NIS2-Frist verstrichen: 18.000 Unternehmen drohen Bußgelder

Die verlängerte Registrierungsfrist für die NIS2-Richtlinie ist am 31. Juli abgelaufen – und offenbart eine massive Umsetzungslücke. Nur etwa 11.500 der rund 29.500 betroffenen Unternehmen haben sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert. Tausende Firmen haben die Frist versäumt und erfüllen damit bereits jetzt einen Bußgeldtatbestand.

Haftungsrisiko für Geschäftsführer

Seit dem 6. Dezember 2025 gilt die NIS2-Richtlinie in Deutschland und erfasst 18 Sektoren. Die Sanktionen sind empfindlich: Besonders wichtige Einrichtungen müssen mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes rechnen. Bei wichtigen Einrichtungen drohen bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Zentraler Punkt der Neuregelung: Die Geschäftsführung haftet persönlich für die Einhaltung der Sicherheitsmaßnahmen.

Neue BSI-Standards verschärfen Personalprüfung

Doch nicht nur die Frist sorgt für Druck. Das BSI hat im April mit dem aktualisierten Cloud Computing Compliance Criteria Catalogue (C5:2026) die Anforderungen an IT-Personal deutlich erhöht. Insgesamt 168 Kriterien enthält der Katalog, wobei der Bereich Personalsicherheit massiv ausgeweitet wurde.

Cloud-Anbieter müssen künftig alle Rollen identifizieren, die auf Kundendaten zugreifen können. Vor der Einstellung sind umfassende Prüfungen von Kompetenz und Integrität Pflicht – von Identitätskontrollen über Lebenslauf-Checks bis hin zu Führungszeugnissen und Bonitätsprüfungen. Zusammen mit dem Digitaler-Dienste-Gesetz und der DORA-Verordnung wächst der regulatorische Druck auf die Unternehmen.

Angesichts immer strengerer Compliance-Vorgaben und neuer Gesetze müssen Unternehmen ihre IT-Strategie heute proaktiv absichern. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken jetzt verstehen

Fachkräftemangel als größter Bremsklotz

Das Problem: Der Bedarf an Cybersicherheits-Experten kollidiert mit einem angespannten Arbeitsmarkt. Branchenanalysen zeigen, dass über drei Viertel der Unternehmen einen Fachkräftemangel spüren. Allein in Österreich fehlen rund 155.000 Fachkräfte über alle Branchen hinweg – mit direkten Folgen: Mehr als die Hälfte der betroffenen Betriebe verzeichnet bereits Umsatzeinbußen oder eingeschränkte Innovationskraft.

Konkret führt der Personalmangel dazu, dass grundlegende Schutzmaßnahmen wie Multi-Faktor-Authentisierung (MFA) oder Endpoint Detection and Response (EDR) oft nicht flächendeckend implementiert werden. Versicherer reagieren längst: Rund 37 Prozent der Cyber-Schäden werden abgelehnt – in den meisten Fällen, weil die Multi-Faktor-Authentisierung fehlte.

Zertifizierungen als Karriereweg

Um die Lücke zu schließen, setzen Unternehmen verstärkt auf Weiterbildung und Quereinsteiger. Der Markt bietet dafür etablierte Zertifizierungswege:

• Administration: CompTIA Security+ vermittelt Grundlagen in Netzwerksicherheit und Kryptografie
• Analyse: Der Cybersecurity Analyst (CySA+) fokussiert auf Sicherheitsoperationen und Incident Response
• Management: Qualifikationen als IT-Security-Beauftragter nach TÜV-Standards oder Zertifizierungen für ISO/IEC 27001 und BSI IT-Grundschutz bereiten auf die Steuerung von Informationssicherheits-Managementsystemen (ISMS) vor

Auch Projektmanagement-Methoden wie ITIL oder PRINCE2 gewinnen an Bedeutung, um Sicherheitsstrategien organisatorisch zu verankern.

Während neue Richtlinien die IT-Sicherheit fordern, bleibt der Schutz vor gezielten Hacker-Angriffen eine der größten operativen Herausforderungen. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Phishing-Angriffe in vier Schritten stoppen, bevor sie entstehen. Anti-Phishing-Paket für Unternehmen kostenlos herunterladen

Nächste Hürde: Cyber Resilience Act

Die Anforderungen werden sich bald weiter verschärfen. Ab dem 11. September 2026 greifen die Meldepflichten des EU Cyber Resilience Act (CRA). Die EU-Cybersicherheitsagentur ENISA bietet Unternehmen bereits Selbsttests an, um Sicherheitslücken und unklare Zuständigkeiten aufzudecken.

Compliance-Verantwortliche mahnen zur Eile: Die geforderten Meldefristen – etwa eine Erstmeldung innerhalb von 24 Stunden bei Vorfällen – setzen eine hohe personelle und technische Prozessreife voraus. Wer jetzt nicht handelt, dürfte spätestens im September böse überrascht werden.

de | wirtschaft | 69911725 |