NIS-2-Umsetzung: 30.000 Unternehmen betroffen, viele noch nicht vorbereitet
Veröffentlicht am: 06.10.2026 um 22:44 Uhr | Redaktion boerse-global.de
Organisationen und Behörden treiben den Aufbau von Koordinierungszentren sowie den Übergang zu automatisierten Systemen für Governance, Risikomanagement und Compliance (GRC) voran. Ziel dieser Initiativen ist es, komplexe regulatorische Vorgaben und wachsende Sicherheitsrisiken effizienter zu verwalten und operative Abläufe resilienter aufzustellen.
Internationale Expansion und automatisierte Steuerungsplattformen
Der Markt für KI-gestützte Compliance-Lösungen verzeichnet zunehmende regionale Investitionen. So kündigte das Unternehmen Optro, ehemals AuditBoard, auf der CAE-Konferenz 2026 in Abu Dhabi die Eröffnung eines regionalen Zentrums in Dubai an. Dieses soll als Stützpunkt für die GRC-Intelligence-Plattform des Anbieters dienen.
Hintergrund der Aktivitäten in den Vereinigten Arabischen Emiraten ist unter anderem die Richtlinie UAE Government 4.0 im Rahmen der Nationalen KI-Strategie 2031, welche Bundesbehörden dazu verpflichtet, innerhalb von zwei Jahren die Hälfte der Regierungsbereiche, Dienstleistungen und Abläufe auf autonome agentenbasierte KI-Modelle umzustellen.
Zu den relevanten Leitlinien im dortigen Markt gehören die Richtlinien der CBUAE zu KI und maschinellem Lernen sowie Standards des Cybersicherheitsrats und der NESA. Optro, das Anfang 2026 die KI-Testlösung Midship übernahm und im Juni ein APAC-Zentrum in Singapur eröffnete, wird von mehr als der Hälfte der Fortune-500-Unternehmen eingesetzt.
Gleichzeitig investieren Technologieanbieter in die Durchsetzung von Richtlinien zur Laufzeit. Das Daten-Governance-Unternehmen Collibra übernahm das 2023 gegründete Münchener Unternehmen trail ML.
Dessen agentenbasierte Automatisierung zielt darauf ab, Nachweise kontinuierlich zu bewerten und Richtlinien wie das EU-KI-Gesetz, die ISO 42001 oder das NIST-AI-Risk-Management-Framework automatisiert abzugleichen. Richtlinienverletzende Aktionen autonomer Agenten sollen dabei vor ihrer eigentlichen Ausführung blockiert werden.
Die neuen regulatorischen Anforderungen durch den EU AI Act stellen viele IT- und Rechtsabteilungen vor komplexe Aufgaben. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über alle relevanten Fristen, Pflichten und Risikoklassen für Unternehmen. EU AI Act in 5 Schritten verstehen
Behördliche Koordination und nationale Souveränität
Auch im öffentlichen Sektor und bei Betreibern kritischer Infrastrukturen gewinnen zentrale Koordinierungsstellen und souveräne Plattformen an Bedeutung. In Deutschland schrieb das BMDS die Koordinierung des Data Spaces Hub Germany mit Sitz in Bonn aus.
Die Initiative führt den bisherigen Gaia-X-Hub Germany fort und soll Initiativen wie Catena-X, Manufacturing-X und den Mobility Data Space unter Wahrung der Datensouveränität mit Verwaltungsdaten und kleineren Unternehmen vernetzen.
In der Schweiz erklärte die Bundeskanzlei zwei Vorhaben zu Schlüsselprojekten der Verwaltung, darunter ein Anfang September lanciertes Programm für souveräne Arbeitsplatzsoftware. Ab Ende 2027 sollen dort rund 3.000 Mitarbeitende parallel zu bestehenden Lösungen eine Open-Source-Plattform nutzen; die erste Phase ist mit 9 Millionen Franken veranschlagt.
Auf administrativer Ebene modernisieren zudem Zolon PCS als Hauptauftragnehmer und ComplianceQuest das unternehmensweite Qualitätsmanagementsystem der US-Arzneimittelbehörde FDA über eine dedizierte Behörden-Cloud.
Der Einsatz von Künstlicher Intelligenz in der Verwaltung erfordert klare Leitlinien, um Rechtsstaatlichkeit und Verantwortung dauerhaft zu sichern. Ein praxisnaher Ratgeber unterstützt Führungskräfte im öffentlichen Dienst mit einem Selbsttest und konkreten Checklisten für den sicheren KI-Alltag. Kostenlosen KI-Leitfaden für Behörden herunterladen
Wachsender Regulierungsdruck trifft auf Umsetzungslücken
Die Dringlichkeit strukturierter GRC-Strukturen wird durch gesetzliche Fristen verschärft. Während die EU-KI-Verordnung seit dem 2. August 2026 ein risikoorientiertes System vorschreibt, trat das deutsche NIS-2-Umsetzungsgesetz am 6. Dezember 2025 in Kraft und erweiterte die Pflichten auf schätzungsweise 30.000 Unternehmen. Zudem harmonisiert der EU Cyber Resilience Act ab dem 11. Dezember 2027 Sicherheitsanforderungen für vernetzte Produkte.
Trotz der Vorgaben zeigen Erhebungen erhebliche Umsetzungsdefizite. In der NIS2 Readiness Study von Kertos gaben 49 Prozent der befragten Unternehmen aus regulierten Sektoren an, die Umsetzung noch nicht begonnen zu haben oder ihre Betroffenheit noch zu prüfen.
Lediglich 27 Prozent waren beim Bundesamt für Sicherheit in der Informationstechnik registriert, während nur 4 Prozent eine vollständige Umsetzung meldeten. Als größte Hürden nannten die Verantwortlichen überlappende Vorgaben aus DSGVO, KI-Gesetz und NIS-2 sowie begrenzte Budgets.
Branchenexperten weisen zudem darauf hin, dass Risikoanalysen und koordinierte Wiederanlaufkonzepte nicht an den eigenen Unternehmensgrenzen enden dürfen, da ein erheblicher Teil gemeldeter Vorfälle auf externe Dienstleister zurückgeht.
