EU-Aktionsplan Cybersicherheit
Der EU-Aktionsplan für Cybersicherheit und KI (COM(2026) 577 final) nutzt KI-Chancen zur Cyber-Verteidigung und reduziert Risiken. Drei Hauptsäulen:
- Evaluierung & Zugang: EU-Bewertungskapazitäten, Zugangsleitfaden und Testplattformen.
- Resilienz & Patching: Schnelleres Beheben von Schwachstellen und Schutz von Open-Source-Software.
- Eigene Kapazitäten: Souveräne KI-Modelle (AI Factories), EU Grand Challenge und Skill-Schulungen.
Ergänzt wird dies durch globale Partnerschaften.
NIS2: Deutschland - das Gesetz kam spät
Dezember 2025 - aber ohne Schonfrist
06.12.2025 – Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist verkündet und in Kraft getreten - rund 15 Monate nach der eigentlichen EU-Umsetzungsfrist (17.10.2024). Deutschland gehörte damit zu den letzten EU-Mitgliedstaaten bei der Transposition.
Die Bilanz ist ernüchternd: Das zentrale Ergebnis einer aktuellen Studie ist, dass die Umsetzung von NIS2 unter hohem Aufwand leidet - nahezu die Hälfte der Unternehmen bewerten die Einführung als schwierig oder sehr schwierig, und zum Erhebungszeitpunkt erfüllten erst rd. ein Drittel die Vorgaben vollständig.
Die Gründe liegen auf zwei Ebenen:
Gesetzgeberseite: Deutschland hätte NIS2 bis Oktober 2024 umsetzen müssen, das NIS2-Umsetzungsgesetz wurde aber erst im Dezember 2025 verkündet - nach über zwei Jahren Gesetzgebungsverfahren. Und als es kam, gab es keine weitere Schonfrist: Die Richtlinie wurde mit erheblicher Verspätung geltendes Recht und zwang eine immense Zahl an Unternehmen unmittelbar zum Handeln. Das Ergebnis: bis zum Ablauf der Registrierungsfrist am 6. März 2026 hatten sich erst rund 38,5 Prozent (rund 11.500 von rund 29.850 potenziell betroffenen Unternehmen) registriert – nicht einmal zwei von fünf. Selbst der Gesetzgeber musste nachjustieren: der erste Audit-Nachweis wurde von Ende 2025 auf den 30. Juni 2026 verschoben, und die konkretisierende KRITIS-Verordnung lag erst Ende Mai 2026 als Referentenentwurf vor - die Schwellenwerte für kritische Anlagen standen also lange nach Inkrafttreten des Gesetzes noch nicht fest.
Unternehmensseite: Als größte Hürden gelten der hohe Anpassungsaufwand für Prozesse und Richtlinien sowie die Komplexität der Anforderungen, dazu unklare regulatorische Vorgaben, Integrationsprobleme in bestehende IT-Systeme und Ressourcenmangel. Besonders eklatant zeigt sich das im OT-Bereich (Betriebstechnik): Die große Mehrheit der betroffenen Unternehmen muss NIS2 auch dort umsetzen, während knapp die Hälfte veraltete oder proprietäre OT-Systeme ohne moderne Sicherheitsfunktionen als zentrales Problem nennt - solche Systeme lassen sich nicht per Gesetzesfrist modernisieren, sondern nur über mehrjährige Investitionszyklen. Auch beim Aufsichtsapparat gibt es eine strukturelle Lücke: das BSI hat zwar die Befugnisse, aber begrenzte Kapazitäten, um zehntausende Einrichtungen zu überwachen - realistisch wird die Aufsicht also nur risikobasiert bei den größten Akteuren ansetzen können.
DORA: Länger in Kraft,
DORA ist seit 17. Januar 2025 vollständig anwendbar (ICT-Risikomanagement, Drittparteien-Überwachung, Incident-Reporting - gilt unmittelbar auch für KI-gestützte IT-Systeme in Finanzunternehmen).
Die DORA-Verordnung ist Teil eines Pakets für das digitale Finanzwesen. Weitere Elemente sind eine Strategie für ein digitales Finanzwesen, Märkte von Krypto-Werten und Distributed-Ledger-Technologie.
Bei DORA zeigt sich ein ähnliches Bild, trotz der fortgeschrittenen Gültigkeit der Verordnung: Während lediglich eine Minderheit der betroffenen Unternehmen die Vorgaben bereits vollständig umgesetzt hat, empfindet ein beträchtlicher Teil der Betriebe die Umsetzung als schwierig oder sehr schwierig.
Ein wesentlicher Grund: Die eigentliche aufsichtliche Kontrolle läuft erst jetzt an - BaFin-Prüfungen sind erst für Q1 2026 vorgesehen, also mehr als ein Jahr nach Geltungsbeginn. Das nimmt Druck aus dem System, solange keine Sanktionen drohen.
Ein zweiter Grund ist die Lieferketten-Dimension, die viele Unternehmen erst spät erkennen: Banken müssen nicht nur DORA im eigenen Haus umsetzen, sondern auch mit ihren Dienstleistern DORA-konforme Mindestinhalte vertraglich vereinbaren - und viele Unternehmen haben noch gar nicht erkannt, dass die Sicherheitsverpflichtungen auch für sie gelten, sobald sie in der Lieferkette eines DORA-pflichtigen Unternehmens tätig sind. Das erzeugt erst jetzt, über ein Jahr nach Geltungsbeginn, hektische Nachsteuerung in der Fläche.
Das strukturelle Grundproblem: Vier Regulierungen gleichzeitig
Was NIS2 und DORA zusätzlich erschwert, ist das Timing: vier EU-Regulierungen greifen 2026 gleichzeitig - NIS2, DORA, der AI Act/KI-MIG und der Cyber Resilience Act, alle mit eigenen Fristen, Meldewegen und Governance-Anforderungen. Das bindet Kapazitäten in Rechts-, IT- und Compliance-Abteilungen parallel, statt nacheinander abgearbeitet werden zu können.
Und selbst dort, wo Unternehmen sich selbst für weit fortgeschritten halten, zeigt sich eine Lücke zwischen Selbstbild und Praxis: 84 Prozent der Unternehmen sehen sich mindestens auf Stufe zwei eines Reifegradmodells, doch nur 44 Prozent befassen sich bereits tatsächlich mit IT- und IT-Sicherheitsrisiken im Risikomanagement - ein strukturelles Defizit zwischen wahrgenommener und tatsächlicher Reife.
Kurz: Die Defizite sind keine Überraschung, sondern die vorhersehbare Folge aus verspäteter, dann übergangsloser nationaler Umsetzung, unvollständiger Sekundärgesetzgebung, chronischem Fachkräftemangel und einer Regulierungsdichte, die 2026 mehrere große Rechtsakte gleichzeitig wirksam werden lässt.
Vorschlag NIS-2 Änderungen
Auf EU-Ebene ist eine gezielte NIS2-Novelle vorgeschlagen und in Verhandlung.
COM(2026) 13 - Vereinfachungsrichtlinie zu NIS2
Die EU-Kommission hat am 20. Januar 2026 einen eigenständigen Richtlinienvorschlag vorgelegt: "Proposal for a Directive as regards simplification measures and alignment with the Cybersecurity Act" (COM(2026) 13). Drei Schwerpunkte:
- Klarere Zuständigkeitsregeln – Vereinfachung, welche Behörde/welcher Mitgliedstaat bei grenzüberschreitend tätigen Einrichtungen zuständig ist
- Gestraffte Ransomware-Datenerfassung - weniger bürokratischer Meldeaufwand speziell bei Ransomware-Vorfällen
- Stärkere Rolle der ENISA bei der grenzüberschreitenden Aufsicht/Koordinierung
Zusätzlich ist - im Zusammenhang mit dem allgemeinen Digital-Omnibus-Paket - eine zentrale ENISA-Meldestelle ("Single-Entry-Point") im Gespräch, über die Meldungen nach NIS2, DSGVO und DORA gebündelt eingereicht werden könnten ("einmal melden, mehrfach teilen"). Das deckt sich mit dem Single-Entry-Point-Punkt, der im Fristenkalender unter dem DSGVO/ePrivacy-Digital-Omnibus-Eintrag erfasst wurde.
Was unverändert bleiben soll
Die strikte 24-Stunden-Frühwarnfrist bei kritischen Infrastrukturen bleibt laut den vorliegenden Quellen bestehen - hier ist keine Lockerung vorgesehen.
Verfahrensstand
Der Vorschlag befindet sich im Trilog-Verfahren (Kommission/Parlament/Rat), noch kein Abschlussdatum feststellbar. Realistische Umsetzung frühestens 2027 – und erst danach würde eine erneute Anpassung des deutschen NIS2UmsuCG (aktuell in Kraft seit 06.12.2025) erforderlich.
Einordnung
Wichtig zur Abgrenzung: Das ist ein separates Rechtsetzungsdossier (COM(2026) 13) und nicht identisch mit dem allgemeinen Digital-Omnibus (COM(2025) 837, DSGVO/ePrivacy/Data Act/DGA) oder dem bereits abgeschlossenen KI-Omnibus (VO 2026/1744) - aber Teil derselben "Simplification Agenda" der Kommission. Auf ki-reallabor.eu sollte das, falls dort NIS2 vertieft behandelt wird, als eigener, noch offener Punkt geführt werden, getrennt von der bereits in Kraft befindlichen deutschen Umsetzung.