NIS-2-Richtlinie: 29.500 deutsche KMU müssen Cybersicherheit umrüsten

Der Druck auf kleine und mittlere Unternehmen (KMU) in Deutschland, die gesetzlichen Anforderungen zur Cybersicherheit und die Vorgaben der NIS-2-Richtlinie proaktiv umzusetzen, nimmt stetig zu. Angesichts einer verschärften Bedrohungslage und strengerer regulatorischer Rahmenbedingungen sind betroffene Betriebe gefordert, ihre digitale Resilienz sowie ihre Compliance-Strukturen umfassend zu überprüfen und anzupassen.

Regulatorischer Rahmen und betroffene Unternehmen

Die NIS-2-Richtlinie bildet das Fundament für ein EU-weit hohes gemeinsames Cybersicherheitsniveau. Nachdem das EU-Parlament die Richtlinie am 10. November 2022 verabschiedet hatte, trat sie am 16. Januar 2023 europaweit in Kraft. In Deutschland gelten die entsprechenden Vorgaben seit dem 6. Dezember 2025. Obwohl der nationale Gesetzgeber das endgültige Umsetzungsgesetz noch nicht abschließend verabschiedet hat, sind die Auswirkungen für die Wirtschaft bereits deutlich spürbar.

In Deutschland sind schätzungsweise 29.500 Unternehmen von den Regelungen betroffen. Die Kriterien für die Zugehörigkeit zum regulierten Kreis umfassen Betriebe ab 50 Mitarbeitern oder einem Jahresumsatz von mindestens 10 Millionen Euro, sofern sie in einem der 18 definierten Sektoren tätig sind. Ein wichtiger Meilenstein im Zeitplan war der 6. März 2026, an dem die offizielle Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik (BSI) endete.

Gesetzliche Mindestmaßnahmen und Meldepflichten

Unternehmen, die unter den Anwendungsbereich fallen, müssen gemäß § 30 BSIG zehn spezifische Mindestmaßnahmen zur Cybersicherheit umsetzen. Diese technischen und organisatorischen Vorkehrungen dienen dazu, die Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen und die Kontinuität kritischer Dienstleistungen zu gewährleisten.

Angesichts der verschärften gesetzlichen Anforderungen und neuer KI-Regulierungen stehen viele Unternehmer vor der Herausforderung, ihre IT-Infrastruktur rechtssicher zu modernisieren. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Sie jetzt kennen müssen. Gratis-Report zu neuen KI-Gesetzen und Cyberrisiken anfordern

Ein zentraler Bestandteil der Compliance sind die erweiterten Meldepflichten bei Sicherheitsvorfällen. Diese sind in drei Stufen gegliedert:
- Eine initiale Frühwarnung muss innerhalb von 24 Stunden erfolgen.
- Eine detailliertere Folgemeldung ist nach 72 Stunden einzureichen.
- Ein abschließender Bericht über den Vorfall und dessen Bewältigung ist nach 30 Tagen vorzulegen.

Die Missachtung dieser Vorgaben ist mit erheblichen Risiken verbunden. Die Bußgelder können eine Höhe von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes erreichen. Zudem sieht § 38 BSIG vor, dass die Geschäftsleitung für die Einhaltung der Sorgfaltspflichten persönlich haftet.

Branchenspezifische Anforderungen am Beispiel der Wasserwirtschaft

Bestimmte Sektoren wie die Wasserwirtschaft unterliegen durch NIS-2 einer noch intensiveren Regulierung. Hier wurden die Schwellenwerte für die Betroffenheit gesenkt, während gleichzeitig die Anforderungen an die Angriffserkennung und die Haftung der Geschäftsführung ausgeweitet wurden. Fachverbände wie der DVGW und die DWA geben in ihren Regelwerken spezifische Maßnahmen vor, die unter anderem die Risikoidentifizierung, eine konsequente Netzsegmentierung sowie den Nachweis der Wirksamkeit der Schutzvorkehrungen umfassen.

Um Sicherheitslücken effektiv zu schließen, ohne das Budget übermäßig zu belasten, benötigen KMU praxisnahe Strategien statt teurer Großprojekte. Erfahren Sie im kostenlosen E-Book, wie Sie Ihr Unternehmen proaktiv absichern und gesetzliche Anforderungen kostengünstig erfüllen. Zum kostenlosen E-Book: IT-Sicherheit für Unternehmer

Branchenexperten empfehlen für diesen Sektor die Implementierung eines Informationssicherheits-Managementsystems (ISMS) sowie eines Betrieblichen Kontinuitätsmanagements (BKM). Als operative Lösungsansätze werden vermehrt Sektor-SOCs (Security Operations Center) wie KdW oder Cybersec@Wasser sowie passives OT-Monitoring zur Anomalieerkennung in industriellen Steuerungsanlagen eingesetzt.

Qualifizierung und Weiterbildungsangebote

Um den steigenden Anforderungen an das Management gerecht zu werden, haben Bildungsanbieter spezielle Schulungsprogramme aufgelegt. Am 4. September 2026 findet ein Online-Seminar zur „NIS-2-Management-Pflichtschulung“ statt, das zu Kosten von 420 Euro zuzüglich Mehrwertsteuer angeboten wird.

Darüber hinaus bietet die isits AG mehrtägige Intensivkurse zum CISIS12®-Standard an. Diese viertägigen Online-Seminare finden im Zeitraum vom 7. bis 10. September 2026 sowie vom 16. bis 19. November 2026 statt. Die Teilnahmegebühr für diese Qualifizierungsmaßnahme beläuft sich auf 2.200 Euro netto. Solche Fortbildungen sollen Führungskräfte und IT-Verantwortliche befähigen, die komplexen Anforderungen der NIS-2-Richtlinie rechtssicher im eigenen Unternehmen zu implementieren.

de | wirtschaft | 69897275 |