NIS-2-Umsetzung: Sachsen-Anhalt im digitalen Umbruch

Seit Dezember 2025 gelten strenge Cybersicherheitsauflagen. Viele KMU in Sachsen-Anhalt kämpfen mit der Umsetzung, während erste Fristen verpasst wurden.

Tausende Unternehmen und Kommunen in Sachsen-Anhalt stehen unter Druck: Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes im Dezember 2025 müssen sie strenge Cybersicherheitsauflagen erfüllen. Besonders für kleine und mittlere Betriebe wird die Lage zur Zerreißprobe.

Rund 30.000 Unternehmen in 18 kritischen Sektoren sind bundesweit von der neuen Regulierung betroffen. In Sachsen-Anhalt, das noch immer unter den Folgen schwerer Ransomware-Angriffe leidet, sehen Behörden die Verschärfung als notwendigen Schritt. Die erste große Hürde ist bereits genommen – mit gemischtem Ergebnis.

Anzeige

Angesichts der neuen gesetzlichen Anforderungen durch NIS-2 stehen viele Unternehmer vor der Herausforderung, ihre IT-Infrastruktur ohne riesige Budgets abzusichern. Dieses kostenlose E-Book zeigt Ihnen, wie Sie aktuelle Bedrohungen abwenden und neue Compliance-Vorgaben effizient erfüllen. IT-Sicherheit stärken ohne teure Investitionen

Erste Deadline offenbart eklatante Lücken

Am 6. März 2026 lief die Registrierungsfrist für sogenannte „wesentliche" und „wichtige" Einrichtungen ab. Seit das Portal des Bundesamts für Sicherheit in der Informationstechnik (BSI) am 6. Januar öffnete, mussten Unternehmen aus Energie-, Wasser- und Lebensmittelversorgung sowie der Abfallwirtschaft ihren Sicherheitsstatus dokumentieren.

Die Bilanz ist ernüchternd: Während Großkonzerne gut vorbereitet waren, kämpften viele kleine und mittlere Unternehmen (KMU) mit den Anforderungen. Schon ab 50 Mitarbeitern oder einem Jahresumsatz von zehn Millionen Euro greift das Gesetz in bestimmten Branchen. Die Pflicht zur sofortigen Risikoanalyse und zur Meldung schwerwiegender Vorfälle binnen 24 Stunden überfordert viele Betriebe.

Die Strafen sind drastisch: Bis zu zehn Millionen Euro Bußgeld drohen bei Verstößen. Noch schwerer wiegt die persönliche Haftung für Geschäftsführer und Vorstände. Sie müssen spezielle Cybersicherheitsschulungen absolvieren und die Umsetzung persönlich verantworten.

Kommunen als Schwachstelle – Pilotprojekt zeigt Wirkung

Sachsen-Anhalt hat früh reagiert. Das Pilotprojekt „SicherKommunal in Sachsen-Anhalt" läuft seit Oktober 2024 – eine direkte Konsequenz aus dem Cyberangriff auf den Landkreis Anhalt-Bitterfeld 2021, der damals den Katastrophenfall auslöste und Kosten von rund 2,5 Millionen Euro verursachte.

Das Projekt nutzt den „Weg in die Basis-Absicherung" (WiBA)-Katalog des BSI mit 257 Prüffragen. Teilnehmer sind die Stadt Halberstadt, der Salzlandkreis und die Verbandsgemeinde Arneburg-Goldbeck. Digitalministerin Dr. Lydia Hüskens betonte, es gehe darum, Blaupausen zu entwickeln, die andere Kommunen leicht übernehmen können. Das Land stellt 170.000 Euro für Beratung und digitale Werkzeuge bereit.

Politisches Tauziehen um Landesgesetz

Trotz dieser Fortschritte tobt ein politischer Streit. Nach technischen Pannen bei Sirenenanlagen in Halle und Querfurt fordern Politiker ein eigenes Informationssicherheitsgesetz für Sachsen-Anhalt. Die bisherige Mischung aus Bundesrecht und freiwilligen Projekten reiche nicht aus, argumentieren Befürworter.

Bereits im September 2025 warnten Experten im zuständigen Landtagsausschuss: IT-Sicherheit sei eine gesamtgesellschaftliche Daueraufgabe, die Kommunen nicht allein stemmen könnten. Michael Struckmeier vom Landkreistag Sachsen-Anhalt warnte davor, die organisatorische Hoheit vollständig den einzelnen Gemeinden zu überlassen. Nötig seien zentrale Konzepte und einheitliche Standards.

Das geplante Gesetz würde verbindliche Sicherheitsstandards für alle Landesbehörden vorschreiben – inklusive jährlicher Audits und Schwachstellenanalysen. Ein „Landesamt für Cybersicherheit" könnte als zentrale Anlaufstelle für Kommunen dienen.

Chefsache Cybersicherheit

Die größte Veränderung betrifft die Führungsetagen. Paragraf 38 des NIS2UmsuCG macht Cybersicherheit zur Chefsache: Geschäftsführer müssen Sicherheitsmaßnahmen persönlich umsetzen und überwachen – bei Fahrlässigkeit droht die persönliche Haftung.

Der „CyberSecurity Verbund Sachsen-Anhalt II" unterstützt diesen Wandel. Das Netzwerk aus Hochschule Harz, Uni Halle-Wittenberg und Uni Magdeburg entwickelt KI-gestützte Sicherheitslösungen speziell für KMU und öffentliche Einrichtungen. Es schlägt die Brücke zwischen Forschung und Praxis.

Anzeige

Die zunehmende Digitalisierung und neue KI-Gesetze bringen für Unternehmen nicht nur technische, sondern auch komplexe rechtliche Pflichten mit sich. Dieser kostenlose Report klärt auf, welche Cyberrisiken und gesetzlichen Anforderungen Unternehmer jetzt zwingend kennen müssen. Kostenlosen Report zu neuen Cyberrisiken anfordern

Landes-CIO Bernd Schlömer betont zudem die Bedeutung des Onlinezugangsgesetzes (OZG). Je mehr Verwaltungsleistungen digitalisiert werden, desto wichtiger sei die Sicherheit der zugrundeliegenden Infrastruktur.

Zweigeteilte Realität

Die Lage in Sachsen-Anhalt ist gespalten: Während „wesentliche" Unternehmen unter direkter BSI-Aufsicht zu den am strengsten regulierten der Welt gehören, agieren Kommunen in einem Flickenteppich unterschiedlicher Sicherheitsniveaus.

Die Kosten bleiben ein Streitpunkt. Zwar fördert das Land Pilotprojekte, doch Kommunalvertreter fordern dauerhafte finanzielle Unterstützung für Fachpersonal und moderne Hardware. Der Fachkräftemangel verschärft die Situation – öffentliche und private Arbeitgeber konkurrieren um wenige IT-Sicherheitsexperten.

Ausblick: Die zweite Jahreshälfte wird entscheidend

Das BSI wird in den kommenden Monaten von der Beratungs- zur Kontrollphase übergehen. Unternehmen, die die März-Frist verpasst oder meldepflichtige Vorfälle verschwiegen haben, müssen mit ersten Prüfungen und Sanktionen rechnen.

Politisch dürfte die Entscheidung über das Informationssicherheitsgesetz noch vor Jahresende fallen. Ein Erfolg würde Sachsen-Anhalt auf eine Stufe mit anderen Bundesländern stellen, die bereits spezialisierte Cybersicherheitsbehörden eingerichtet haben.

Für Unternehmen und Verwaltungen im Land gilt: Cybersicherheit ist kein IT-Problem mehr – sie ist zur rechtlichen und operativen Pflichtaufgabe geworden. Wer jetzt nicht handelt, riskiert nicht nur Geldstrafen, sondern die persönliche Haftung.