NIS-2 in Deutschland: Nur 16 Prozent der Unternehmen sind vollständig compliant

In vielen deutschen Chefetagen klafft eine deutliche Lücke zwischen dem gefühlten Sicherheitsniveau und der tatsächlichen regulatorischen Reife. Laut einer im Juli 2026 von Censuswide für Kaspersky durchgeführten Umfrage unter 403 Führungskräften im DACH-Raum, darunter 200 in Deutschland, bewerten 72 Prozent der befragten Geschäftsführer, Inhaber und CEOs hierzulande die Nachweisfähigkeit ihres Unternehmens als gut.

Gleichzeitig stufen jedoch lediglich 16 Prozent ihre Organisation als tatsächlich ausgereift und vollständig compliant ein. Diese Diskrepanz gewinnt angesichts verschärfter gesetzlicher Vorgaben wie der europäischen NIS-2-Richtlinie an Relevanz.

Registrierungsrückstand und organisatorische Schwachstellen

Dass die praktische Umsetzung hinterherhinkt, zeigt sich auch an den behördlichen Meldezahlen. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) hatten sich zum Ablauf der nach einer Verlängerung gesetzten NIS-2-Meldefrist am 30. September 2026 erst rund 20.000 von etwa 30.000 betroffenen Unternehmen registriert.

Wie das BSI betont, liege die eigentliche Herausforderung nicht im Ausfüllen von Formularen, sondern in der realen Abwehrbereitschaft. Entscheidend sei, ob Betriebe ihre Risiken kennen, auf schwere Cyberangriffe vorbereitet sind und über funktionierende, getestete Wiederherstellungsabläufe verfügen.

Wer sich mit der Absicherung kritischer Infrastrukturen befasst, muss auch die rechtlichen Rahmenbedingungen für neue Technologien im Blick behalten. Dieser kostenlose Report klärt auf, welche Pflichten und Bedrohungen Unternehmen durch die neue EU-KI-Verordnung jetzt kennen müssen. Umsetzungsleitfaden zum EU AI Act kostenlos herunterladen

Während Basistechnologien wie Firewalls, Datensicherungen, Endpoint-Schutz, Patch-Management und Netzwerksicherheit in den meisten Betrieben etabliert sind, verortet das BSI die zentralen Schwachstellen im Risikomanagement, bei unklaren Verantwortlichkeiten, lückenhaften Krisenabläufen und der Nachweisfähigkeit gegenüber Aufsichtsbehörden.

Vorgeschriebene Pflichten wie eine Erstmeldung binnen 24 Stunden erfordern eine hohe organisatorische Reife. Die Gesamtverantwortung für die Cyberresilienz liegt dabei bei der Geschäftsleitung, die für Ausfälle infolge von IT-Angriffen haftet.

Ressourcenaufwand und Engpässe belasten die Industrie

Die Anforderungen stellen insbesondere Industrieunternehmen vor operative Herausforderungen. Dies belegt die sechste Ausgabe der Studie von G Data CyberDefense in Zusammenarbeit mit Statista und brand eins, für die über 5.000 Beschäftigte befragt wurden, darunter über 900 aus dem Industriesektor.

Der Schutz vor Cyberangriffen erfordert heute mehr als nur technische Barrieren, da Hacker gezielt menschliche Schwachstellen ausnutzen. Experten erklären in diesem kostenlosen Paket, wie Unternehmen sich proaktiv absichern und die Resilienz gegen professionelle Manipulation steigern können. Anti-Phishing-Paket für Unternehmen jetzt gratis sichern

Zwar verbinden 45 Prozent der Beschäftigten in der Industrie mit NIS-2 ein höheres Maß an Sicherheit, jeder Fünfte beklagt jedoch die zunehmende Bürokratie. Rund 64 Prozent der Befragten aus der Industrie berichten, dass gesetzliche Vorgaben wertvolle Ressourcen binden. Über alle Branchen hinweg teilen sieben von zehn Befragten diesen Eindruck.

Erschwert wird die Umsetzung durch akute Engpässe auf dem Arbeitsmarkt. Drei Viertel der von G Data befragten Führungskräfte und IT-Sicherheitsverantwortlichen gaben an, dass personelle Defizite die Sicherheit ihrer Systeme beeinträchtigen; 37 Prozent sprechen sogar von starken bis sehr starken Beeinträchtigungen.

Um diesen Mangel abzufedern, setzen viele Organisationen auf externe Unterstützung: Fast 70 Prozent greifen auf Systemhäuser und Managed Service Provider als zentralen Bestandteil ihrer IT-Sicherheitsarchitektur zurück.