BERLIN / LONDON (IT BOLTWISE) – Bis zum 9. Juli haben sich nur 11.500 von rund 29.500 betroffenen Unternehmen beim BSI registriert. Damit liegt die Quote bei mageren 39 Prozent – die offizielle Frist ist bereits verstrichen. Wer die Meldung zu spät nachholt, riskiert nicht nur formale Nachforderungen, sondern kann als Ordnungswidrigkeit sanktioniert werden. Zusätzlich verschärft der Cyber Resilience Act die Meldepflichten ab 2026, während Angriffe zunehmend Produktionssysteme treffen.
Die NIS-2-Umsetzung in Deutschland gerät früh in den Bereich, den Security-Teams sonst erst nach einem Incident erleben: knappe Zeitpläne, hohe Haftungsrisiken und eine Compliance-Lücke, die in Geld endet. Laut den genannten Zahlen wurden bis zum 9. Juli nur 11.500 von rund 29.500 betroffenen Unternehmen beim BSI registriert, also rund 39 Prozent. Das ist bemerkenswert, weil die Frist offiziell längst abgelaufen ist. Gleichzeitig bleibt vielen Organisationen noch ein operativer „Nachlauf“: Eine verspätete Meldung gilt bereits als Ordnungswidrigkeit – damit rückt die Frage nach Governance und Risikomanagement sofort ins Zentrum.
Für die IT-Praxis ist entscheidend, welche Mindestanforderungen die Richtlinie konkret macht. Safe Bytes hat dazu am 13. Juli eine Analyse veröffentlicht, die sich auf die zehn Mindestmaßnahmen nach Artikel 21 konzentriert. Im Kern geht es darum, Standardisierung nicht als „Nice to have“ zu behandeln, sondern als umsetzbaren Kontrollkatalog: BSI IT-Grundschutz und ISO 27001 werden dabei als Fahrplan-Referenzen genutzt, um Lücken in Prozessen und technischen Maßnahmen sichtbar zu machen. Das betrifft typischerweise eher als nur einzelne Tools: Wer Risikomanagement, MFA, Backup-Strategien und Meldewege nicht als zusammenhängendes System plant, erzeugt später teure Brüche zwischen Fachbereich, Betrieb und Compliance.
Aus finanzieller Sicht ist die Schärfe besonders klar: Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Dazu kommt eine verschärfte persönliche Haftung der Geschäftsführung, die bei vielen Mittelständlern Druck auf die Entscheider erhöht. Genau dort zeigt sich auch die operative Folge der bisherigen Untätigkeit: Wenn die Registrierung fehlt, fehlen häufig parallel dokumentierte Prozesse für Incident Response, Verantwortlichkeiten und risikobasierte Maßnahmenplanung. Die IHK Regensburg warnt derweil in einer Informationsveranstaltung vor einer wachsenden Bedrohungslage, bei der besonders der Mittelstand zunehmend in den Fokus organisierter Cyberkriminalität gerät.
Welche Unternehmen betroffen sind, folgt einer Logik nach Unternehmensgröße und Umsatz. „Wichtige Einrichtungen“ sind demnach ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz relevant, „besonders wichtige Einrichtungen“ ab 250 Mitarbeitern oder 50 Millionen Euro Umsatz. Technisch und organisatorisch müssen beide Kategorien Kernpflichten erfüllen: Ein umfassendes Risikomanagement, Multi-Faktor-Authentifizierung, sichere Backup-Systeme sowie verbindliche Meldepflichten. Auch die Zeitfenster sind unmissverständlich: Eine Frühwarnung binnen 24 Stunden und ein ausführlicher Bericht nach 72 Stunden. Damit konkurrieren intern häufig noch alte Abläufe aus Ticketing, Betrieb und rechtlicher Prüfung, die nicht für solche SLA-ähnlichen Fristen ausgelegt sind.
Die Dringlichkeit bekommt zusätzlich Rückenwind durch Schadensstatistiken. Laut Bitkom waren im vergangenen Jahr rund 87 Prozent der deutschen Unternehmen von Cyberangriffen betroffen; der Gesamtschaden wird mit etwa 290 Milliarden Euro beziffert. Besonders alarmierend ist der Anteil zielgerichteter Angriffe: 73 Prozent sollten demnach gezielt Produktionssysteme treffen. Das verschiebt die Verteidigungslogik weg von reiner IT-Sicherheit hin zu Cyber Resilience für OT-nahe Prozesse und angrenzende IT-Komponenten, einschließlich digitaler Zusatzsysteme wie Arbeitszeiterfassung. Wenn solche Systeme durch juristische Änderungen breiter eingeführt wurden, müssen sie folglich ebenfalls NIS-2-Anforderungen erfüllen – oft ohne dass dafür zunächst ein Security-Owner etabliert wurde.
Gleichzeitig entsteht am Markt ein klares Muster in der „Personal- und Verantwortungsverteilung“: Immer öfter wird „CISO as a Service“ als Ausgleich für fehlende interne Fachkräfte gesehen. Für Unternehmen kann das tatsächlich helfen, weil es Beschleunigung in der Umsetzung verspricht und die Brücke zwischen Management-Reporting und technischer Kontrolle schlägt. Vergleichsweise zeigt der regulatorische Pfad, wie sehr die EU-Systematik insgesamt zusammenläuft: Neben NIS-2 steht auch der Cyber Resilience Act mit späteren Meldepflichten im Raum, während mit DORA in anderen Branchen ebenfalls streng operationalisierte Resilienz-Anforderungen etabliert wurden. Für IT-Leitung und Risiko-Teams bedeutet das: Compliance wird weniger Einmalprojekt, mehr kontinuierliche Betriebsaufgabe mit messbaren Kontrollen.
Ab dem 11. September 2026 greifen zusätzlich Meldepflichten aus dem Cyber Resilience Act. Sicherheitslücken sollen dann innerhalb von 24 Stunden gemeldet werden, ein Abschlussbericht folgt nach 14 Tagen. Bei Nichtbeachtung drohen Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Umsatzes. Entscheidend ist dabei die Schnittstelle zur Unternehmensrealität: Meldewege müssen so designt sein, dass sie nicht an Rechtsfreigaben, fehlende Evidenz oder unklare Klassifizierungen von Vorfällen scheitern. Historisch erinnern viele Organisationen noch an die Phase, in der NIS-1-Strukturen eher dokumentiert als betrieben wurden; der aktuelle Trend geht klar in Richtung Prozessreife. Wer jetzt nicht handelt, riskiert nicht nur Sanktionen, sondern auch späteren Ausschluss aus Lieferkettenanforderungen in internationalen Märkten.
Die Kostenfrage bleibt ein weiterer Hebel, der das Thema auf Vorstandsebene zieht. Branchenanalysten schätzen die einmaligen Umstellungskosten für die Wirtschaft auf rund 2,2 Milliarden Euro, jährliche Folgekosten werden in ähnlicher Größenordnung erwartet. Das ist plausibel, weil Unternehmen häufig nicht nur Policies schreiben, sondern die technischen Grundlagen anheben müssen: Identitäts- und Zugriffskonzepte, Backup-Tests, Monitoring für Anomalien, Incident-Playbooks und regelmäßige Schulungen. Für die NIS-2-Compliance sind zudem Trainings verpflichtend, nicht nur für Mitarbeitende, sondern auch für die Geschäftsleitung. Der zukünftige Effekt dürfte sein, dass „Security Governance“ stärker als Teil der Geschäftsarchitektur behandelt wird – mit klaren Verantwortungen, wiederholbaren Übungen und auditierbarer Nachweisführung.
Am Ende entscheidet die Geschwindigkeit der Umsetzung über die Risikoexposition. Mit nur 39 Prozent registrierter Unternehmen ist das Zeitfenster für „später“ bereits geschlossen, zumindest was die formale Grundlage betrifft. Gleichzeitig sollten IT- und Security-Teams die verbleibenden Wochen nutzen, um aus der Pflicht eine operative Routine zu machen: Verantwortlichkeiten definieren, Meldewege testen, Mindestmaßnahmen priorisieren und Sicherheitsnachweise so strukturieren, dass sie auch bei Nachfragen belastbar sind. Für die kommenden Monate wird dann nicht nur die Frage sein, ob ein Tool vorhanden ist, sondern ob Prozesse funktionieren, wenn Produktionsumgebungen unter Druck geraten. Damit wird NIS-2 für viele Firmen zur Eintrittskarte in Lieferketten – oder zum Grund, ausgeschlossen zu werden, bevor der eigentliche Angriff überhaupt kommt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NIS-2 in Deutschland: Nur 39 % registriert – Bußgelder bis 10 Millionen Euro" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NIS-2 in Deutschland: Nur 39 % registriert – Bußgelder bis 10 Millionen Euro" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NIS-2 in Deutschland: Nur 39 % registriert – Bußgelder bis 10 Millionen Euro« bei Google Deutschland suchen, bei Bing oder Google News!