Ein halbes Jahr NIS-2 – zwischen Anspruch und Realität

Seit dem 6.12.2025 ist das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Deutschland in Kraft – ohne Übergangsfrist. Ein gutes halbes Jahr später zeigt sich ein durchgängiges Muster: Zwischen dem, was das Gesetz verlangt, und dem, was in den Unternehmen tatsächlich realisiert ist, klafft eine Lücke. Sie beginnt früher, als viele denken, und sie ist teurer, als viele glauben.

Die Lücke beginnt an der Eingangstür

Sie fängt schon bei der einfachsten Frage an: Sind wir von NIS-2 überhaupt betroffen? Viele Unternehmen haben das bisher nicht belastbar geprüft. Dabei ist der Anwendungsbereich breiter als sein Ruf – NIS-2 trifft längst nicht nur klassische KRITIS-Betreiber, sondern über die Sektoren der Anlage 2 auch viele mittelständische Unternehmen, die sich selbst nie als „kritische Infrastruktur“ verstanden hätten.

Und die Registrierung beim BSI stockt: Die gesetzliche Frist lief am 6.3.2026 ab, doch bis Ende Mai hatten sich erst knapp 18.500 der betroffenen Einrichtungen registriert. Das BSI rechnet damit, dass die ausstehenden Registrierungen bis spätestens 31.7.2026 nachgeholt werden. Folgenlos ist das nicht – schon die fehlende oder verspätete Registrierung kann als Verstoß gewertet werden und ein Bußgeld von bis zu 500.000 € nach sich ziehen; bei nicht gemeldeten Sicherheitsvorfällen drohen je nach Einrichtung noch höhere Summen.

Der eigentliche Denkfehler: NIS-2 ist kein IT-Thema

Die größere Lücke ist aber keine administrative, sondern eine inhaltliche. Der häufigste Denkfehler lautet: „Das ist ein IT-Thema.“ Natürlich spielt der Bereich IT hinsichtlich Informationssicherheit eine zentrale Rolle. Aber NIS-2 adressiert eben nicht nur Firewalls, Back-ups und technische Schutzmaßnahmen, sondern genauso die Verantwortung der Geschäftsleitung, Risikomanagement, Notfall- und Krisenprozesse sowie Schulungen. Wer das Thema vollständig an die IT delegiert, lässt genau die Bereiche unbearbeitet, auf die es im Kern ankommt.

Fünf Stellen, an denen die Struktur fehlt

Wer dann ein paar Maßnahmen umgesetzt hat und sich für compliant hält, übersieht meist genau das, worauf es ankommt: eine durchgängige Struktur. In der Praxis fehlt sie vor allem an fünf Stellen.

Governance: Cybersicherheit muss auf Leitungsebene verankert sein – tatsächlich liegt sie oft rein operativ bei der IT, ohne dass Prioritäten, Budgets und Risikoentscheidungen verbindlich geklärt sind.
Risikomanagement: Gefordert ist ein systematischer, dokumentierter Prozess – betrachtet werden in der Praxis aber meist nur Einzelthemen, woraus sich weder ein vollständiges Risikobild noch eine belastbare Priorisierung ergibt.
Incident Management: Vorfälle sollen über klare Melde- und Eskalationswege schnell erkannt und bewertet werden – häufig sind diese Wege jedoch nicht sauber definiert und nie getestet, sodass im Ernstfall wertvolle Zeit verloren geht.
Business Continuity Management: Ziel ist, bei einem Angriff handlungsfähig zu bleiben. Vorhanden sind aber meist nur fragmentierte Notfallpläne für einzelne Systeme – ohne integrierte Krisenorganisation und ohne erprobten Notfalltest unter realistischen Bedingungen.
Nachweisbarkeit: „Show me.“ – Maßnahmen müssen nicht nur umgesetzt, sondern auch belegt werden können. Fragt man nach Risikoanalyse, Managemententscheidungen oder dem letzten Test, wird die Auskunft aber schnell dünn.

Das Muster ist überall dasselbe: einzelne Bausteine, aber keine durchgängige Struktur. Und je weniger durchgängig sie ist, desto verwundbarer wird das Unternehmen, wenn es ernst wird.

Warum die Lücke gefährlich ist

Wie riskant das ist, zeigt der Blick auf Cyberangriffe – allen voran Ransomware. Dabei verschlüsseln Angreifer die Systeme eines Unternehmens, ziehen sensible Daten ab und fordern Lösegeld, oft verbunden mit der Drohung, die Daten zu veröffentlichen. Aus einem technischen Vorfall wird so binnen Stunden ein Stillstand, der die Produktivität des gesamten Unternehmens, die Kommunikation und Kundenbeziehungen gleichzeitig trifft.

2025 wurden in Deutschland rund 334.000 Cybercrime-Fälle bekannt, darunter mehr als 1.000 angezeigte Ransomware-Angriffe – bei hoher Dunkelziffer. Betroffen sind dabei längst nicht nur bekannte Großkonzerne, sondern gerade kleine und mittlere Unternehmen, bei denen Monitoring, Notfallprozesse und Ressourcen am schwächsten ausgebaut sind.
Im Ernstfall entscheidet die Reaktionszeit: Je länger es dauert, einen Angriff zu erkennen und einzudämmen, desto größer der Schaden. Wer in diesem Moment erst klären muss, wer zuständig ist, wie gemeldet wird und welche Systeme zuerst wieder laufen müssen, verliert genau die Stunden, die am teuersten sind.

Was jetzt zu tun ist

Wer noch am Anfang steht, sollte zunächst die eigene Betroffenheit verbindlich klären. Dann sollte in einer Gap-Analyse der Ist-Zustand bestimmt werden, um daraus priorisierte Maßnahmen abzuleiten. Dazu gehören insbesondere der Aufbau einer Governance-Struktur und die Erstellung der Dokumentation und Nachweise. Denn NIS-2 zielt nicht auf das formale Abhaken einer Checkliste ab, sondern auf echte Handlungsfähigkeit.