NIS2: Deutschland - das Gesetz kam spät
Dezember 2025 - aber ohne Schonfrist
Die Bilanz ist ernüchternd: Das zentrale Ergebnis einer aktuellen Studie ist, dass die Umsetzung von NIS2 unter hohem Aufwand leidet - nahezu die Hälfte der Unternehmen bewerten die Einführung als schwierig oder sehr schwierig, und zum Erhebungszeitpunkt erfüllten erst rd. ein Drittel die Vorgaben vollständig.
Die Gründe liegen auf zwei Ebenen:
Gesetzgeberseite: Deutschland hätte NIS2 bis Oktober 2024 umsetzen müssen, das NIS2-Umsetzungsgesetz wurde aber erst im Dezember 2025 verkündet - nach über zwei Jahren Gesetzgebungsverfahren. Und als es kam, gab es keine weitere Schonfrist: Die Richtlinie wurde mit erheblicher Verspätung geltendes Recht und zwang eine immense Zahl an Unternehmen unmittelbar zum Handeln. Das Ergebnis: bis zum Ablauf der Registrierungsfrist am 6. März 2026 hatten sich erst rund 38 Prozent der potenziell betroffenen Unternehmen registriert - nicht einmal jedes sechste. Selbst der Gesetzgeber musste nachjustieren: der erste Audit-Nachweis wurde von Ende 2025 auf den 30. Juni 2026 verschoben, und die konkretisierende KRITIS-Verordnung lag erst Ende Mai 2026 als Referentenentwurf vor - die Schwellenwerte für kritische Anlagen standen also lange nach Inkrafttreten des Gesetzes noch nicht fest.
Unternehmensseite: Als größte Hürden gelten der hohe Anpassungsaufwand für Prozesse und Richtlinien sowie die Komplexität der Anforderungen, dazu unklare regulatorische Vorgaben, Integrationsprobleme in bestehende IT-Systeme und Ressourcenmangel. Besonders eklatant zeigt sich das im OT-Bereich (Betriebstechnik): Die große Mehrheit der betroffenen Unternehmen muss NIS2 auch dort umsetzen, während knapp die Hälfte veraltete oder proprietäre OT-Systeme ohne moderne Sicherheitsfunktionen als zentrales Problem nennt - solche Systeme lassen sich nicht per Gesetzesfrist modernisieren, sondern nur über mehrjährige Investitionszyklen. Auch beim Aufsichtsapparat gibt es eine strukturelle Lücke: das BSI hat zwar die Befugnisse, aber begrenzte Kapazitäten, um zehntausende Einrichtungen zu überwachen - realistisch wird die Aufsicht also nur risikobasiert bei den größten Akteuren ansetzen können.
DORA: Länger in Kraft,
aber die Kontrolle beginnt erst jetzt
Bei DORA zeigt sich ein ähnliches Bild, trotz der fortgeschrittenen Gültigkeit der Verordnung: Während lediglich eine Minderheit der betroffenen Unternehmen die Vorgaben bereits vollständig umgesetzt hat, empfindet ein beträchtlicher Teil der Betriebe die Umsetzung als schwierig oder sehr schwierig.
Ein wesentlicher Grund: Die eigentliche aufsichtliche Kontrolle läuft erst jetzt an - BaFin-Prüfungen sind erst für Q1 2026 vorgesehen, also mehr als ein Jahr nach Geltungsbeginn. Das nimmt Druck aus dem System, solange keine Sanktionen drohen.
Ein zweiter Grund ist die Lieferketten-Dimension, die viele Unternehmen erst spät erkennen: Banken müssen nicht nur DORA im eigenen Haus umsetzen, sondern auch mit ihren Dienstleistern DORA-konforme Mindestinhalte vertraglich vereinbaren - und viele Unternehmen haben noch gar nicht erkannt, dass die Sicherheitsverpflichtungen auch für sie gelten, sobald sie in der Lieferkette eines DORA-pflichtigen Unternehmens tätig sind. Das erzeugt erst jetzt, über ein Jahr nach Geltungsbeginn, hektische Nachsteuerung in der Fläche.
Das strukturelle Grundproblem: Vier Regulierungen gleichzeitig
Was NIS2 und DORA zusätzlich erschwert, ist das Timing: vier EU-Regulierungen greifen 2026 gleichzeitig - NIS2, DORA, der AI Act/KI-MIG und der Cyber Resilience Act, alle mit eigenen Fristen, Meldewegen und Governance-Anforderungen. Das bindet Kapazitäten in Rechts-, IT- und Compliance-Abteilungen parallel, statt nacheinander abgearbeitet werden zu können.
Und selbst dort, wo Unternehmen sich selbst für weit fortgeschritten halten, zeigt sich eine Lücke zwischen Selbstbild und Praxis: 84 Prozent der Unternehmen sehen sich mindestens auf Stufe zwei eines Reifegradmodells, doch nur 44 Prozent befassen sich bereits tatsächlich mit IT- und IT-Sicherheitsrisiken im Risikomanagement - ein strukturelles Defizit zwischen wahrgenommener und tatsächlicher Reife.
Kurz: Die Defizite sind keine Überraschung, sondern die vorhersehbare Folge aus verspäteter, dann übergangsloser nationaler Umsetzung, unvollständiger Sekundärgesetzgebung, chronischem Fachkräftemangel und einer Regulierungsdichte, die 2026 mehrere große Rechtsakte gleichzeitig wirksam werden lässt.
Vorschlag NIS-2 Änderungen
Die geplanten Änderungen an der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) zielen primär auf Vereinfachungsmaßnahmen und eine Angleichung an den vorgeschlagenen Cybersecurity Act 2 ab. Der Vorschlag soll die Komplexität des Rechtsrahmens verringern und die Einhaltung der Vorschriften für Unternehmen durch mehr Rechtsklarheit erleichtern.
Wesentlich geplante Änderungen der NIS-2-Richtlinie:
1. Anpassungen des Anwendungsbereichs und neue Kategorien
- Einführung von „kleinen Mid-Cap-Unternehmen“: Es wird eine neue Kategorie für kleine Mid-Cap-Unternehmen eingeführt. Diese sollen in der Regel als wichtige Einrichtungen eingestuft werden, was ihren Compliance-Aufwand sowie den Aufsichtsaufwand der Behörden reduziert.
- Ausschluss kleiner DNS-Dienstleister: Mikro- und kleine DNS-Dienstleister sollen aus dem Anwendungsbereich der Richtlinie entfernt werden.
- Digitale Identitätsbrieftaschen: Anbieter von europäischen digitalen Identitätsbrieftaschen und europäischen Business-Wallets werden unabhängig von ihrer Größe als wesentliche Einrichtungen eingestuft.
- Unterseekabel-Infrastruktur: Der Geltungsbereich wird explizit auf alle Betreiber von Unterseekabel-Infrastrukturen (einschließlich Landestationen und zugehöriger Einrichtungen) ausgeweitet, da diese als hochkritisch angesehen werden.
- Sektorspezifische Klarstellungen: Es gibt Präzisierungen für die Sektoren Gesundheitswesen, Wasserstoff, Chemie und Stromerzeugung. Bei Stromerzeugern gilt die Richtlinie künftig nur noch für solche mit einer Gesamterzeugungskapazität von mehr als 1 MW
2. Vereinfachung der Compliance und Harmonisierung
- Zertifizierung als Compliance-Tool: Unternehmen sollen die Möglichkeit erhalten, die Einhaltung von NIS2-Anforderungen durch europäische Cybersicherheitszertifikate (gemäß dem Cybersecurity Act 2) nachzuweisen. Dies soll Mehrfachprüfungen vermeiden und Kosten senken.
- Maximale Harmonisierung: Für Durchführungsrechtsakte zu Risikomanagementmaßnahmen wird eine „maximale Harmonisierung“ eingeführt. Das bedeutet, dass Mitgliedstaaten in diesen spezifischen Bereichen keine zusätzlichen technischen oder sektoralen Anforderungen stellen dürfen.
- Leitlinien zur Lieferkettensicherheit: Die Kommission wird Leitlinien entwickeln, um den administrativen Aufwand bei Sicherheitsüberprüfungen von Zulieferern zu verringern und heterogene Abfrageformate zu vermeiden.
3. Neue strategische und operative Anforderungen
- Post-Quanten-Kryptografie (PQC): Mitgliedstaaten müssen Richtlinien für den Übergang zur PQC in ihre nationalen Cybersicherheitsstrategien aufnehmen. Das Ziel ist eine Migration bis 2030 für kritische Anwendungsfälle.
- Ransomware-Berichterstattung: Es wird eine harmonisierte Sammlung von Daten zu Ransomware-Angriffen eingeführt. Einrichtungen müssen auf Anfrage Informationen über Angriffsvektoren, Minderungsmaßnahmen und etwaige Lösegeldzahlungen (Betrag, Empfänger, Kryptowährung) übermitteln.
- Zentrales Meldeportal: Über den „Digital Omnibus“-Vorschlag ist geplant, ein zentrales Eingangsportal für Incident-Reporting einzuführen, das von der ENISA verwaltet wird.
4. Stärkung der Aufsicht und Zusammenarbeit
- Rolle der ENISA: Die ENISA erhält erweiterte Befugnisse, um Mitgliedstaaten bei der Überwachung grenzüberschreitend tätiger Einrichtungen zu unterstützen.
- Joint Examination Teams: Bei Einrichtungen mit hohem grenzüberschreitendem Risiko kann die ENISA den Behörden empfehlen, gemeinsame Prüfungsteams für die Aufsicht einzurichten.
- Register für Einrichtungen: Das von der ENISA geführte Register für wesentliche und wichtige Einrichtungen wird um zusätzliche Informationen erweitert (z.B. IP-Bereiche), um einen besseren Überblick über die EU-weite Cybersicherheitslage zu erhalten.