NIS2-Richtlinie: 29.500 Unternehmen kämpfen mit Compliance-Anforderungen

Neue Prüftools helfen bei der NIS2-Umsetzung, doch Compliance frisst fast 40 Prozent der IT-Kapazitäten. Geschäftsführer haften persönlich.

Seit Inkrafttreten der NIS2-Richtlinie und des neuen BSI-Gesetzes (BSIG) kämpfen mittelständische Unternehmen mit der Umsetzung. Compliance-Aufgaben fressen inzwischen fast 40 Prozent der IT-Kapazitäten.

Anzeige

Neue gesetzliche Anforderungen wie NIS2 erhöhen den Druck auf die IT-Sicherheit massiv. Dieses gratis E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig alle neuen rechtlichen Pflichten effizient erfüllen. IT-Sicherheit stärken und gesetzliche Anforderungen erfüllen

Neue Prüfwerkzeuge für den Mittelstand

Um die Lücke zwischen Anspruch und Wirklichkeit zu schließen, bringen Dienstleister digitale Bewertungstools auf den Markt. Der Softwareentwickler Enginsight hat am 27. Mai einen „NIS2 Readiness Check" veröffentlicht. Der Test dauert acht Minuten und bewertet Unternehmen in sieben Kategorien – von Governance über Incident Response bis zu technischen Schutzmaßnahmen. Das Tool liefert ein Benchmarking und nennt die drei wichtigsten Sofortmaßnahmen.

Auch AirITSystems bietet eine kostenlose Selbsteinschätzung an, die sich an der ISO 27001 orientiert. Andere Anbieter vermarkten Dokumentations-Kits mit Dutzenden Vorlagen für Firmen in Deutschland, Österreich und der Schweiz. Branchenbeobachter warnen: Viele Organisationen unterschätzen noch immer die Komplexität des Übergangs.

Haftung der Geschäftsführung und Bürokratielast

Das BSIG, das Anfang Dezember 2025 in Kraft trat, stellt die Unternehmensführung in die Pflicht. Vorstände und Geschäftsführer haften persönlich für die Umsetzung der Cybersicherheitsmaßnahmen. Eine Studie von G Data aus dem Jahr 2026 zeigt: 77 Prozent der Geschäftsführer fühlen sich stark persönlich verantwortlich. Auf der Teamebene sind es nur noch 41 Prozent.

Die operative Belastung ist enorm. Eine Sophos-Studie unter 5.000 IT-Managern ergab: Teams müssen im Schnitt fünf verschiedene Standards gleichzeitig erfüllen – NIS2, DSGVO, ISO 27001 und andere. Compliance-Aufgaben verschlingen rund 39 Prozent der Arbeitszeit. Mehr als 80 Prozent der befragten IT-Experten sind unsicher, ob ihr Unternehmen alle Anforderungen erfüllt.

Anzeige

Angesichts steigender Cyberrisiken und komplexer Gesetze wird die proaktive Absicherung für die Geschäftsführung zur Pflicht. Experten erklären in diesem kostenlosen Ratgeber, wie Sie Ihr Unternehmen schützen, bevor es zu spät ist. Kostenlose Cyber-Security Checkliste herunterladen

Strenge Regeln für betroffene Branchen

Die NIS2-Richtlinie betrifft rund 29.500 Unternehmen in Deutschland aus 18 Sektoren – darunter Energie, Gesundheit, Finanzen und Verkehr. Betroffen sind Firmen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz von zehn Millionen Euro.

Die Pflichten im Überblick:

• Meldepflicht: Schwere Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden gemeldet werden.
• Lieferkettensicherheit: Unternehmen müssen die Cybersicherheit ihrer Zulieferer gewährleisten.
• Schulungspflicht: Die Führungsebene muss regelmäßig zu Cybersicherheitsrisiken geschult werden.

Die Strafen sind empfindlich. Für „wesentliche Einrichtungen" drohen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. „Wichtige Einrichtungen" müssen mit bis zu sieben Millionen Euro oder 1,4 Prozent des globalen Umsatzes rechnen.

Externe Berater als Rettungsanker

Die Registrierungsfrist für betroffene Unternehmen lief am 6. März 2026 ab. Viele Firmen konzentrieren sich nun auf die Schließung technischer und organisatorischer Lücken. Externe Berater führen Gap-Analysen durch, implementieren Informationssicherheits-Managementsysteme (ISMS) und bereiten auf Pflichtaudits vor.

Verbände betonen die Bedeutung spezieller Qualifikationen – etwa ISO-27001-Auditor-Zertifikate und fundierte BSIG-Kenntnisse. Der TÜV Süd veröffentlichte am 21. Mai ein Whitepaper zum Zusammenspiel der verschiedenen Vorschriften. Der Druck ist enorm: Bitkom schätzt den jährlichen Schaden durch Cyberangriffe auf rund 200 Milliarden Euro. Das treibt die Nachfrage nach robusten, rechtskonformen Sicherheitsstrukturen weiter an.