Die NIS2-Richtlinie der Europäischen Union hätte eigentlich bis zum 17. Oktober 2024 in nationales Recht umgesetzt sein sollen. Deutschland hat diese Frist deutlich verpasst. Das NIS2-Umsetzungsgesetz, kurz NIS2UmsuCG, befindet sich seit Monaten im politischen Prozess, ohne dass eine finale Verabschiedung erfolgt ist. Für Unternehmen, die unter die Richtlinie fallen könnten, entsteht dadurch eine unbequeme Grauzone: Die europäischen Anforderungen gelten inhaltlich bereits, das verbindliche deutsche Gesetz fehlt aber noch.
Diese Situation sorgt für Unsicherheit, aber nicht für Handlungsfreiheit. Wer die Entwicklungen rund um NIS2 in Deutschland verfolgt, erkennt: Die Umsetzung kommt, und Unternehmen, die jetzt abwarten, riskieren, später unter Zeitdruck zu geraten.
Der Stand der NIS2-Umsetzung in Deutschland
Deutschland hat die EU-Frist zur Umsetzung der NIS2-Richtlinie ins nationale Recht nicht eingehalten. Der Referentenentwurf des NIS2UmsuCG wurde zwar erarbeitet, durchlief jedoch mehrere Überarbeitungsrunden und wurde durch den Koalitionsbruch Ende 2024 weiter verzögert. Stand 2026 liegt noch kein verabschiedetes Gesetz vor, obwohl die neue Bundesregierung das Vorhaben wieder aufgegriffen hat.
Die EU-Kommission hat Deutschland wegen der Nichtumsetzung ein Vertragsverletzungsverfahren angedroht. Das erhöht den politischen Druck, das Gesetz zeitnah zu verabschieden. Aktuellen Einschätzungen zufolge ist mit einer Verabschiedung im Laufe des Jahres 2026 zu rechnen, ein konkretes Datum steht jedoch weiterhin aus. Bis dahin gilt die NIS2-Richtlinie in ihrer EU-Fassung als inhaltlicher Maßstab, auch wenn nationale Bußgeldmechanismen und Meldepflichten erst mit dem deutschen Gesetz rechtlich verbindlich werden.
Was die Verzögerung für betroffene Unternehmen bedeutet
Die fehlende nationale Umsetzung bedeutet keine Entwarnung. Unternehmen, die nach den Kriterien der Richtlinie als wesentliche oder wichtige Einrichtungen einzustufen sind, befinden sich in einem Zustand, den man als regulatorische Vorlaufphase beschreiben kann. Das Gesetz ist nicht in Kraft, aber die Anforderungen sind bekannt, und der Umsetzungsaufwand bleibt derselbe.
Wer jetzt nichts unternimmt, verschiebt den Aufwand in einen Zeitraum, in dem Fristen, Behördenanfragen und Kundendruck gleichzeitig einsetzen können. Besonders für mittelständische Unternehmen mit begrenzten internen IT-Ressourcen ist das ein relevantes Risiko. Hinzu kommt, dass viele Maßnahmen, die NIS2 verlangt, Zeit brauchen: Risikoanalysen, Governance-Strukturen, Meldeprozesse und technische Schutzmaßnahmen lassen sich nicht in wenigen Wochen aufbauen.
Welche Pflichten das geplante Gesetz voraussichtlich bringen wird
Das NIS2UmsuCG orientiert sich eng an der EU-Richtlinie und überträgt deren Anforderungen auf den deutschen Rechtsrahmen. Die Pflichten richten sich an Unternehmen ab einer bestimmten Größe und Branchenzugehörigkeit, wobei NIS2 den Anwendungsbereich gegenüber der Vorgängerrichtlinie deutlich erweitert hat.
Zu den zentralen Anforderungen, die das Gesetz bringen wird, gehören:
- Einführung eines Risikomanagementsystems für Cybersicherheit
- Meldepflichten bei erheblichen Sicherheitsvorfällen gegenüber dem BSI, mit konkreten Meldefristen
- Sicherheitsanforderungen entlang der Lieferkette, also auch gegenüber Dienstleistern und Zulieferern
- Maßnahmen zur Aufrechterhaltung des Betriebs und zur Wiederherstellung nach Vorfällen
- Persönliche Haftung der Geschäftsleitung bei Verstößen gegen die Sorgfaltspflichten
Die Haftungsregelung ist dabei ein Aspekt, der in der Praxis oft unterschätzt wird. Geschäftsführer und Vorstände können bei nachgewiesener Pflichtverletzung persönlich in Anspruch genommen werden. Das macht NIS2 zu einem Thema, das nicht allein in der IT-Abteilung verbleiben kann.
Warum jetzt handeln trotz fehlendem Gesetz sinnvoll ist
Die Verzögerung bei der NIS2-Umsetzung in Deutschland schafft ein Zeitfenster, das Unternehmen nutzen können, ohne unter akutem Behördendruck zu stehen. Wer dieses Fenster für eine strukturierte Vorbereitung nutzt, ist beim Inkrafttreten des Gesetzes deutlich besser aufgestellt als der Wettbewerb, der abgewartet hat.
Konkret bedeutet das: Eine Betroffenheitsanalyse klärt, ob und in welchem Umfang ein Unternehmen überhaupt unter NIS2 fällt. Viele Unternehmen sind unsicher, ob sie als wesentliche oder wichtige Einrichtung einzustufen sind. Diese Frage lässt sich heute beantworten, ohne auf das fertige Gesetz warten zu müssen, weil die Kriterien aus der EU-Richtlinie bereits bekannt sind.
Darüber hinaus sind viele der geforderten Maßnahmen ohnehin sinnvoll: Ein funktionierendes Patchmanagement, ein strukturiertes Vorfallsmanagement und dokumentierte Sicherheitsrichtlinien sind keine reinen Compliance-Übungen, sondern stärken die operative Widerstandsfähigkeit des Unternehmens unabhängig vom Gesetzgebungsstand.
Nächste Schritte zur NIS2-Vorbereitung
Eine sinnvolle Vorbereitung folgt einer klaren Reihenfolge. Am Anfang steht die Frage der Betroffenheit: Fällt das Unternehmen überhaupt unter NIS2, und wenn ja, als welcher Einrichtungstyp? Darauf aufbauend lässt sich der tatsächliche Handlungsbedarf bestimmen.
Praktische erste Schritte sind:
- Betroffenheitsprüfung anhand der NIS2-Kriterien (Branche, Größe, Funktion)
- GAP-Analyse des aktuellen Sicherheitsniveaus gegenüber den NIS2-Anforderungen
- Priorisierung der Maßnahmen nach Risiko und Aufwand
- Aufbau oder Überprüfung von Meldeprozessen und Verantwortlichkeiten
- Einbindung der Geschäftsleitung, da NIS2 explizit Managementverantwortung vorsieht
Wer bereits ein kostenloses Erstaudit in Betracht zieht, kann damit den eigenen Stand ohne großen Vorlaufaufwand einschätzen. Das schafft Klarheit darüber, wo wirklich Handlungsbedarf besteht und wo bereits solide Grundlagen vorhanden sind.
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE begleitet Unternehmen durch den gesamten NIS2-Prozess, von der ersten Betroffenheitsprüfung bis zur dauerhaften Erfüllung der Anforderungen. Das Leistungsbild ist dabei so aufgebaut, dass es sich an den tatsächlichen Bedarf anpasst, nicht an ein starres Paketmodell.
- NIS2-Audit: Analyse des aktuellen Stands, Bewertung der Betroffenheit und des Reifegrads, GAP-Analyse mit konkreten Handlungsempfehlungen
- Aufbau von Governance-Strukturen, Meldeprozessen und Risikomanagementsystemen nach den Anforderungen der Richtlinie
- Technische Umsetzung: 24/7-Monitoring, Schwachstellen-Scans, SIEM, Patchmanagement und weitere Schutzmaßnahmen
- Managed Service für kontinuierliche Überwachung, Reviews und Anpassung, damit NIS2 nicht einmalig, sondern dauerhaft erfüllt wird
- Flexibler Einstieg: vollumfängliches Paket oder einzelne Komponenten, je nach Ausgangslage und internen Ressourcen
UBESAFE verbindet dabei Engineering-Kompetenz mit Auditoren-Erfahrung. Das bedeutet: Konzepte werden nicht nur entwickelt, sondern auch technisch umgesetzt, ohne Schnittstellenverluste zwischen Beratung und Betrieb. Wer den eigenen NIS2-Stand einschätzen möchte, kann direkt mit einem IT-Service-Gespräch starten und gemeinsam mit UBESAFE die nächsten Schritte festlegen.