NIS2-Registrierung: 11.000 Firmen drohen bis zu 500.000 Euro Strafe
Veröffentlicht am: 18.07.2026 um 20:02 Uhr | Redaktion boerse-global.de
Rund 11.000 Unternehmen haben die Registrierungspflicht noch nicht erfüllt. Das BSI duldet Verspätungen nur noch bis Ende Juli.
Die Uhr tickt für Tausende deutsche Unternehmen. Obwohl die gesetzliche Meldefrist für die NIS2-Richtlinie bereits am 6. März 2026 auslief, zeigt eine aktuelle Erhebung: Von den rund 29.500 betroffenen Firmen haben etwa 11.000 noch immer nicht registriert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gewährt zwar eine Nachfrist bis zum 31. Juli 2026 – doch die Zeit drängt.
Finanzielle Risiken und Strafen
Das NIS2-Umsetzungsgesetz gilt in Deutschland seit dem 6. Dezember 2025 und erfasst ein breites Spektrum an Branchen: Energie, Verkehr, Abfallwirtschaft und digitale Infrastruktur. Betroffen sind mittelständische Unternehmen ab 50 Mitarbeitern oder zehn Millionen Euro Jahresumsatz sowie Großkonzerne mit über 250 Beschäftigten oder 50 Millionen Euro Umsatz.
Die Strafen für Verstöße sind empfindlich. Für fehlende Registrierungen drohen Bußgelder von bis zu 500.000 Euro. Bei schwerwiegenden Verstößen gegen die Sicherheitsvorgaben können sogar Strafen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes verhängt werden. Sicherheitsexperten warnen: Die aktuelle Kulanz des BSI heilt das ursprüngliche Versäumnis nicht – Unternehmen bleiben rechtlich angreifbar.
Persönliche Haftung der Geschäftsführung
Ein zentraler Punkt der deutschen Umsetzung: Die persönliche Verantwortung der Vorstände und Geschäftsführer. Nach §38 des BSI-Gesetzes (BSIG) sind Führungskräfte gesetzlich verpflichtet, Maßnahmen zur Cybersicherheit zu genehmigen und zu überwachen. Sie müssen zudem regelmäßig an Schulungen teilnehmen, um ihre Kompetenz bei der Identifikation von Cyberrisiken zu erhalten.
Die Haftung ist direkt und persönlich. Juristen betonen: Diese Pflichten lassen sich nicht vollständig auf externe Berater oder interne Abteilungen delegieren. Und anders als bei vielen unternehmerischen Entscheidungen greift hier auch nicht die sogenannte Business Judgement Rule – der Schutz für gutgläubige Managemententscheidungen. Wer seine Sicherheitspflichten vernachlässigt, haftet persönlich.
Angesichts der strengen Haftungsregeln und neuen Cyberrisiken müssen Unternehmer jetzt handeln, um ihre Betriebe proaktiv abzusichern. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Geschäftsführer heute kennen müssen. Kostenloses E-Book zu aktuellen Cyber-Risiken anfordern
Erweiterte Sicherheitsauflagen und „Shadow AI"
NIS2 verlangt mehr als nur eine Registrierung. Artikel 21 der Richtlinie schreibt umfassende Personalmaßnahmen vor: nicht nur Überprüfungen vor der Einstellung, sondern auch kontinuierliche Integritätschecks und Zugriffsrisikomanagement für privilegierte Nutzer und Dritte. Einmalige Kontrollen reichen nicht mehr – Unternehmen müssen dauerhaft überwachen.
Auch die Lieferkettensicherheit steht im Fokus. Nach §30 BSIG müssen Firmen die Sicherheit ihrer Netzverbindungen und kritischen Zulieferer gewährleisten. Für georedundante Rechenzentren empfiehlt das BSI einen physischen Abstand von mehr als 200 Kilometern.
Die neuen Anforderungen kommen zu einer Zeit, in der deutsche Unternehmen massiv in Technologie investieren – durchschnittlich rund 35 Millionen Euro pro Firma allein für Künstliche Intelligenz. Doch die Governance hinkt hinterher: Berichten zufolge kämpfen 71 Prozent der Unternehmen mit „Shadow AI" , und 87 Prozent haben keinen vollständigen Überblick über die in ihrer Organisation eingesetzten KI-Tools.
Der Einsatz von Künstlicher Intelligenz im Unternehmen erfordert aufgrund neuer gesetzlicher Vorgaben wie dem EU AI Act eine klare Strategie und Dokumentation. Ein kostenloser Download verschafft Ihnen jetzt den notwendigen Überblick über Fristen, Pflichten und Risikoklassen. Umsetzungsleitfaden zur EU-KI-Verordnung kostenlos sichern
Europaweit gemischte Rechtslage
Die Dringlichkeit zeigt sich auch auf europäischer Ebene. Im Juli 2026 verklagte die EU-Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Europäischen Gerichtshof – wegen unvollständiger Umsetzung der NIS2-Richtlinie.
Deutschland ist zwar nicht beklagt, doch die Rechtslage für Unternehmen mit internationalen Töchtern bleibt komplex. Die Niederlande verabschiedeten ihr nationales Cybersicherheitsgesetz erst am 7. Juli 2026, in Kraft tritt es am 15. August. Irland will den Umsetzungsprozess bis Jahresende abschließen. Für Konzerne mit Standorten in mehreren EU-Staaten bedeutet das: Standortspezifische Compliance-Strategien sind unvermeidlich.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
