NIS-2-Registrierung: Nur 39 Prozent der Firmen angemeldet

Der Gesamtschaden: rund 290 Milliarden Euro. Besonders brisant: 73 Prozent der Angriffe zielen gezielt auf Produktionsanlagen ab. Für Geschäftsführer wird die Lage jetzt existenziell – denn sie haften persönlich.

NIS-2: Nur 39 Prozent der Firmen registriert

Die NIS-2-Richtlinie ist in Deutschland seit dem 6. Dezember 2025 geltendes Recht. Betroffen sind rund 29.500 Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz. Doch die Umsetzung hakt gewaltig: Bis zum 9. Juli 2026 hatten sich lediglich 11.500 Firmen beim BSI registriert. Das entspricht einer Quote von 39 Prozent.

Für viele Betriebe ist die offizielle Registrierungsfrist bereits am 6. März 2026 abgelaufen. Andere müssen bis zum 31. Juli 2026 liefern. Wer die Frist verpasst, riskiert Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes. Hinzu kommt die persönliche Haftung der Geschäftsführung.

Die Pflichten sind umfangreich: Risikoanalysen, Multi-Faktor-Authentifizierung (MFA) und strikte Meldepflichten. Vorfälle müssen innerhalb von 24 Stunden als Frühwarnung gemeldet werden, die ausführliche Meldung folgt nach 72 Stunden.

Cyber Resilience Act: Noch härtere Strafen ab September

Der Cyber Resilience Act (CRA) ist bereits seit dem 11. Dezember 2024 in Kraft. Doch ab dem 11. September 2026 gelten neue Meldepflichten – vor allem für Hersteller von Produkten mit digitalen Elementen. Die Bußgelder sind noch höher: bis zu 15 Millionen Euro oder 2,5 Prozent des Umsatzes.

Angesichts der massiven Haftungsrisiken durch NIS-2 und den CRA müssen Geschäftsführer ihre IT-Sicherheit ohne Verzögerung stärken. Dieser kostenlose Report klärt auf, welche neuen rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Bedrohungen abwenden und Unternehmen schützen

Auch hier gilt: Frühwarnung innerhalb von 24 Stunden an ENISA oder CSIRT, vollständige Meldung nach 72 Stunden, Abschlussbericht nach 14 Tagen. Für die Industrieautomation kommt ab Januar 2027 eine weitere Verschärfung: Externe Typenprüfungen werden Pflicht. Erste Hersteller reagieren bereits – etwa mit KI-fähigen Steuerungen für Werkzeugmaschinen, die den CRA-Vorgaben entsprechen.

OT-Konvergenz: Die tickende Zeitbombe in der Werkshalle

Das größte Sicherheitsproblem? Die Verschmelzung von IT und OT (Operational Technology). Produktionsnetze sind heute kaum noch isoliert – die Angriffsfläche wächst rasant. In vielen Werkshallen laufen Systeme, die seit über 20 Jahren keine Sicherheits-Patches erhalten haben. In der Produktion zählt traditionell die Verfügbarkeit, nicht die Vertraulichkeit.

Experten raten zu einer umfassenden Inventur des Produktionsnetzes und zur Segmentierung nach dem Purdue-Modell. Das verhindert die Ausbreitung von Schadsoftware. Für den Mittelstand, dem oft die interne Expertise fehlt, gewinnt das Modell „CISO as a Service" an Bedeutung.

Arbeitszeiterfassung als Compliance-Falle

Doch IT-Sicherheit ist nicht alles. Juristen weisen auf ein weiteres Risiko hin: Seit einem BAG-Urteil vom 13. September 2022 ist die Arbeitszeiterfassung verpflichtend. Sie erfolgt heute meist digital – und schafft damit Schnittstellen zu Datenschutz und IT-Sicherheit. Auch das muss in der Compliance-Strategie berücksichtigt werden.

Wer neben der IT-Sicherheit auch die gesetzliche Pflicht zur Arbeitszeiterfassung rechtssicher lösen möchte, findet in diesem E-Book sofort einsetzbare Mustervorlagen. Mit dem fertigen Stundenzettel und den rechtlichen Tipps sind Sie in wenigen Minuten auf der sicheren Seite. Kostenlose Mustervorlage zur Arbeitszeiterfassung sichern

Die ganzheitliche Umsetzung all dieser Pflichten wird auch auf der ISACA Europe Conference diskutiert. Sie findet vom 7. bis 9. Oktober 2026 in München statt.

de | wirtschaft | 69761657 |