Aktuelles
Datum:
Dieser Artikel wurde verfasst von
Manager, BDO DIGITAL GmbH
Director, BDO DIGITAL GmbH
Partner, BDO DIGITAL GmbH
Am 6. Juni 2026 ist das deutsche NIS-2-Umsetzungsgesetz seit sechs Monaten in Kraft. Mit der Umsetzung der europäischen NIS-2-Richtlinie haben sich die Anforderungen an Cybersicherheit, Risikomanagement und Governance grundlegend verschärft. Ziel ist es, die digitale Resilienz kritischer und wichtiger Einrichtungen nachhaltig zu stärken und Unternehmen besser gegen Cyberangriffe, IT-Ausfälle und Störungen digitaler Lieferketten zu schützen.
Die Zwischenbilanz fällt jedoch gemischt aus: Während viele Unternehmen erste Maßnahmen angestoßen haben, bestehen weiterhin erhebliche Unsicherheiten bei der Betroffenheitsprüfung sowie der praktischen Umsetzung der gesetzlichen Anforderungen.
Eine der größten Veränderungen durch das NIS-2-Umsetzungsgesetz ist die massive Ausweitung des Anwendungsbereichs. Statt bislang rund 4.500 KRITIS-Unternehmen fallen heute nach Erhebungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) ca. 29.500 Unternehmen und Organisationen unter die NIS-2- Vorgaben.
Betroffen sind Unternehmen aus insgesamt 18 Sektoren, darunter Energie, Gesundheit, Transport, digitale Infrastruktur, IT-Dienstleistungen, produzierendes Gewerbe, Lebensmittelwirtschaft, Forschung sowie zahlreiche weitere Bereiche. Entscheidend sind dabei nicht nur die Branche, sondern auch Unternehmensgröße, Konzernstrukturen und wirtschaftliche Verflechtungen. Gerade an diesem Punkt entstehen in der Praxis erhebliche Unsicherheiten.
Aus zahlreichen Betroffenheitsanalysen zeigt sich, dass viele Unternehmen weiterhin davon ausgehen, nicht unter die Regulierung zu fallen. Häufig basiert diese Einschätzung auf einer isolierten Betrachtung der eigenen Gesellschaft.
Tatsächlich verlangt das Gesetz jedoch in vielen Fällen eine konsolidierte Betrachtung von Unternehmensgruppen. Mitarbeiterzahlen, Umsätze und Bilanzsummen können konzernweit zugerechnet werden. Dadurch geraten auch Unternehmen in den Anwendungsbereich, die für sich betrachtet deutlich unter den relevanten Schwellenwerten liegen würden.
Die Betroffenheitsprüfung entwickelt sich dadurch zunehmend zu einer rechtlichen, organisatorischen und technischen Einzelfallbewertung.
Nur rund 38 Prozent der betroffenen Unternehmen haben sich rechtzeitig registriert
Wie groß die Unsicherheit tatsächlich ist, zeigt ein detaillierter Blick auf die Registrierungszahlen.
Zwei Wochen vor Fristablauf am 6. März 2026 lag die Zahl bei weniger als 5.000 Registrierungen. Bis zum Ablauf der gesetzlichen Registrierungsfrist am 6. März 2026 hatten sich lediglich rund 11.500 Unternehmen beim BSI registriert. Dies entspricht etwa 38,5 Prozent der geschätzt rund 29.500 betroffenen Einrichtungen. Bis Anfang April stieg die Zahl der Registrierungen auf rund 15.500 an, was knapp über 50 % entspricht.
Die Gründe hierfür sind u.a.:
Für viele Unternehmen besteht daher weiterhin akuter Handlungsbedarf.
Eine zentrale Neuerung der Regulierung liegt in der ausdrücklichen Verankerung der Verantwortung auf Leitungsebene.
Cybersicherheit wird nicht länger ausschließlich als Aufgabe der IT-Abteilung verstanden. Geschäftsleitungen müssen Risiken aktiv steuern, Sicherheitsmaßnahmen überwachen, Schulungen sicherstellen und die Umsetzung dokumentieren. Verstöße können erhebliche aufsichtsrechtliche Konsequenzen und Bußgelder nach sich ziehen.
Damit etabliert NIS-2 einen grundlegenden Kulturwandel:
Informationssicherheit wird zu einem Governance-Thema und damit zu einem festen Bestandteil unternehmerischer Verantwortung.
Unternehmen benötigen künftig ein belastbares Zusammenspiel zwischen Geschäftsführung, Informationssicherheit, IT, Datenschutz, Compliance, Risikomanagement und Rechtsabteilung.
Trotz des regulatorischen Drucks sollte NIS-2 nicht ausschließlich als zusätzliche Verpflichtung betrachtet werden.
Die Richtlinie zwingt Unternehmen dazu, sich strukturiert mit ihren kritischen Geschäftsprozessen, Abhängigkeiten, Lieferketten und digitalen Risiken auseinanderzusetzen. Viele Organisationen nutzen diese Erkenntnisse bereits, um bestehende Sicherheitsstrukturen grundlegend zu modernisieren.
Zu den strategischen Vorteilen zählen insbesondere:
Angesichts einer zunehmend professionalisierten Cyber-Bedrohungslage gewinnen belastbare Sicherheitsarchitekturen und -mechanismen erheblich an Bedeutung. Insbesondere mittelständische Unternehmen geraten zunehmend in den Fokus von Angreifern. Das BSI berichtet, dass ein Großteil der gemeldeten Sicherheitsvorfälle kleine und mittlere Unternehmen betrifft.
Informationssicherheit wird zunehmend zu einem Wettbewerbsfaktor. Geschäftspartner, Auftraggeber, Banken, Investoren und Versicherer erwarten heute belastbare Nachweise über den Umgang mit Cyberrisiken.
Die Umsetzung von NIS2 fördert klare Verantwortlichkeiten, dokumentierte Prozesse und eine stärkere Integration von Risiken in unternehmerische Entscheidungen.
NIS2 steht nicht isoliert. Unternehmen sehen sich zunehmend mit weiteren Anforderungen aus DORA, dem Cyber Resilience Act (CRA), Datenschutzrecht, Lieferkettenanforderungen und branchenspezifischen Sicherheitsstandards konfrontiert.
Wer heute ein wirksames Informationssicherheitsmanagement etabliert, schafft die Grundlage für zukünftige Compliance-Anforderungen.
Sechs Monate nach Inkrafttreten des Gesetzes ist der richtige Zeitpunkt für eine ehrliche Standortbestimmung.
Unternehmen sollten insbesondere folgende Fragen beantworten:
Wer diese Fragen noch nicht beantworten kann, sollte kurzfristig handeln.
Fazit: Die eigentliche NIS-2-Transformation beginnt jetzt
Sechs Monate nach Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes zeigt sich, dass viele Unternehmen noch am Anfang ihrer Umsetzung stehen.
Die niedrige Registrierungsquote und die weiterhin verbreitete Unsicherheit bei der Betroffenheitsprüfung verdeutlichen den bestehenden Handlungsbedarf. Gleichzeitig wird immer deutlicher, dass NIS2 weit über reine Regulierung hinausgeht.
Unternehmen, die die Anforderungen strategisch nutzen, können ihre Cyber-Resilienz stärken, Risiken reduzieren, das Vertrauen von Stakeholdern erhöhen und ihre Wettbewerbsfähigkeit langfristig stärken und sichern.
NIS2 ist deshalb nicht nur eine Compliance-Aufgabe. Es ist ein Transformationsprojekt für die digitale Widerstandsfähigkeit von Unternehmen.
BDO begleitet Unternehmen interdisziplinär bei der Umsetzung der NIS2-Anforderungen – von der Betroffenheitsprüfung über Governance- und Compliance-Fragen bis hin zur technischen Umsetzung von Informationssicherheits- und Cybersecurity-Maßnahmen.
Unsere Expertinnen und Experten aus den Bereichen Wirtschaftsprüfung, Risikomanagement, Informationssicherheit und Cybersecurity unterstützen Unternehmen dabei, regulatorische Anforderungen rechtssicher umzusetzen und gleichzeitig nachhaltige Mehrwerte für Organisation und das individuelle Geschäftsmodell zu schaffen.