Illustration Absmeier foto ki designer

Die NIS2-Pflichten gelten, doch zwischen Gesetzeslage und betrieblicher Umsetzung klafft offenbar eine Lücke: In der Kertos-Befragung ist nur gut jedes vierte Unternehmen beim BSI registriert, während fast die Hälfte noch nicht begonnen hat oder zunächst die eigene Betroffenheit prüft. Für Geschäftsleitungen ist das mehr als ein Compliance-Thema. Sie müssen Zuständigkeiten, Risikomanagement, Meldewege und Nachweise so organisieren, dass Cyberresilienz im Tagesgeschäft belastbar verankert wird.

Management Summary

Umsetzungslücke: 49 % der befragten Unternehmen haben noch nicht begonnen oder klären erst ihre Betroffenheit; lediglich 27 % geben eine BSI-Registrierung an.
Chefsache statt IT-Solo: Obwohl § 38 BSIG die Geschäftsleitung verpflichtet, liegt die operative Verantwortung laut Studie meist bei der IT-Leitung – häufig ohne CISO-Unterstützung.
Pflichten systematisch steuern: Registrierung, Vorfallmeldung, Risikomanagement und Dokumentation sollten als zusammenhängendes Programm mit eindeutigen Verantwortlichkeiten geführt werden.
Nachweise mitdenken: Tabellen und Einzelmaßnahmen reichen langfristig nicht aus; entscheidend sind nachvollziehbare Prozesse, Zuständigkeiten, Wirksamkeitskontrollen und auditfähige Belege.
Jetzt priorisieren: Unternehmen sollten Betroffenheit und Registrierungsstatus kurzfristig klären, die zehn Maßnahmenbereiche des § 30 BSIG bewerten und einen von der Geschäftsleitung getragenen Umsetzungsplan beschließen.

NIS2-Studie: Nur 27 % der befragten Unternehmen sind beim BSI registriert

49 % der befragten Unternehmen haben die NIS2-Umsetzung noch nicht begonnen oder prüfen noch, ob sie betroffen sind.

In den fünf Wochen nach Ende der Duldungsphase für die Registrierung beim BSI zum 31. Juli 2026 gaben 27 % der befragten Unternehmen an, beim BSI registriert zu sein. 49 % haben mit der Umsetzung noch nicht begonnen oder prüfen noch, ob sie betroffen sind. Für die NIS2 Readiness Study 2026 hat Kertos 51 Unternehmen mit Sitz in Deutschland und 50 bis 1.000 Mitarbeitenden befragt, die in Sektoren nach Anhang I der NIS-2-Richtlinie tätig sind [1].

Rechtlicher Rahmen

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz fasst das BSI-Gesetz (BSIG) neu und ist seit dem 6. Dezember 2025 in Kraft. Laut BSI fallen rund 29.500 Unternehmen und Institutionen in Deutschland unter das Gesetz (Pressemitteilung vom 1. Juni 2026). Der 31. Juli 2026 markierte das Ende einer Duldungsphase für die Registrierung beim BSI.

Umsetzungsstand

18 % der befragten Unternehmen haben mit der NIS2-Umsetzung noch nicht begonnen, 31 % prüfen ihre Betroffenheit. 24 % geben an, beim BSI registriert zu sein, 24 % setzen Risikomanagement-Maßnahmen um, und 4 % geben an, NIS2 vollständig umgesetzt und die Registrierung abgeschlossen zu haben. Die Frage war einfach wählbar, deshalb lässt sich nicht ablesen, ob Unternehmen in der Umsetzung zugleich registriert sind.

Verantwortung

63 % der befragten Unternehmen nennen die IT-Leitung als verantwortlich für NIS2 und Informationssicherheit, in 41 % ist sie die einzige genannte Rolle. 22 % nennen die Geschäftsführung, 20 % den Datenschutzbeauftragten, 14 % einen eigenen CISO und 2 % einen externen oder virtuellen CISO. 84 % der befragten Unternehmen haben weder einen eigenen noch einen externen CISO. Mehrfachnennungen waren möglich, »nicht klar zugewiesen« oder »weiß nicht« wählte niemand. § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagement-Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. In den befragten Unternehmen liegt die Aufgabe in der Praxis bei der IT.

Wissensstand

53 % der Befragten wussten, dass NIS2 seit Dezember 2025 in Kraft ist, 49 % kannten den Registrierungstermin 31. Juli 2026. 37 % wussten weder das eine noch das andere. Der Wissensstand fällt mit dem Umsetzungsfortschritt zusammen: Von den neun Unternehmen, die noch nicht begonnen haben, kannten sieben keines von beidem. Von den 26 Unternehmen, die registriert sind oder Maßnahmen umsetzen, kannten nur vier keines von beidem.

Gründe und Hürden

25 der befragten Unternehmen haben noch nicht begonnen oder prüfen ihre Betroffenheit. Sieben davon warten auf mehr regulatorische Klarheit, für sieben hat das Thema derzeit keine Priorität, sechs halten sich nicht für betroffen, sechs nennen fehlendes Know-how im Haus, vier verstehen die Anforderungen nicht, zwei glauben nicht an eine Durchsetzung und eines nennt fehlendes Budget oder Personal. Alle sechs Unternehmen, die sich nicht für betroffen halten, sind in Sektoren tätig, die die Richtlinie erfasst. Über alle Befragten hinweg ist die häufigste Hürde die Zahl überlappender Regulierungen wie DSGVO, AI Act und NIS2 mit 39 %, gefolgt von begrenztem Budget mit 25 %, unklaren Anforderungen mit 24 %, fehlendem Rückhalt der Geschäftsführung mit 22 % und Fachkräftemangel mit 20 %. Manuelle, tabellenbasierte Prozesse und das audit-bereite Vorhalten von Nachweisen nennen jeweils 16 %. Am seltensten genannt wird das Lieferanten- und Supply-Chain-Management mit 6 %. Die Sicherheit der Lieferkette ist einer der zehn Maßnahmenbereiche nach § 30 BSIG.

Auf einen Blick

Stichprobe: 51 Unternehmen mit Sitz in Deutschland, 50 bis 1.000 Mitarbeitende, Sektoren nach Anhang I der NIS-2-Richtlinie
Feldzeit: 3. August bis 4. September 2026
Beim BSI registriert: 27 %
Noch nicht begonnen oder Betroffenheit in Prüfung: 49 %
IT-Leitung verantwortlich: 63 %, in 41 % der Unternehmen die einzige genannte Rolle
Weder eigener noch externer CISO: 84 %
Kertos: gegründet 2021, Berlin und München, 400 Kunden, 100 % Audit-Erfolgsquote

»In den meisten befragten Unternehmen trägt die IT-Leitung NIS2 allein, zusätzlich zum laufenden Betrieb. Informationssicherheit auf Geschäftsleitungsebene zu verankern ist keine Frage der Unternehmensgröße, sondern eine Entscheidung darüber, wer die Anforderungen priorisiert und wer ihre Umsetzung überwacht.« — Dr. Kilian Schmidt, Mitgründer und CEO von Kertos

[1] Die NIS2 Readiness Study 2026 steht ab sofort unter https://kertos.io/guides/nis2-readiness-study-2026 zum Download bereit und enthält die vollständigen Ergebnisse, die Fragebogen-Formulierungen und die Methodik.

Die Ergebnisse der Kertos-Studie liefern Hinweise auf erhebliche Umsetzungsdefizite bei NIS2. Aufgrund der kleinen Stichprobe von 51 Unternehmen und der fehlenden Angaben zur Repräsentativität sollten die Werte jedoch als Stimmungsbild und nicht als belastbare Marktstatistik interpretiert werden.

Tipps für Unternehmen

Betroffenheit belastbar klären: Unternehmensgröße, Sektor, Einrichtungsart und Sonderregeln dokumentiert prüfen; Zweifelsfälle mit fachkundiger Rechts- und Sicherheitsberatung klären.
Registrierung nicht isoliert behandeln: BSI-Portal, Kontaktstelle, Rollenmodell und interne Freigaben gemeinsam vorbereiten. Das BSI nennt einen zweistufigen Prozess mit ELSTER-Organisationszertifikat und BSI-Portal [2].
Governance festziehen: Eine verantwortliche Person benennen, aber die Überwachung bei der Geschäftsleitung verankern; Entscheidungen, Budgets und Schulungen protokollieren [3].
Gap-Analyse an § 30 BSIG ausrichten: Bestehende Kontrollen den zehn Maßnahmenbereichen zuordnen, Lücken nach Risiko priorisieren und Verantwortliche sowie Termine festlegen [4].
Meldeprozess üben: Kriterien, Eskalationswege, erreichbare Ansprechpartner und Freigaben für erhebliche Sicherheitsvorfälle in Übungen testen [2].
Lieferkette einbeziehen: Kritische Dienstleister klassifizieren, Sicherheitsanforderungen vertraglich festhalten und Nachweise regelmäßig überprüfen [4].
Auditfähigkeit aufbauen: Richtlinien, Risikoentscheidungen, Kontrollen, Tests, Schulungen und Verbesserungsmaßnahmen zentral, versioniert und nachvollziehbar dokumentieren.

FAQ zu NIS2 und BSIG

1. Welche Unternehmen sind grundsätzlich von NIS2 betroffen?

Der Anwendungsbereich erfasst vor allem mittlere und große Einrichtungen aus den in den Anhängen der NIS-2-Richtlinie beziehungsweise im BSIG genannten Sektoren. Dazu gehören unter anderem Energie, Verkehr, Gesundheit, digitale Infrastruktur und die Verwaltung von IKT-Diensten. Maßgeblich sind Einrichtungsart, Sektor, Größe und mögliche Sondertatbestände; eine pauschale Einordnung allein nach Branche reicht nicht aus [5].

2. Müssen betroffene Unternehmen sich beim BSI registrieren?

Ja. Besonders wichtige und wichtige Einrichtungen unterliegen einer Registrierungspflicht. Nach Angaben des BSI müssen sie sich spätestens drei Monate anmelden, nachdem sie erstmals oder erneut NIS2-betroffen sind; Änderungen an Registrierungsdaten sind unverzüglich, spätestens nach zwei Wochen, zu übermitteln [2].

3. Wie funktioniert die Registrierung?

Das BSI beschreibt einen zweistufigen Weg: Zunächst wird ein ELSTER-Organisationszertifikat über »Mein Unternehmenskonto« benötigt, anschließend erfolgt die Registrierung im BSI-Portal. Dort werden unter anderem Angaben zur Einrichtung, Kontaktstelle, Kontaktperson, Branche und Unternehmensgröße erfasst [1] [2].

4. Welche Verantwortung trägt die Geschäftsleitung?

Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Außerdem sieht § 38 BSIG regelmäßige Schulungen vor, damit die Leitung Cyberrisiken und Risikomanagementpraktiken bewerten kann. Bei Pflichtverletzungen kann eine Haftung nach den einschlägigen gesellschaftsrechtlichen Regeln entstehen [3].

5. Welche Sicherheitsmaßnahmen verlangt das BSIG?

30 BSIG nennt zehn Bereiche: Risikoanalyse und Sicherheitskonzepte, Vorfallbewältigung, Business Continuity und Krisenmanagement, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitskontrollen, Schulungen, Kryptografie, Personal- und Zugriffssicherheit sowie Multi-Faktor- oder kontinuierliche Authentifizierung und sichere Kommunikation [4].

6. Was gilt für Sicherheitsvorfälle?

Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle dem BSI melden. Das BSI-Portal dient als Meldestelle; für noch nicht registrierte betroffene Einrichtungen verweist das BSI auf ein Online-Formular. Unternehmen sollten daher Kriterien, Zuständigkeiten und Eskalationswege vor einem Vorfall festlegen [2].

7. Reicht eine BSI-Registrierung für Compliance aus?

Nein. Die Registrierung ist nur eine Pflicht neben Risikomanagement, Vorfallmeldung, Dokumentation und Governance. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen; ihre Einhaltung ist zu dokumentieren [4].

8. Muss jedes betroffene Unternehmen einen CISO beschäftigen?

Die genannten Quellen schreiben keine bestimmte Stellenbezeichnung vor. Entscheidend sind eindeutig zugewiesene Verantwortung, fachliche Kompetenz, ausreichende Ressourcen und die gesetzliche Überwachung durch die Geschäftsleitung. Ob ein interner, externer oder virtueller CISO sinnvoll ist, hängt vom Risikoprofil und der Organisationsgröße ab.

9. Welche Rolle spielt die Lieferkette?

Die Sicherheit der Lieferkette ist ausdrücklich einer der Mindestbereiche des Risikomanagements. Unternehmen sollten unmittelbare Anbieter und Diensteanbieter risikobasiert bewerten, Sicherheitsanforderungen in Verträgen operationalisieren und Abhängigkeiten sowie Nachweise fortlaufend überwachen [4].

10. Womit sollte ein Unternehmen jetzt beginnen?

Priorität haben eine dokumentierte Betroffenheitsprüfung, gegebenenfalls die Registrierung, ein von der Geschäftsleitung beschlossenes Rollenmodell und eine Gap-Analyse zu § 30 BSIG. Darauf folgen ein risikobasierter Maßnahmenplan, ein getesteter Meldeprozess und eine zentrale Nachweisführung. Das BSI strukturiert die Umsetzung ebenfalls in Phasen von Analyse und Verantwortung bis zur kontinuierlichen Verbesserung [1].

Quellen

[1] BSI: NIS-2-regulierte Unternehmen – https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html

[2] BSI: NIS-2-Pflichten – https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Pflichten/nis-2-pflichten_node.html

[3] § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen – https://www.gesetze-im-internet.de/bsig_2025/__38.html

[4] § 30 BSIG: Risikomanagementmaßnahmen – https://www.gesetze-im-internet.de/bsig_2025/__30.html

[5] EUR-Lex: Richtlinie (EU) 2022/2555 – https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=de

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

925 Artikel zu „NIS2“

Ausgabe 7-8-2026 | Infrastruktur | IT-Security | News | Security Spezial 7-8-2026

NIS2, BCM und Audit: Warum viele Projekte feststecken – Endlich in die Umsetzung kommen

26. August 2026

Strukturen, Anforderungen und Tools sind vielerorts vorhanden – dennoch stockt die operative Umsetzung. Es sind zumeist organisatorische Hürden die NIS2-, ISMS- und BCM-Initiativen ausbremsen. Unternehmen können mit klarer Governance, verbindlichen Verantwortlichkeiten und kontinuierlicher Steuerung echte Resilienz schaffen.