NIS2-Frist 31. Juli: 11.000 Unternehmen drohen Bußgelder bis 500.000 Euro

Strenge EU-Vorgaben wie DORA und NIS2 erzwingen eine Neuausrichtung der Personalprozesse bei Finanzinstituten. Vorständen droht bei Verstößen persönliche Haftung.

Grund sind die strengen Vorgaben des Digital Operational Resilience Act (DORA) und der NIS2-Richtlinie. Besonders die Überprüfung von Mitarbeitern und externen Dienstleistern rückt ins Zentrum der Compliance.

Persönliche Haftung für Vorstände droht

Ein Bericht der europäischen Wertpapieraufsicht ESMA vom 12. Juni 2026 macht deutlich: IT-Ausfälle können Vorstände und Geschäftsführer persönlich haftbar machen – etwa nach § 93 AktG oder § 43 GmbHG. Die Behörden registrierten bereits über 3.300 IKT-Vorfälle. Die Botschaft ist klar: Wer seine IT-Resilienz vernachlässigt, riskiert nicht nur das Unternehmen, sondern auch das eigene Vermögen.

Die Meldefristen sind knapp bemessen. Bei schwerwiegenden Vorfällen muss die Erstmeldung innerhalb von 4 bis 24 Stunden erfolgen. Ein Zwischenbericht folgt nach 72 Stunden, der Abschlussbericht nach einem Monat. Ähnliche Vorgaben gelten ab dem 11. September 2026 für den Cyber Resilience Act – dann sind aktiv ausgenutzte Schwachstellen meldepflichtig.

Anzeige

Angesichts drohender Haftungsrisiken für die Geschäftsführung gewinnt die regulatorische Compliance massiv an Bedeutung. Dieser kostenlose Praxis-Guide hilft Ihnen, die komplexen Anforderungen der neuen KI-Regulierungen und IT-Vorgaben rechtssicher zu meistern. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Laufende Mitarbeiterkontrollen statt einmaliger Checks

DORA verlangt von Finanzinstituten ein völlig neues HR-Verständnis. Schluss mit der einmaligen Überprüfung bei der Einstellung: Gefordert ist ein kontinuierliches Monitoring der Belegschaft. Dazu gehören Fit-&-Proper-Bewertungen und die regelmäßige Überprüfung externer Fachkräfte mit Zugriff auf kritische Systeme. Entscheidend ist eine prüfungssichere Dokumentation aller Prozesse.

Spezialisierte Dienstleister haben bereits reagiert. Sie bieten globales Background-Screening an, das über 200 Länder abdeckt. Die Systeme sind DSGVO-konform und nach ISO 27001 zertifiziert. Ziel ist das „Human Risk Management“ – der Mensch als potenzielle Schwachstelle in der IT-Sicherheit soll eliminiert werden.

NIS2-Frist läuft: 11.000 Unternehmen säumig

Zusätzlichen Druck erzeugt die NIS2-Richtlinie. In Deutschland endet die Registrierungspflicht beim BSI am 31. Juli 2026. Rund 11.000 betroffene Unternehmen sind dieser Pflicht noch nicht nachgekommen. Die Strafen sind empfindlich: In Deutschland drohen Bußgelder bis zu 500.000 Euro, in Österreich bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Anzeige

Neue Gesetze fordern von Unternehmen nicht nur technisches Handeln, sondern auch eine lückenlose Dokumentation zur Vermeidung hoher Bußgelder. Experten haben einen kostenlosen Report erstellt, der die neuen rechtlichen Pflichten und Cyberrisiken für Unternehmer verständlich zusammenfasst. Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu?

Betroffen sind nicht nur Finanzinstitute, sondern auch Energieversorger, Abfallwirtschaft und Lebensmittelketten. Die Geschäftsführung muss persönlich für die Einhaltung der Sicherheitsstandards bürgen.

Cyber-Gefahren verdoppeln sich als Top-Risiko

Die Dringlichkeit der neuen Regeln untermauert eine aktuelle Erhebung von AlixPartners: 70 Prozent der Risikochefs europäischer Banken sehen Cyber-Gefahren als größtes Risiko – doppelt so viele wie im Vorjahr. Nur jeder Vierte vertraut vollständig auf die Wiederherstellungsfähigkeit seiner Systeme nach einem Angriff.

Eine Studie von Myra Security aus dem Frühjahr 2026 zeigt zudem eine Trendwende: Rund 90 Prozent der IT-Entscheider fordern europäische Digitalprodukte für staatliche Einrichtungen und kritische Infrastrukturen. Doch die Hürden sind hoch: Hohe Migrationskosten und Informationsdefizite bremsen bei etwa einem Drittel der Unternehmen den Wechsel zu lokalen Lösungen.