NIS2-Compliance: Neue Meldepflichten für Cyberangriffe ab 11. September
Veröffentlicht am: 10.09.2026 um 15:00 Uhr | Redaktion boerse-global.de
In einer Expertenrunde am 9. September 2026 debattierten Fachleute über die Notwendigkeit von Zero-Trust-Architekturen, um den wachsenden Bedrohungen durch KI-gesteuerte Angriffe und komplexe Lieferketten-Risiken zu begegnen. Im Zentrum der Diskussion stand die NIS2-konforme Zugriffskontrolle, die für Unternehmen in der Europäischen Union zunehmend an operativer Bedeutung gewinnt.
Strategische Säulen der Resilienz nach NIS2
Das teissTalk-Panel definierte vier zentrale Säulen für die Sicherung kritischer Infrastrukturen gemäß der NIS2-Richtlinie: Vertrauen durch „Secure by Design“, regulatorische Konformität, Performance hinsichtlich Kosten und Effizienz sowie die Resilienz zur Aufrechterhaltung der Betriebskontinuität. Experten betonten dabei die Relevanz öffentlich-privater Partnerschaften, um die nationale Sicherheit gegen Cyberbedrohungen zu stärken.
Der regulatorische Druck nimmt unterdessen zu. Während die nationale Umsetzungsfrist für NIS2 bereits auf den 17. Oktober 2024 datiert war, trat das entsprechende deutsche Umsetzungsgesetz am 6. Dezember 2025 in Kraft. Verstöße gegen die Sicherheitsvorgaben können empfindliche Sanktionen nach sich ziehen.
Für essentielle Einrichtungen liegen die Bußgelder bei mindestens 10 Millionen Euro oder zwei Prozent des weltweiten Umsatzes. Wichtige Einrichtungen müssen mit mindestens 7 Millionen Euro oder 1,4 Prozent des Umsatzes rechnen. Ab dem 11. September 2026 greifen zudem neue Meldepflichten des Cyber Resilience Act (CRA) für aktiv ausgenutzte Schwachstellen gegenüber der ENISA.
Identitätsrisiken und die Rolle von KI-Agenten
Ein wesentlicher Faktor für moderne Sicherheitsstrategien ist der Umgang mit Identitäten. Laut dem Identity Threat Report von SpyCloud, für den 750 Sicherheitsverantwortliche befragt wurden, stellen kompromittierte nicht-menschliche Identitäten (NHIs) mit 31 Prozent inzwischen den primären Einstiegspunkt für Angreifer dar, womit sie klassisches Phishing übertreffen. Obwohl 95 Prozent der Befragten angaben, an die Sichtbarkeit ihrer Systeme zu glauben, überwachen nur 36 Prozent diese Identitäten aktiv.
Wer sich mit den neuen regulatorischen Anforderungen durch den EU AI Act befasst, benötigt einen klaren Überblick über alle kommenden Pflichten und Fristen. Dieser kostenlose Download verschafft Ihnen die Orientierung, die Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Jim Reavis, CEO der Cloud Security Alliance (CSA), wies darauf hin, dass Kunden bei der Nutzung von Hyperscalern etwa 80 Prozent der Verantwortung für die Sicherheitskontrollen tragen. Er forderte die Implementierung von Zero Trust und das Prinzip der geringsten Autonomie („Least Autonomy“) insbesondere für KI-Agenten. Da Agentic AI die Autorität über verschiedene Plattformen und Partner verteilt, wird ein neues Modell der geteilten Verantwortlichkeit notwendig.
Neue Angriffsmuster durch automatisierte Bedrohungen
Die Gefahrenlage verschärft sich durch den Einsatz von Large Language Models (LLMs) seitens staatlich akzentuierter Angreifer. Die Google Threat Intelligence Group identifizierte in ihrem AI Threat Tracker 2026 Gruppen mit Bezug zur Volksrepublik China, die LLMs für Zielrecherchen und die Fehlerbehebung beim Programmieren von Schadcode nutzen.
Eine Gruppe entwickelte demnach ein automatisiertes Framework für Penetrationstests, das in der Lage war, tausende Anmeldedaten innerhalb von sechs Stunden zu kompromittieren.
Neue technologische Entwicklungen bringen auch neue Risiken für die Unternehmenssicherheit mit sich, die über rein technische Aspekte hinausgehen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt im Bereich der Cyber-Security kennen müssen. Gratis-Report zu Cyberrisiken und neuen Gesetzen anfordern
Zudem entdeckten Sicherheitsforscher von Noma Security eine neue Form des Identitätsdiebstahls in KI-Workflows. Dabei nutzen Angreifer unauthentifizierte Kanäle wie Support-Postfächer, um über nicht-menschliche Identitäten Zugriff zu erhalten, ohne das zugrunde liegende Modell manipulieren zu müssen. Experten raten hier zu kurzlebigen Token und strikten Autorisierungspunkten zwischen Lese- und Schreibvorgängen.
Zero Trust als Architekturprinzip gegen Ransomware
Die Dringlichkeit dieser Maßnahmen wird durch aktuelle Schadensbilanzen unterstrichen. Der BSI-Lagebericht 2025 verzeichnete, dass 80 Prozent der Ransomware-Angriffe kleine und mittlere Unternehmen trafen. Laut einer Bitkom-Studie aus demselben Jahr waren 87 Prozent der deutschen Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen.
Gartner empfiehlt in diesem Zusammenhang fünf Zero-Trust-Prinzipien für die KI-Sicherheit. Dabei solle Zero Trust als Paradigma und nicht lediglich als Technologie verstanden werden. Zu den Kernpunkten gehören die Annahme eines feindlichen Akteurs im Netzwerk, die Behandlung von KI-Agenten als eigene Identitäten sowie ein risikobasierter, adaptiver Zugriff.
Historische Vorfälle wie der Angriff auf MGM Resorts im Jahr 2023, der einen Schaden von rund 100 Millionen US-Dollar verursachte, verdeutlichen laut Analysten die Notwendigkeit, laterale Bewegungen im Netzwerk durch konsequente Segmentierung und Identitätsmanagement zu unterbinden.
