Betroffene Unternehmen sind besorgt über Kosten, Nutzen und ZuständigkeitenWidersprüchlichkeiten beim Umgang mit NIS2 aufgedeckt

Es besteht eine erhebliche Kluft zwischen dem Bekanntheitsgrad und der Umsetzung NIS2. Während 82 Prozent der befragten Organisationen aus kritischen Branchen – darunter auch Logistik und Transport – NIS2 als nützlich oder absolut notwendig erachten, hatten besorgniserregende 53 Prozent dennoch entweder noch nicht geprüft oder wussten nicht, ob sie sich registrieren müssen. Zu diesen Etgebnissen kommt die Umfrage „NIS2 Reality Check 2026“.

Die NIS2-Richtlinie schafft einen einheitlichen Rechtsrahmen für Cyber-Sicherheit. Sie soll die Cyber-Resilienz in allen EU-Mitgliedstaaten stärken und strenge Fristen für die Meldung schwerwiegender Cyber-Angriffe an die nationalen Behörden durchsetzen.

Die gesetzliche Frist für die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde bis zum 31. Juli 2026 verlängert. Bis Mai hatten etwa 18.500 von geschätzten 29.000 betroffenen deutschen Unternehmen der „kritischen Branchen“ den Registrierungsprozess abgeschlossen. Überraschenderweise halten nur 29 Prozent der befragten deutschen Unternehmen die Anforderungen für absolut notwendig.

Angesichts der Kosten eines Ransomware-Angriffs – einschließlich Ausfallzeiten, Wiederherstellung und Reputationsschaden – sowie der Erkenntnis, dass erfolgreiche Angriffe unvermeidbar sind, ist Handeln unerlässlich. Die Umfrage zeigt ein mangelndes Bewusstsein für die Bedeutung und den Ablauf der Registrierung. Zudem:

• Es bestehen Bedenken hinsichtlich der Kosten für die Einhaltung der Vorschriften: 49 Prozent der Unternehmen halten die Umsetzung für teuer, und 27 Prozent bezeichnen sie als ressourcenintensiv.
• 82 Prozent empfinden die Umsetzung als Herausforderung, während 5 Prozent überhaupt keine Hindernisse sehen.
• Nur 12 Prozent sehen keine negativen Auswirkungen der Vorschriften auf ihren aktuellen Geschäftsbetrieb. Diese kleine Gruppe erfüllt die Anforderungen jedoch bereits weitgehend oder nutzt NIS2 als Rahmen für Maßnahmen, die sie ohnehin schon geplant hatte.

26 Prozent der Unternehmen haben keine klar definierten Zuständigkeiten für die Umsetzung von NIS2. Noch besorgniserregender ist, dass 38 Prozent noch nicht definiert haben, welche Anwendungen geschäftskritisch sind. Dies deutet darauf hin, dass die Unternehmensleitung keine klaren Vorgaben dazu macht, wo die Verantwortung liegt. Während NIS2 oberflächlich betrachtet ein Sicherheitsproblem zu sein scheint, ist das Thema viel differenzierter und sollte die Geschäftsleitung sowie die Sicherheits- und Datenteams einbeziehen.

Darüber hinaus dient ein Backup-Ökosystem nicht mehr nur dem Kopieren und der Speicherung, sondern ist zu einer zentralen Komponente der Cyber-Sicherheits- und Geschäftskontinuitätsstrategie geworden. High Performance-Lösungen machen das Konzept der kontinuierlichen Wiederherstellung zur Realität und tragen dazu bei, strenge branchenspezifische SLAs wie NIS2 zu erfüllen.

In Bezug auf Backup und Wiederherstellung zeichnet die Umfrage ein gemischtes Bild: 67 Prozent verfügen über unveränderliche Backups, 33 Prozent geben an, diesen Schutz nicht zu nutzen, was im Hinblick auf die Compliance ein Risiko darstellt.

Über die Studie

Die Umfrage „NIS2 Reality Check 2026“ wurde im Mai 2026 von Cint im Auftrag von Everpure durchgeführt. Befragt wurden insgesamt 202 Chief Information Security Officers (CISOs) und IT-Sicherheitsbeauftragte in Deutschland aus Unternehmen und Institutionen, die NIS2-relevanten Sektoren und Bereichen kritischer Infrastruktur zugeordnet werden können, darunter Gesundheitswesen, Verkehr, Trinkwasserversorgung, Energie, öffentliche Verwaltung und kritische digitale Infrastruktur. (rhh)

Everpure