NIS2-Frist endet 31. Juli: 11.000 Unternehmen drohen Bußgelder
Veröffentlicht am: 21.07.2026 um 01:38 Uhr | Redaktion boerse-global.de
Noch bis 31. Juli müssen sich Tausende deutsche Unternehmen beim BSI registrieren. Die Frist für die Umsetzung der NIS2-Richtlinie läuft – und das ist erst der Anfang.
Die europäische Regulierungslandschaft für Cybersicherheit erreicht in den kommenden Wochen entscheidende Meilensteine. Während in Deutschland die Registrierungsfrist für das novellierte BSI-Gesetz am 31. Juli 2026 abläuft, werfen neue Meldepflichten durch den Cyber Resilience Act und den EU AI Act bereits ihre Schatten voraus.
Für die Geschäftsführung verschärfen sich damit nicht nur die organisatorischen Anforderungen, sondern auch die persönlichen Haftungsrisiken.
11.000 Unternehmen drohen Bußgelder
Die NIS2-Richtlinie ist in Deutschland bereits seit Dezember 2025 in Kraft. Doch Schätzungen zufolge sind rund 11.000 Unternehmen ihrer Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI) noch nicht nachgekommen.
Die Duldungsfrist endet am 31. Juli 2026. Bei Verstößen drohen Bußgelder von bis zu 500.000 Euro. In Österreich sind die Strafen noch drastischer: Dort müssen rund 29.500 betroffene Unternehmen mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes rechnen.
Cyber Resilience Act: Meldung innerhalb von 24 Stunden
Ab dem 11. September 2026 treten die ersten Meldepflichten des EU Cyber Resilience Act (CRA) in Kraft. Unternehmen müssen Sicherheitsvorfälle dann innerhalb kürzester Zeit kommunizieren.
Eine erste Frühwarnung muss bereits innerhalb von 24 Stunden an die ENISA sowie das CERT-Bund ergehen. Eine detaillierte Meldung ist nach 72 Stunden erforderlich, gefolgt von einem abschließenden Bericht nach 14 Tagen.
Angesichts immer strengerer Gesetze und kurzer Meldefristen wird IT-Sicherheit zur existenziellen Pflicht für die Geschäftsführung. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen ohne teure Investitionen erfüllen. IT-Sicherheits-Leitfaden jetzt gratis herunterladen
Experten sehen erhebliche Defizite in der Vorbereitung vieler Betriebe. Häufig fehle es an einem lückenlosen Produktinventar, fragmentiertem Monitoring oder klar definierten Verantwortlichkeiten. Die Bußgelder im Rahmen des CRA können bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes erreichen.
Persönliche Haftung der Geschäftsführung
Ein zentraler Aspekt der aktuellen Compliance-Welle ist die Verschärfung der Vorstandshaftung. Laut einem Bericht der europäischen Wertpapier- und Marktaufsichtsbehörde ESMA vom Juni 2026 führt insbesondere der Digital Operational Resilience Act (DORA) zu einer unübertragbaren Gesamtverantwortung der Geschäftsleitung.
Bei IT-Ausfällen oder mangelhafter Umsetzung von Sicherheitsvorgaben droht eine persönliche Haftung der Organmitglieder. DORA, das bereits seit Januar 2025 gilt, verlangt vom Finanzsektor extrem kurze Meldefristen bei Vorfällen in der Informations- und Kommunikationstechnik (IKT). Erstmeldungen müssen teilweise bereits innerhalb von vier Stunden erfolgen.
Zudem rückt das Drittparteien-Risikomanagement stärker in den Fokus der Aufsicht – die Sicherheit der gesamten Lieferkette muss gewährleistet sein.
Technologische Anforderungen steigen
Neben den organisatorischen Pflichten fordern die neuen Richtlinien auch technologische Anpassungen. Unter NIS2 werden für viele Unternehmen ab 50 Mitarbeitern oder einem Umsatz von 10 Millionen Euro neue Kollaborations-Tools notwendig. Diese müssen beispielsweise eine Ende-zu-Ende-Verschlüsselung für Videokonferenzen garantieren.
Parallel dazu steigen die Anforderungen an das Third Party Risk Management (TPRM). Aktuelle Erhebungen zeigen: Rund 64 Prozent der Aufgaben in diesem Bereich fallen außerhalb der klassischen IT-Abteilungen an – etwa im Einkauf oder der Rechtsabteilung.
Obwohl 96 Prozent der Unternehmen planen, ihr Lieferanten-Ökosystem auszubauen, nutzt derzeit nur die Hälfte der Einkaufsabteilungen spezialisierte TPRM-Systeme für ein kontinuierliches Monitoring.
Die neuen EU-Regeln stellen Unternehmen vor komplexe Herausforderungen, doch mit dem richtigen Plan lassen sich die Anforderungen an Risikoklassen und Dokumentationspflichten bewältigen. Ein kostenloser Umsetzungsleitfaden verschafft Ihnen jetzt den nötigen Überblick über Fristen und Pflichten des EU AI Acts. Kostenloses E-Book zum EU AI Act sichern
Transparenzpflichten für Künstliche Intelligenz
Ergänzt wird das regulatorische Paket durch den EU AI Act. Ab dem 2. August 2026 sieht er spezifische Transparenzpflichten für Universal-KI-Modelle vor. Dies betrifft insbesondere Modelle, die bestimmte Schwellenwerte bei der Rechenleistung überschreiten.
In diesem dynamischen Umfeld präsentierten Anbieter zuletzt leistungsstarke neue Modelle. Moonshot AI stellte am 19. Juli 2026 ein neues System vor, während Alibaba die Veröffentlichung weiterer hochparametrisierter Modelle ankündigte.
Cyberkriminalität: Schäden explodieren
Die steigenden Schadenssummen durch Cyberkriminalität machen die Einhaltung der Compliance-Vorgaben existenziell. Laut Branchenverbänden wie der Bitkom sind die Schäden durch Ransomware seit 2019 um 358 Prozent gestiegen.
Experten raten zur konsequenten Umsetzung von Zero-Trust-Concepts, Netzwerksegmentierung und regelmäßigen Awareness-Schulungen für Mitarbeiter. Denn jenseits der drohenden Bußgelder geht es um die nackte Existenzsicherung.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
