NIS2-Sicherheit: Öffentliche Auftraggeber integrieren IT-Kriterien ab sofort
Veröffentlicht am: 04.08.2026 um 23:48 Uhr | Redaktion boerse-global.de
In der Bundesrepublik Deutschland gelten seit dem 4. August 2026 verschärfte regulatorische Anforderungen für die öffentliche Auftragsvergabe. Öffentliche Auftraggeber sind nun dazu verpflichtet, spezifische IT-Sicherheitskriterien wie die Resilienz und die Sicherheit der Lieferkette unmittelbar in ihre Beschaffungsprozesse zu integrieren. Diese Maßnahme soll die digitale Souveränität und Widerstandsfähigkeit der staatlichen Infrastruktur nachhaltig stärken.
Rechtlicher Rahmen und Registrierungsstand
Die neuen Vorgaben stehen im Kontext des NIS2-Umsetzungsgesetzes (NIS2UmsuCG), das bereits seit dem 6. Dezember 2025 in Deutschland in Kraft ist. Neben den Anforderungen an die Beschaffung sieht das Gesetz eine Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI), die Implementierung von Risikomanagement-Maßnahmen sowie eine strenge Meldepflicht bei Sicherheitsvorfällen innerhalb von 24 Stunden vor.
Nach aktuellen Angaben des BSI wurde zum Ende einer Nachfrist am 31. Juli 2026 ein Registrierungsstand von 18.845 Unternehmen verzeichnet. Diese Zahl liegt deutlich unter der ursprünglichen Schätzung von circa 29.500 betroffenen Unternehmen. Von den registrierten Einheiten wurden 6.490 als besonders wichtige und 12.355 als wichtige Einrichtungen eingestuft. Das Bundesministerium des Innern und für Heimat hat angekündigt, die Differenz zwischen den Erwartungen und den tatsächlichen Anmeldungen untersuchen zu lassen. Hierzu soll das Statistische Bundesamt (Destatis) die Schätzung von 29.500 betroffenen Betrieben einer Überprüfung unterziehen.
Sanktionen und Haftungsrisiken bei Verstößen
Das BSI bewertet den aktuellen Stand der Registrierungen zwar als grundsätzlich zufriedenstellend, verweist jedoch zugleich auf den rechtlichen Rahmen für Sanktionen. Bei verspäteten Meldungen oder Missachtung der Registrierungspflicht können Bußgelder in Höhe von bis zu 500.000 Euro verhängt werden. Bei kumulierten Verstößen gegen die Sicherheitsauflagen sieht der Gesetzgeber Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor. Ein wesentlicher Aspekt der Neuregelung ist zudem die potenzielle persönliche Haftung der Geschäftsführung bei entsprechenden Verstößen.
Wer sich mit den neuen gesetzlichen Anforderungen befasst, muss die rechtlichen Pflichten für sein Unternehmen genau kennen. Dieser kostenlose Report klärt auf, welche Bedrohungen und Regulierungen Unternehmer jetzt im Blick behalten sollten. KI-Gesetze und Cyberrisiken: Den kostenlosen Report jetzt anfordern
Herausforderungen für kommunale Unternehmen
Die Umsetzung der Anforderungen stellt viele Akteure vor praktische Hürden. Der Verband kommunaler Unternehmen (VKU) wies darauf hin, dass insbesondere für Stadtwerke die Prüfung der Betroffenheit äußerst komplex sei. Die genaue Einordnung, welche Unternehmensteile unter die spezifischen Pflichten des NIS2-Rahmens fallen, erfordere einen erheblichen administrativen Aufwand.
Um Sicherheitslücken effektiv zu schließen und gleichzeitig neue Gesetze einzuhalten, bedarf es keiner kostspieligen IT-Investitionen. Wie Sie Ihr Unternehmen proaktiv schützen und die Resilienz stärken, erfahren Sie in diesem praxisnahen E-Book. Gratis-E-Book: Sicherheitslücken schließen und Unternehmen schützen
Trotz dieser Schwierigkeiten unterstreicht die nun verpflichtende Integration von Sicherheitsvorgaben in die öffentliche Beschaffung den Kurs der Bundesregierung, IT-Sicherheit nicht mehr als optionalen Zusatz, sondern als integralen Bestandteil der staatlichen Daseinsvorsorge zu behandeln. Unternehmen, die als Zulieferer für den öffentlichen Sektor agieren, müssen sich darauf einstellen, dass die Einhaltung dieser Resilienz-Standards künftig eine notwendige Voraussetzung für die erfolgreiche Teilnahme an Ausschreibungen darstellt.
