Was NIS2 wirklich verlangt

Schon ein Blick auf die digitale Bedrohungslage europäischer Unternehmen und Organisationen zeigt, weshalb die Network and Information Security-2-Richtlinie (NIS2) der Europäischen Union notwendig ist. Allein 2024 registrierte das Bundesamt für Sicherheit in der Informationstechnik (BSI) täglich rund 309.000 neue Malware-Varianten – 26 Prozent mehr als im Vorjahr. Ransomware, Angriffe auf Lieferketten und Ausfälle kritischer Dienste gehören inzwischen zum Alltag. NIS2 legt verpflichtende Cybersecurity-Mindeststandards fest für:

• Betreiber kritischer Infrastrukturen (KRITIS)
• Besonders wichtige Einrichtungen wie Telekommunikationsanbieter oder Teile der Verwaltung
• Wichtige Einrichtungen, vor allem mittlere Unternehmen (grundsätzlich ab 50 Beschäftigten oder 10 Mio. Euro Umsatz) aus bestimmten Sektoren wie Energie, Verkehr, Gesundheit

Mit NIS2 wurde die Zahl der Unternehmen, die in die Pflicht genommen werden, erheblich erweitert. Während die ursprüngliche NIS-Richtlinie nur einen kleinen Kreis an Betreibern kritischer Infrastrukturen erfasste, unterliegen laut einer Schätzung des BSI rund 29.500 Unternehmen unmittelbar den Verpflichtungen aus NIS2. Eine Zahl, die auf älteren Statistiken beruht und inzwischen zwar angezweifelt wird – aber angesichts der bisher letzten offiziellen Registrierungszahlen des BSI in Höhe von 20.141 zum 30. September ist sie dennoch ein deutlicher Hinweis darauf, dass es eine nicht unerhebliche Registrierungslücke gibt.

Die Pflichten gelten, die Umsetzung stockt

Obwohl das deutsche Umsetzungsgesetz bereits im Dezember 2025 in Kraft getreten ist, haben laut einer Studie des IT-Dienstleisters Plusserver vom Juli 2026 bislang lediglich 34 Prozent der betroffenen Unternehmen die NIS2-Anforderungen vollständig erfüllt. Zugleich stand die gesonderte Registrierung beim BSI bei zahlreichen Unternehmen noch aus, weshalb hierfür eine Nachfrist bis zum 31. Juli 2026 eingeräumt wurde. Da auch diese inzwischen verstrichen ist, können unterlassene oder verspätete Registrierungen mit einer Geldbuße von bis zu 500.000 Euro geahndet werden. Viele Unternehmen wissen noch nicht einmal, ob sie die Regulierung überhaupt umsetzen müssen, so der Verdacht des BSI.

NIS2 geht weit über die IT hinaus

Zahlreiche Unternehmen behandeln NIS2 aber noch immer als klassisches IT-Sicherheitsprojekt. Sie modernisieren Firewalls, überarbeiten Sicherheitsrichtlinien oder lassen ihre technischen Schutzmaßnahmen extern bewerten. All das ist notwendig – reicht aber nicht. Bei Weitem nicht.

Laut der Bitkom-Studie „Wirtschaftsschutz 2025“ verfügen zwar 59 Prozent der Unternehmen über ein Notfallmanagement, aber 39 Prozent haben keinen strukturierten Plan für den Fall von Datendiebstahl, Sabotage oder Spionage. Zudem führt nur etwa die Hälfte der Unternehmen regelmäßige IT-Sicherheitsschulungen durch.

Die Zahlen verdeutlichen, weshalb die Umsetzung von NIS2 als reines IT-Projekt zu kurz greift. Gefordert sind nicht nur technische Schutzmaßnahmen, sondern auch ein systematischer Umgang mit Risiken, Sicherheitsvorfällen und Abhängigkeiten in der Lieferkette. Ebenso wichtig sind umfangreiche und wirksame Vorkehrungen für Not- und Krisenfälle sowie die Sensibilisierung der Beschäftigten. NIS2 betrifft damit die gesamte Organisation.

Lieferketten unter NIS2 sicher steuern

Ob Unternehmen die NIS2-Vorgaben in der Praxis wirksam erfüllen können, hängt auch davon ab, wie sie Sicherheitsanforderungen intern steuern und gegenüber externen Partnern und Dienstleistern durchsetzen. „Besonders wichtige“ und „wichtige“ Einrichtungen müssen berücksichtigen, wie ihre unmittelbaren Lieferanten und Dienstleister mit Cybersicherheitsrisiken umgehen und welche Schwachstellen etwa bei der Entwicklung und Bereitstellung von Produkten oder Diensten bestehen. Unter Umständen können sie deshalb nicht mehr mit jedem Anbieter zusammenarbeiten, ohne Pflichtverstöße zu riskieren.

Das BSI empfiehlt zudem, Zulieferer vertraglich zur Einhaltung von Sicherheitsmaßnahmen zu verpflichten und entsprechende Nachweise einzufordern. Audits können Aufschluss darüber geben, ob die Vereinbarungen auch eingehalten werden, und gemeinsame Krisenübungen helfen gegebenenfalls dabei, die getroffenen Vorkehrungen und das Zusammenspiel der Beteiligten zu erproben. Dies erfordert eine enge Abstimmung mit den jeweiligen Dienstleistern.

Das Beispiel zeigt, dass NIS2 nicht an den Grenzen des eigenen Unternehmens endet. Werden Vertragspartner eingebunden, sind eindeutige und verbindliche Vorgaben für die Zusammenarbeit erforderlich.

Von Compliance zu Resilienz: Was erfolgreiche Unternehmen anders machen

Unternehmen mit einem hohen Reifegrad betrachten NIS2 nicht als einmaliges Compliance-Projekt, sondern als Anlass, ihre Governance- und Risikostrukturen dauerhaft weiterzuentwickeln. Ziel ist nicht, einzelne regulatorische Anforderungen möglichst effizient abzuhaken, sondern Cyberrisiken kontinuierlich zu steuern und Entscheidungen nachvollziehbar zu treffen.

Dafür braucht es drei Voraussetzungen: klare Verantwortlichkeiten, standardisierte Prozesse und ein gemeinsames Risikoverständnis über Abteilungsgrenzen hinweg. Erst wenn Risikomanagement, Informationssicherheit, Compliance und die für interne Kontrollen, Lieferantenbeziehungen und Sicherheitsvorfälle zuständigen Funktionen ihre Informationen zusammenführen, entsteht die erforderliche Transparenz.

Genau an dieser Stelle gewinnen digitale Governance-, Risk- und Compliance-Plattformen an Bedeutung. Sie ersetzen nicht die fachliche Verantwortung der Unternehmen, schaffen jedoch eine gemeinsame Informationsgrundlage und erleichtern die bereichsübergreifende Steuerung komplexer regulatorischer Anforderungen. Risiken, Maßnahmen, Vorfälle, Fristen und Nachweise lassen sich zentral verwalten, Workflows automatisieren und Verantwortlichkeiten eindeutig zuweisen. Moderne Plattformen unterstützen darüber hinaus mit branchenspezifischen Vorlagen und Funktionen zur automatisierten Analyse und Aufbereitung von Daten dabei, Prozesse schneller zu etablieren und an neue regulatorische Anforderungen anzupassen. Das ist besonders hilfreich, wenn finanzielle Mittel, Fachwissen und personelle Ressourcen begrenzt sind.

Entscheidend ist dabei weniger die eingesetzte Technologie als ihre Fähigkeit, unterschiedliche Fachbereiche miteinander zu verbinden. Entsprechend sollte auch die technische Unterstützung organisationsweit gedacht werden.

Aussitzen wird teuer

Bußgelder sind nur ein Teil der möglichen Konsequenzen einer mangelhaften NIS2-Umsetzung. Je nach Verstoß drohen Geldbußen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Hinzu kommen mögliche aufsichtsrechtliche Maßnahmen. Verletzt die Unternehmensleitung schuldhaft ihre Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen, kann sie zudem persönlich gegenüber dem Unternehmen haften.

Noch schwerer wiegen häufig die wirtschaftlichen Folgen mangelnder Resilienz: Unklare Abläufe, fehlende Transparenz und ein unzureichendes Risikomanagement erschweren es, Cybervorfälle frühzeitig zu erkennen und angemessen darauf zu reagieren. Dadurch kann wertvolle Zeit verloren gehen, wenn betroffene Systeme isoliert, Notfallmaßnahmen eingeleitet oder interne und externe Stellen informiert werden müssen. Ausfälle können sich verlängern, Folgekosten summieren und im Ernstfall den Geschäftsbetrieb erheblich beeinträchtigen.

Unternehmen, die NIS2 als Organisationsprojekt umsetzen, erfüllen daher nicht nur regulatorische Pflichten. Sie schaffen transparente Prozesse, verbessern ihre Reaktionsfähigkeit und stärken ihre Widerstandsfähigkeit gegenüber Cyberrisiken. Langfristig kann daraus auch ein Wettbewerbsvorteil entstehen. Denn angesichts der weltweiten Bedrohungslage stellt sich längst nicht mehr allein die Frage, „ob“ ein Unternehmen mit einem Cybervorfall konfrontiert wird, sondern „wann“ – und wie gut es darauf vorbereitet ist.