NIS-2-Frist verpasst: 18.500 deutsche Firmen drohen Millionenstrafen

Nur etwa 11.500 von 30.000 betroffenen Unternehmen haben sich fristgerecht beim BSI registriert. Die NIS-2-Richtlinie macht Cybersicherheit zur persönlichen Haftung für Geschäftsführer.

Die EU-Richtlinie NIS-2 ist für Tausende deutsche Unternehmen von einer abstrakten Vorschrift zur akuten Compliance-Krise geworden. Die gesetzliche Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) lief am 6. März 2026 ab. Doch nur etwa 11.500 der schätzungsweise 30.000 betroffenen Organisationen haben sich fristgerecht angemeldet. Rund 18.500 Firmen sind nun mit empfindlichen Geldbußen konfrontiert.

Anzeige

Angesichts der neuen gesetzlichen Anforderungen und drohender Bußgelder müssen Unternehmen ihre digitale Widerstandsfähigkeit jetzt strategisch verstärken. Dieser kostenlose Experten-Report enthüllt effektive Strategien zur Stärkung der IT-Sicherheit, ohne dass dabei Ihr Budget explodiert. Wie mittelständische Unternehmen sich gegen Cyberkriminelle wappnen

Ein Paradigmenwechsel für die Unternehmensführung

Die NIS-2-Richtlinie und das nationale NIS2-Umsetzungsgesetz bedeuten einen grundlegenden Wandel. Cybersicherheit ist keine reine IT-Aufgabe mehr, sondern eine nicht delegierbare Managementpflicht mit persönlicher Haftung für Geschäftsführer und Vorstände. Die dreimonatige Übergangsfrist nach Inkrafttreten des Gesetzes im Dezember 2025 ist nun vorbei.

Die geringen Registrierungszahlen führen Experten auf weit verbreitete Fehleinschätzungen im Mittelstand zurück. Viele Unternehmen glaubten fälschlicherweise, sie seien ausgenommen. Dabei erfasst der Geltungsbereich Organisationen ab nur 50 Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro in 18 kritischen Sektoren. Dazu zählen nicht mehr nur Energieversorger oder Krankenhäuser, sondern auch Lebensmittelproduktion, Chemie, Postdienste, Abfallwirtschaft und digitale Dienstleister.

Die Konsequenzen für Nicht-Einhaltung sind drastisch: Für besonders wichtige Einrichtungen können Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes fällig werden – je nachdem, welcher Betrag höher ist.

Persönliche Haftung und Schulungspflicht für Chefs

Das revolutionäre Kernstück der Gesetzgebung ist die Verankerung der Verantwortung in der Führungsetage. Geschäftsleitungen müssen Sicherheitsmaßnahmen nun gesetzlich genehmigen und deren Umsetzung aktiv überwachen. Bei einem Cybervorfall aufgrund fahrlässiger Sicherheitspraktiken können Manager persönlich mit ihrem Privatvermögen haften. Ein Verzicht des Unternehmens auf diese Ansprüche ist gesetzlich ausgeschlossen.

„Unwissenheit schützt vor Strafe nicht“ – dieser Grundsatz gilt hier im wörtlichen Sinne. Die Gesetze schreiben regelmäßige Cybersicherheitstrainings für Führungskräfte verbindlich vor. Manager müssen lernen, Risiken zu erkennen, Bedrohungen zu bewerten und die operativen Auswirkungen von Vorfällen einzuschätzen. IT-Risiken müssen direkt in die Unternehmensstrategie integriert werden.

Anzeige

Da die Haftung für IT-Risiken nun unmittelbar die Geschäftsführung trifft, ist eine fundierte Informationsbasis über aktuelle Bedrohungen und gesetzliche Pflichten unerlässlich. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Ihr Unternehmen mit einfachen, aber wirkungsvollen Maßnahmen proaktiv schützen. IT-Sicherheit stärken ohne teure neue Mitarbeiter einzustellen

Strenge Meldepflichten und Lieferketten-Druck

Die NIS-2-Richtlinie verlangt zudem ein komplett neues Incident-Management. Für signifikante Sicherheitsvorfälle gilt ein dreistufiges Meldeverfahren: eine erste Warnung ans BSI innerhalb von 24 Stunden, einen detaillierten Bericht binnen 72 Stunden und eine abschließende Analyse innerhalb eines Monats.

Um diese engen Fristen einzuhalten, brauchen Unternehmen hochautomatisierte Erkennungssysteme und klare interne Eskalationswege. Security Operations Centers wandeln sich so von technischen Teams zu compliance-pflichtigen Beweismittel-Erstellern, die direkt an das Vorstands-Dashboard berichten.

Hinzu kommt die erweiterte Verantwortung für die Sicherheit der Lieferkette. Firmen müssen nun den Cyber-Status ihrer direkten Zulieferer bewerten. Dieser Dominoeffekt zwingt selbst kleine Unternehmen, die formal nicht unter die NIS-2-Schwellenwerte fallen, zur Einhaltung der Standards – allein schon, um ihre Verträge mit großen, regulierten Partnern zu behalten.

Teil einer europäischen Offensive

Die NIS-2-Richtlinie ist Teil einer breiteren europäischen Strategie für digitale Resilienz. Dazu gehören auch der Digital Operational Resilience Act für den Finanzsektor und der für März 2026 in Draft-Form angekündikte Cyber Resilience Act.

Der Aufstieg der Cybersicherheit zur Chef-Sache spiegelt die zunehmende Bedrohungslage wider: Immer häufigere und raffiniertere Hackerangriffe, oft staatlich gefördert, zielen auf europäische Infrastrukturen. Die hohen initialen Compliance-Kosten – für große Institutionen durchaus im Millionenbereich – sollen langfristig ein robusteres Wirtschaftsökosystem schaffen. Das aktuelle Registrierungsdefizit zeigt jedoch eine deutliche Lücke zwischen Gesetzesabsicht und der Realität im deutschen Mittelstand, wo knappe Ressourcen und Fachkräftemangel eine schnelle Umsetzung erschweren.

Was jetzt auf die Unternehmen zukommt

Für die verbleibenden Monate 2026 wird der Faktor der Behörden von der Registrierung zur aktiven Durchsetzung und Prüfbereitschaft wechseln. Das BSI wird voraussichtlich mit formellen Verwarnungen und ersten Bußgeldern gegen die säumigen 18.500 Organisationen vorgehen.

Unternehmen, die noch nicht gehandelt haben, müssen umgehend eine Gap-Analyse starten und technische sowie organisatorische Maßnahmen schnellstmöglich umsetzen. Führungsteams müssen IT-Sicherheitsbudgets priorisieren, in automatisierte Compliance-Tools investieren und bei fehlender interner Expertise externen Rat einholen. Digitale Widerstandsfähigkeit bleibt ein Dauerbrenner auf der Vorstandsagenda – und verändert grundlegend, wie deutsche Unternehmen mit digitalen Risiken umgehen.