NIS2-Compliance: Nur 11.500 von 29.500 Unternehmen registriert
Veröffentlicht am: 31.08.2026 um 18:34 Uhr | Redaktion boerse-global.de
Aktuelle Fachanalysen identifizieren die Absicherung von Betriebstechnik (OT) und dem Internet der Dinge (IoT) als eine der größten Herausforderungen bei der Umsetzung der NIS2-Richtlinie. Während klassische IT-Infrastrukturen oft bereits im Fokus der Cybersicherheit stehen, gelten vernetzte Industrieanlagen und Edge-Geräte zunehmend als kritische Compliance-Risiken und blinde Flecken in der Unternehmenssicherheit.
Erhebliche Registrierungslücken bei betroffenen Unternehmen
Trotz der bereits verstrichenen gesetzlichen Fristen zeigt sich bei der Umsetzung der NIS2-Vorgaben ein deutlicher Rückstand. In Deutschland ist das NIS2-Umsetzungsgesetz bereits seit dem 6. Dezember 2025 in Kraft. Die reguläre Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) endete am 6. März 2026; auch eine gewährte Nachfrist ist am 31.07.2026 abgelaufen.
Nach Angaben des BSI haben sich bis zum Ende dieser Nachfrist lediglich etwa 11.500 der geschätzt 29.500 betroffenen Einrichtungen registriert. Damit kommt ein Großteil der Unternehmen seinen formellen Pflichten bisher nicht nach. Bei einer verspäteten Registrierung drohen laut geltendem Recht Bußgelder von bis zu 500.000 Euro.
Technologische Schwachstellen und gezielte Angriffe auf die Firmware
Die Dringlichkeit der Maßnahmen wird durch aktuelle Bedrohungsdaten unterstrichen. Im Jahr 2024 betrafen 44% der identifizierten Zero-Day-Exploits Enterprise-Technologien wie VPN-Lösungen, Firewalls und Router. Im darauffolgenden Jahr 2025 wurden zudem 14 Zero-Day-Schwachstellen speziell an Edge-Devices dokumentiert.
Besondere Aufmerksamkeit widmen Experten sogenannten Firmware-Angriffen. Solche Bootkits sind in der Lage, herkömmliche Endpoint Detection and Response-Systeme (EDR) zu umgehen. Als Gegenmaßnahme wird der Einsatz einer Hardware Root of Trust, etwa durch ein Trusted Platform Module (TPM) in Verbindung mit Secure Boot, empfohlen.
Angesichts der im Artikel beschriebenen technologischen Schwachstellen müssen Unternehmen ihre IT-Sicherheit heute ganzheitlicher denken. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken proaktiv schließen und dabei gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken
Zur Einhaltung der Compliance-Vorgaben nach NIS2 und IT-Grundschutz (Baustein NET.1.1) sollten Unternehmen zudem Prüfpläne für den Wareneingang etablieren. Diese umfassen unter anderem visuelle Inspektionen, den Abgleich von Seriennummern, die Validierung von Firmware-Hashes sowie die Überprüfung von TPM-Zertifikaten.
Persönliche Haftung und Auswirkungen auf die Lieferkette
Ein zentraler Aspekt der NIS2-Richtlinie ist die direkte Verantwortung der Unternehmensführung. Gemäß Artikel 20 der Richtlinie muss das Management die Risikomanagementmaßnahmen nicht nur genehmigen, sondern auch deren Umsetzung überwachen.
Bei Verstößen haftet die Geschäftsleitung persönlich; eine Auslagerung dieser Verantwortung durch Outsourcing ist explizit ausgeschlossen. Cybersicherheit rückt damit von einer rein technischen Aufgabe zu einer strategischen Priorität auf Vorstandsebene auf.
Wer sich mit komplexen gesetzlichen Vorgaben und Haftungsrisiken befasst, sollte auch die grundlegenden Sicherheitsmechanismen der KI-Verordnung kennen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und neuen Bedrohungen Unternehmer jetzt für eine umfassende Compliance kennen müssen. Kostenlosen Umsetzungsleitfaden zum EU AI Act sichern
Die wirtschaftlichen Konsequenzen bei Nichtbeachtung sind massiv. Für „besonders wichtige“ Einrichtungen können Bußgelder bis zu 10 Millionen Euro oder 2% des weltweiten Gesamtumsatzes betragen. Bei „wichtigen“ Einrichtungen liegt der Rahmen bei bis zu 7 Millionen Euro oder 1,4% des Umsatzes.
Die Regulierung wirkt zudem weit über die direkt betroffenen Sektoren hinaus. Über die Anforderungen an die Lieferkettensicherheit geben Primärverpflichtete die Compliance-Vorgaben vertraglich an ihre Zulieferer weiter. Dies betrifft auch Branchen wie Autohäuser und Vertragswerkstätten sowie kleine und mittlere Unternehmen (KMU), die als Unterauftragnehmer fungieren.
In der Praxis müssen diese Betriebe oft detaillierte Fragebögen zu Themen wie Mehrfaktor-Authentifizierung (MFA), Patchmanagement, Backup-Tests und Vorfallsmeldungen innerhalb von 24 Stunden beantworten.
Internationale Umsetzung und Branchenfokus
Auch in den europäischen Nachbarstaaten schreitet die Regulierung voran. In den Niederlanden stimmte die Erste Kammer dem Cyberbeveiligingswet (Cbw) zu, wodurch die NIS2-Vorgaben dort am 15. August in Kraft traten. Tausende Unternehmen erhalten damit neue Verpflichtungen.
Die Richtlinie umfasst ein breites Spektrum an Sektoren, darunter Energie, Gesundheit, Finanzen sowie den Personen- und Güterverkehr zu See und auf Binnenwasserwegen. Auch Hafenbehörden, Betreiber von Hafenanlagen und VTS-Betreiber (Vessel Traffic Services) fallen unter die Regulierung.
Zur praktischen Umsetzung verweisen Sicherheitsbehörden wie das NCSC auf Leitfäden für Management-Boards und bevorzugte Frameworks wie die Cyber Fundamentals (CyFun), um die geforderten Risikomanagement-Standards zu erreichen.
