicher implementiert wird. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?
Herausforderungen bei der praktischen Umsetzung und Akzeptanz
Die Dringlichkeit dieser Maßnahmen wird durch aktuelle Marktdaten unterstrichen. Laut der Studie „Cybersicherheit & Digitale Resilienz 2026“, für die Ende 2025 insgesamt 324 IT-Entscheider in der DACH-Region befragt wurden, hatten zu diesem Zeitpunkt 66 % der Unternehmen die NIS2-Vorgaben noch nicht vollständig umgesetzt.
Rund 47 % der Befragten bewerteten die Implementierung als schwierig, während 39 % die hohen Aufwände als wesentliche Hürde nannten. Sicherheitsverantwortliche identifizierten zudem Phishing (49 %) und KI-gestütztes Social Engineering (26 %) als Hauptrisiken für die Unternehmenssicherheit.
Ein prominentes Beispiel für die Anwendung dieser Standards lieferte die Bundesagentur für Arbeit (BA), die bereits Ende April 2025 infolge eines Sicherheitsvorfalls eine verpflichtende MFA einführte. Nutzer können hierbei zwischen Passkeys, dem TOTP-Verfahren oder einer speziellen App wählen.
Allerdings zeigen sich hier auch die Grenzen der Akzeptanz: Da Passkeys und TOTP oft gerätegebunden sind, scheitern Berichten zufolge zahlreiche Leistungsberechtigte an den technischen Hürden. Die Behörden verweisen in solchen Fällen auf Support-Personal, lehnen jedoch eine Rückkehr zu hybriden Kommunikationswegen wie dem Postversand aus Sicherheitsgründen ab.
