Nach 8 Monaten NIS-2 deutet eco-Stimmungsbild auf Umsetzungshürden hin

Der eco hat eine Kurzabfrage unter Unternehmen mit Bezug zu IT-Sicherheit, digitaler Infrastruktur und NIS-2 durchgeführt und die Ergebnisse publiziert

[datensicherheit.de, 11.08.2026] Der eco – Verband der Internetwirtschaft e.V. hat genau acht Monate nach Inkrafttreten von NIS-2 die „etwas schleppende Entwicklung der diese Woche neu veröffentlichten BSI-Registrierungszahlen“ kommentiert – diese könnte demnach darauf hindeuten, dass die Umsetzung für Unternehmen weiterhin herausfordernd ist. Ein aktuelles Stimmungsbild unter Unternehmen aus dem eco-Umfeld bestätige diesen Eindruck: „Es gibt weiterhin deutliche Umsetzungshürden, vor allem bei Dokumentation, Meldeprozessen und Risikomanagement.“ Dieses basiere auf einer eco-Kurzabfrage unter Unternehmen mit Bezug zu IT-Sicherheit, digitaler Infrastruktur und NIS-2 – es gebe einen Eindruck aus der Praxis wieder, ohne einen Anspruch auf Repräsentativität zu erheben. Ulrich Plate, Leiter der eco-Kompetenzgruppe „KRITIS“, fordert „klare Prioritäten und handhabbare Umsetzungshilfen“ für die Unternehmen.

Foto: eco

Ulrich Plate: Unternehmen brauchen keine abstrakten Pflichtenhefte, sondern klare Prioritäten und handhabbare Umsetzungshilfen!

Bürokratie droht NIS-2-Umsetzung zu lähmen

NIS-2 sei in der Wirtschaft angekommen, aber die praktische Umsetzung bleibe für viele Unternehmen anspruchsvoll, so ein aktuelles Stimmungsbild unter 38 Unternehmen aus dem eco-Umfeld. Die größten Herausforderungen bei der Umsetzung sähen die Befragten bei Dokumentationspflichten, Meldeprozessen mit 24-/72-Stunden-Regelungen sowie Risikoanalyse und Risikomanagement.

Dieses eco-Stimmungsbild gebe einen Einblick in Unternehmen, welche über eco-Kanäle erreicht worden seien und sich bereits mit NIS-2 und Cybersicherheit befasst hätten.

Selbst in diesem Umfeld werde ein deutlicher Unterstützungsbedarf sichtbar. Über ein Drittel der bereits beim BSI registrierten Unternehmen bewerte den Registrierungsprozess als „sehr kompliziert“, 53 Prozent als „in Ordnung“.

NIS-2-Nachweise und -Meldeprozesse verursachen größten Druck

Der zusätzliche Aufwand für die Umsetzung von NIS-2 sei spürbar: Rund 15 Prozent der Antwortenden schätzten ihn als „sehr hoch“ ein, jeweils rund 38 Prozent als „hoch“ oder „mittel“. Kein Unternehmen habe angegeben, dass durch NIS-2 kein zusätzlicher Aufwand entstehe.

Knapp 18 Prozent der teilnehmenden Unternehmen gäben an, die NIS-2-Anforderungen bereits vollständig umgesetzt zu haben. Rund 36 Prozent befänden sich planmäßig in der Umsetzung, weitere knapp 18 Prozent berichteten von Verzögerungen.

Als besonders herausfordernd bewerteten die Unternehmen vor allem Nachweispflichten und Audits mit rund 26 Prozent der Nennungen, das Meldewesen mit rund 25 Prozent sowie Risikoanalyse und Risikomanagement mit rund 21 Prozent.

NIS-2 gilt es als Führungs-, Resilienz- und Risikomanagementthema zu verstehen

Plate sieht in der Registrierung nur den „Auftakt“: „Dass selbst Unternehmen aus einem securitynahen Umfeld den Registrierungsprozess teils als sehr kompliziert bewerten, zeigt, wie wichtig praxistaugliche Orientierung ist!“

Mit der Registrierung sei indes die eigentliche Arbeit noch nicht abgeschlossen.

Entscheidend sei jetzt, dass Unternehmen die regulatorischen Anforderungen in wirksame Prozesse übersetzen – klare Verantwortlichkeiten, belastbare Meldewege, dokumentierte Risiken und ein funktionierendes Lieferkettenmanagement. „NIS-2 darf nicht als reine Compliance-Aufgabe verstanden werden, sondern muss als Führungs-, Resilienz- und Risikomanagementthema im Unternehmensalltag ankommen!“, betont Plate.

Unterstützungsangebote müssen an der Praxis ansetzen

Das BSI habe im Juni 2026 eine Befragung zu Feedback und Bedarfen der Wirtschaft bei seinen NIS-2-Unterstützungsangeboten gestartet, darunter Betroffenheitsprüfung, Geschäftsleitungsschulung und Infopakete.

Aus eco-Sicht ist dieser Ansatz richtig: Unterstützungsangebote sollten vor allem dort ansetzen, wo in der Praxis die größten Reibungspunkte entstehen – bei Nachweisen, Meldewegen, Lieferkettenanforderungen, Betroffenheitsprüfung und der Verantwortung der Geschäftsleitung.

„Unternehmen brauchen keine abstrakten Pflichtenhefte, sondern klare Prioritäten und handhabbare Umsetzungshilfen!“, gibt Plate abschließend zu bedenken und prognostiziert: „Nur wenn NIS-2 im Unternehmensalltag funktioniert, kann daraus ein echter Resilienzgewinn für Wirtschaft und Gesellschaft entstehen.“

Zentrale Erkenntnisse:

• Zu enge bürokratische Auslegungen könnten die erfolgreiche NIS-2-Umsetzung gefährden.
• NIS-2 bedeutet für die betroffenen Unternehmen zunächst in jedem Fall vermehrten Aufwand.
• Erst wenn NIS-2 im betrieblichen Alltag zuverlässig funktioniert, kann der erhoffte „Resilienzgewinn“ nachhaltig eintreten.
• Behörden und betroffene Unternehmen sollten eng zusammenarbeiten und den Unterstützungsaspekt betonen.
• NIS-2 ist gekommen, um zu bleiben, so dass auch für diesen Teilaspekt der Datensicherheit die Klassifizierung als „Chefsache“ zu treffen ist.

Weitere Informationen zum Thema:

eco VERBAND DER INTERNETWIRTSCHAFT
Über uns: eco – Verband der Internetwirtschaft e.V. / Wir gestalten das Internet.

eco VERBAND DER INTERNETWIRTSCHAFT
KRITIS / KG-Leiter Ulrich Plate

datensicherheit.de, 06.08.2026
NIS-2-Compliance beweist sich erst in der Krise / Im Kontext der NIS-2-Konformität muss die Frage aufgeworfen werden, ob Notfallprozesse auch dann funktionieren, wenn E-Mail, Identitätsdienste und Kollaborationsplattformen gleichzeitig ausfallen

datensicherheit.de, 31.07.2026
NIS-2-Registrierungslücke als Symptom für ein größeres Problem / Die vielen noch ausstehenden NIS-2-Registrierungen sind laut ein Symptom für ein tieferliegendes Problem: „Cybersicherheit wird vielerorts noch immer nicht genug Priorität eingeräumt!“

datensicherheit.de, 25.07.2026
NIS-2: Unternehmen sollten DORA-Erfahrungen für sich nutzen / Erkenntnisse aus der DORA-Einführung zeigen auf, dass die größeren Hürden oft bei der Transparenz, der Nachweisfähigkeit und der organisatorischen Umsetzung liegen – und Cyberresilienz eben nicht allein durch technische Sicherheitsmaßnahmen entstehen kann