NIS-2-Herausforderung: Deutscher Mittelstand im Spannungsfeld zwischen Eigenwahrnehmung und Bedrohungslage

Einerseits bewerten Unternehmen ihren eigenen IT-Sicherheits-Reifegrad als „hoch“, sind jedoch einer hohen Zahl schwerwiegender Vorfälle ausgesetzt

[datensicherheit.de, 15.11.2025] Um nachzuvollziehen, wie insbesondere der deutsche Mittelstand noch kurz vor dem Beschluss des Bundestages vom 13. November 2025 zur Umsetzung der NIS-2-Richtlinie den eigenen Reifegrad in Sachen Informationssicherheit einschätzte und diese Regulierung im Allgemeinen bewertete, hat Proliance nach eigenen Angaben 122 Entscheidungsträger in Unternehmen befragt: Demnach offenbart diese neue Studie von Proliance eine „deutliche Diskrepanz in der Informationssicherheit des deutschen Mittelstands“. Denn während die Unternehmen einerseits ihren eigenen Reifegrad als „hoch“ einschätzten, habe dies andererseits im Kontrast zu einer hohen Zahl schwerwiegender Sicherheitsvorfälle und erheblicher Unsicherheit bezüglich der EU-Regulierung NIS-2 gestanden. Die vorliegende Studie „Lage der Informationssicherheit im deutschen Mittelstand 2025“ zeichnet laut Proliance „ein Bild eines Sektors im Spannungsfeld zwischen der Notwendigkeit für mehr Sicherheit und der Last zusätzlicher Regularien“.

Abbildung: proliance

Proliance-Publikation „Cyberresilienz-Studie 2025: Wo steht der deutsche Mittelstand?“

Deutscher Mittelstand angesichts NIS-2 in einer Zwickmühle aus hohem Selbstanspruch und realen Vorfällen

Die Studie lege eine bemerkenswerte Kluft offen: Mittelständische Unternehmen bewerteten ihren eigenen Reifegrad in der Informationssicherheit mit durchschnittlich 4,1 von fünf Punkten als „sehr positiv“. Gleichzeitig habe jedoch fast jedes dritte Unternehmen (32%) von mindestens einem schwerwiegenden Sicherheitsvorfall in den vergangenen drei Jahren berichtet.

• Diese positive Selbsteinschätzung stehe also im Widerspruch zu den stark zunehmenden wirtschaftlichen Schäden durch Cyberangriffe, welche laut dem Bitkom-Wirtschaftsschutzreport 2025 auf 290 Milliarden Euro angestiegen seien – eine Steigerung um 41 Prozent seit 2023.

Der deutsche Mittelstand befinde sich damit in einer Zwickmühle aus hohem Selbstanspruch und realen Vorfällen. Die Studie zeige, dass trotz erlebter Vorfälle 51 Prozent der Befragten verschärfte Regulierungen positiv sähen und NIS-2 als eine sinnvolle „Leitplanke“ betrachteten.

Einführung der NIS-2-Richtlinie von einer Mehrheit befürwortet

Als größte Sicherheitsrisiken identifizierten die Befragten Malware bzw. Datenerpressung (61%) und den Diebstahl von Zugangsdaten (44%). Dies spiegele sich in den häufigsten Angriffsvektoren wider: Kompromittierte Zugänge seien mit 46 Prozent die Spitzenreiter, gefolgt von Phishing (41%) sowie Malware und Insider-Vorfällen (jeweils 36%). Der „Faktor Mensch“ bleibe somit eine zentrale Schwachstelle in der Abwehr von Cyberangriffen.

• Trotz der potenziellen Belastungen werde die Einführung der NIS-2-Richtlinie von einer Mehrheit befürwortet. Die Umsetzung in der Praxis sei jedoch kurz vor der Einführung von erheblicher Unsicherheit geprägt. Besonders alarmierend sei die Feststellung, dass für rund die Hälfte der Befragten die eigene Betroffenheit unter NIS-2 weiterhin unklar gewesen sei – lediglich 50 Prozent wüssten sicher, ob ihr Unternehmen von der Richtlinie betroffen ist.

Aufklärung sei jetzt das „A und O“. Unternehmen müssten dringend wissen, wo sie im Bereich der Informationssicherheit wirklich stehen. Die Studie unterstreiche, dass eine schnelle Umsetzung der Richtlinie hilfreich dabei sein werde, die Cybersicherheit in Deutschland weitreichend zu verbessern.

Externe Expertise wird zur Regel: Unterstützung bei NIS-2-Umsetzung

Der Mangel an internen Ressourcen und Know-how führe nun dazu, dass externe Unterstützung eine zentrale Rolle einnehme. 70 Prozent der mittelständischen Unternehmen setzten auf externe Partner, um ihre Informationssicherheit zu gewährleisten.

• Der Hauptgrund hierfür sei der Bedarf an spezialisiertem Fachwissen (62%), aber auch fehlende interne Kapazitäten (39%). Da Expertise rar sei, habe sich das Einholen externer Unterstützung zur Regel entwickelt.

Diese sei entscheidend, um auf spezialisiertes Fachwissen zugreifen und Kapazitätslücken überbrücken zu können. Die richtige Unterstützung durch „smarte Lösungen“ und erfahrene Berater sei für den Mittelstand der Schlüssel, um den wachsenden Bedrohungen und regulatorischen Anforderungen wirksam zu begegnen.

Weitere Informationen zum Thema:

proliance
Über uns / Professional Compliance aus München mit Leidenschaft für kleine und mittlere Unternehmen

proliance
Cyberresilienz-Studie 2025: Wo steht der deutsche Mittelstand? / 32 % der Mittelständler hatten schwere Security-Vorfälle. 51 % begrüßen strengere Regeln. Zeit für einfache Checks, klare Leitlinien und pragmatische Unterstützung

proliance
Live Webinar „NIS2 kommt. Jetzt handeln und Compliance rechtzeitig sichern!“ / Online 26.11.2025 11:00

Deutscher Bundestag, 13.11.2025
Inneres / Gesetz zur Informations­sicherheit in der Bundes­verwaltung beschlossen

datensicherheit.de, 15.11.2025
NIS-2-Umsetzung überfällig, uneinheitlich und mit begrenzter Wirkungsmächtigkeit / Der Beschluss des Deutschen Bundestages vom 13. November 2025 zur Umsetzung der EU-NIS-2-Richtlinie wird von vielen Kommentatoren begrüßt – aber kritische Anmerkungen bleiben

datensicherheit.de, 13.11.2025
NIS-2-Umsetzung im Bundestag beschlossen /Ambivalente Einschätzung des Digitalverbands Bitkom zur NIS-2-Umsetzung – Rechtssicherheit für Unternehmen erhofft, Neuregelungen für den Einsatz sogenannter Kritischer Komponenten könnten aber Investitionsentscheidungen negativ beeinflussen

datensicherheit.de, 13.11.2025
NIS-2 in Deutschland: Später Start erfordert nun Vertrauen und Klarheit zu schaffen / Die Umsetzung der NIS-2-Richtlinie steht unmittelbar auf der Agenda – die neuen Vorgaben sollen ohne Übergangsfrist gelten

datensicherheit.de, 18.10.2025
Umsetzung der NIS-2-Richtlinie: Verschleppung der Cybersicherheitsreform kritisiert / Die EU war lange Vorreiter bei Cybersicherheitsgesetzen – doch NIS-2 gilt als Richtlinie und nicht als direkt geltende Verordnung, wodurch ein „Flickenteppich“ nationaler Lösungen droht

datensicherheit.de, 16.10.2025
NIS-2: Genug Vorlauf – eco fordert nun Präzision / Der eco begrüßt sehr wohl die intensive politische Diskussion um die NIS-2-Richtlinie, betont aber, dass es nun an der Zeit ist, Rechtssicherheit zu schaffen

datensicherheit.de, 13.09.2025
Bitkom betont herausragende Bedeutung des KRITIS-Dachgesetzes für Deutschland / Die Umsetzungsfrist für das „KRITIS-Dachgesetz“ ist bereits am 18. Oktober 2024 verstrichen – gegen Deutschland läuft bereits ein „Vertragsverletzungsverfahren“ der EU-Kommission

datensicherheit.de, 01.08.2025
DSGVO und NIS-2 können und sollten Hand in Hand gehen / Wer sich bereits datenschutzkonform gemäß DSGVO aufgestellt hat, dem fällt auch die Cyberresilienz im NIS-2-Kontext leichter

datensicherheit.de, 01.08.2025
NIS-2-Regierungsentwurf: Claudia Plattner würdigt großen Schritt auf dem Weg zur Cybernation / Mit dem am 30. Juli 2025 vorgelegten Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie soll das deutsche IT-Sicherheitsrecht umfassend modernisiert werden