NIS-2-Umsetzung überfällig, uneinheitlich und mit begrenzter Wirkungsmächtigkeit

Der Beschluss des Deutschen Bundestages vom 13. November 2025 zur Umsetzung der EU-NIS-2-Richtlinie wird von vielen Kommentatoren begrüßt – aber kritische Anmerkungen bleiben dennoch nicht aus

[datensicherheit.de, 15.11.2025] Vielfach wird der Beschluss des Deutschen Bundestages vom 13. November 2025 zur Umsetzung der EU-NIS-2-Richtlinie grundsätzlich begrüßt. Auch Steve Bradford, „Senior Vice President EMEA“ bei SailPoint, sieht darin „einen entscheidenden Schritt für mehr Cybersicherheit und klare Rahmenbedingungen für Unternehmen“ – er moniert indes, dass die Umsetzung in Europa weiterhin uneinheitlich bleibt. Sebastian Gerlach, „Senior Director Policy / Public Sector Enablement EMEA“ bei Palo Alto Networks, erläutert in seinem Kommentar, was die Umsetzung der NIS-2-Richtlinie in nationales Recht nun für Unternehmen bedeutet, wieso NIS-2 nicht die Lösung für alles sein kann und wie die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) fortan einzuordnen ist.

Foto: SailPoint

Steve Bradford betont: Europa darf sich nicht auf seinen bisherigen Erfolgen ausruhen!

Zuwachs an Rechtssicherheit: EU-NIS-2-Richtlinie endlich in nationales deutsches Gesetz überführt

„Damit wird die EU-NIS-2-Richtlinie endlich in nationales Gesetz überführt und sorgt für mehr Rechtssicherheit sowie verbindliche Fristen für deutsche Unternehmen“, unterstreicht Bradford. Trotz dieses Fortschritts bleibe aber die Umsetzung in Europa weiterhin uneinheitlich – mit Deutschland haben demnach nun erst 16 von 27 EU-Mitgliedstaaten die Vorgaben vollständig umgesetzt.

• „Das zeigt: Europa darf sich nicht auf seinen bisherigen Erfolgen ausruhen! ,Compliance’ muss eine kontinuierliche, strategische Priorität bleiben, denn die Bedrohungslage entwickelt sich stetig weiter.“

Vor allem KI-gesteuerte Angriffe verschärften die Risiken, insbesondere für Unternehmen mit veralteten Systemen und komplexen Lieferketten. 2024 seien Insider-Bedrohungen für fast die Hälfte aller Sicherheitsvorfälle in der Region „Europa, Naher Osten und Afrika“ (EMEA) verantwortlich gewesen. „Die in diesem Jahr aktualisierten technischen Leitlinien der NIS-2 zum Identitäts- und Zugriffsmanagement verdeutlichen, wie sehr Unternehmen zunehmend ausgeklügelten Angriffsmethoden ausgesetzt sind“, so Bradford.

Empfehlung: KI-gestützte Identitätssicherheitsplattformen

Diese Entwicklung werde auch durch den unlängst veröffentlichten Lagebericht des BSI bestätigt: „Mit einem Rekordschaden von 202 Milliarden Euro durch Cyberangriffe zählt Deutschland zu den Top-Zielen von Cyberkriminellen. Die Zahlen machen deutlich, dass Unternehmen Cybersicherheit als Kernaufgabe begreifen müssen.“

• Dennoch setzten viele Organisationen weiterhin auf manuelle Prozesse und riskierten dadurch gefährliche Sicherheitslücken. Bradford stellt klar: „Die Modernisierung der Zugriffskontrollen ist daher unerlässlich!“

KI-gestützte Identitätssicherheitsplattformen böten Echtzeit-Transparenz und eine zentrale, prüfbare Datenquelle – und machten „Compliance“ zu einem strategischen Vorteil. Mit der Verabschiedung des NIS-2-Gesetzes und den aktuellen Erkenntnissen aus dem BSI-Lagebericht sei jetzt der richtige Zeitpunkt, die eigenen Schutzmaßnahmen zu überprüfen, Schwachstellen zu schließen und neuen Bedrohungen einen Schritt voraus zu sein.

Etliche potenzielle Opfer Cyberkrimineller fallen eben nicht unter NIS-2

Auch Gerlach sieht in der Verabschiedung des NIS-2-Umsetzungsgesetzes im Bundestag für den Schutz der Kritischen Infrastruktur (KRITIS) in Deutschland einen „enorm wichtiger Schritt“. Dennoch moniert er: Die Bundesregierung habe „wertvolle Zeit verstreichen lassen“ – und er warnt grundsätzlich: „Cyberangreifer warten nicht auf gesetzliche Vorgaben!“ Es sei indes gut zu sehen, dass jetzt auch alle nachgeordneten Bundesbehörden in den Anwendungsbereich des NIS-2-Umsetzungsgesetzes kämen.

• Der aktuelle BSI-Lagebericht zeige aber, dass viele Organisationen, welche besonders im Visier von Angreifern sind, weder unter NIS-2 fielen noch sich ihrer Attraktivität als Ziel bewusst seien. „Politische Institutionen wie Parteien, Kommunen und mittelständische Unternehmen geraten zunehmend ins Fadenkreuz von Cyberkriminellen“, berichtet Gerlach.

Während NIS-2 über 30.000 Unternehmen zu höheren Standards verpflichte, bleibe eine gefährliche Lücke: „Zwischen regulatorischen Mindestanforderungen und tatsächlichem Schutz klafft ein Abgrund!“

NIS-2-Umsetzung stärkt zumindest Handlungsfähigkeit Deutschlands im Bereich der Cybersicherheit

Angreifer interessierten sich nicht für „Compliance“-Deadlines: „Sie suchen Schwachstellen und finden sie dort, wo Unternehmen Sicherheit als Pflichtübung statt als strategische Priorität betrachten!“ Daher sei das Secure-by-Design-Konzept unverzichtbar, „bei der Sicherheit von Anfang an in alle Prozess- und Systemarchitekturen integriert wird“.

• Aus Sicht von Palo Alto Networks ist die Ansiedlung des Bundes-CISO beim BSI ein sinnvoller Schritt. Damit werde die strategische Verantwortung für Cybersicherheit auf Bundesebene dort verankert, wo das tiefgehende technische Fachwissen und die operative Erfahrung bereits vorhanden seien.

Diese Entscheidung stärke die Handlungsfähigkeit Deutschlands im Bereich der Cybersicherheit und fördere eine enge Verzahnung von Strategie, Regulierung und technischer Umsetzung – „ein wichtiger Schritt, um die Resilienz staatlicher Behörden gegenüber Cyberbedrohungen nachhaltig zu erhöhen“, betont Gerlach abschließend.

Weitere Informationen zum Thema:

SailPoint
Das Herzstück der Unternehmenssicherheit ist die Identität / Eine einheitliche Identitätssicherheitsplattform zur Verwaltung und zum Schutz aller Unternehmensidentitäten

SailPoint
WARUM WIR? / Das Führungsteam von SailPoint

paloalto NETWORKS
Get to know: Sebastian Gerlach / Senior director, EMEA policy, Palo Alto Networks

paloalto NETWORKS
Blog

Deutscher Bundestag, 13.11.2025
Inneres / Gesetz zur Informations­sicherheit in der Bundes­verwaltung beschlossen

Bundesamt für Sicherheit in der Informationstechnik
Die Lage der IT-Sicherheit in Deutschland 2025 / Berichtszeitraum: 01.07.2024 – 30.06.2025 / Einleitung

Bundesamt für Sicherheit in der Informationstechnik
Die Lage der IT-Sicherheit in Deutschland 2025 / Berichtszeitraum: 01.07.2024 – 30.06.2025 / 05 Resilienz

datensicherheit.de, 15.11.2025
NIS-2-Herausforderung: Deutscher Mittelstand im Spannungsfeld zwischen Eigenwahrnehmung und Bedrohungslage / Einerseits bewerten Unternehmen ihren eigenen IT-Sicherheits-Reifegrad als „hoch“, sind jedoch einer hohen Zahl schwerwiegender Vorfälle ausgesetzt

datensicherheit.de, 13.11.2025
NIS-2-Umsetzung im Bundestag beschlossen /Ambivalente Einschätzung des Digitalverbands Bitkom zur NIS-2-Umsetzung – Rechtssicherheit für Unternehmen erhofft, Neuregelungen für den Einsatz sogenannter Kritischer Komponenten könnten aber Investitionsentscheidungen negativ beeinflussen

datensicherheit.de, 13.11.2025
NIS-2 in Deutschland: Später Start erfordert nun Vertrauen und Klarheit zu schaffen / Die Umsetzung der NIS-2-Richtlinie steht unmittelbar auf der Agenda – die neuen Vorgaben sollen ohne Übergangsfrist gelten

datensicherheit.de, 18.10.2025
Umsetzung der NIS-2-Richtlinie: Verschleppung der Cybersicherheitsreform kritisiert / Die EU war lange Vorreiter bei Cybersicherheitsgesetzen – doch NIS-2 gilt als Richtlinie und nicht als direkt geltende Verordnung, wodurch ein „Flickenteppich“ nationaler Lösungen droht

datensicherheit.de, 16.10.2025
NIS-2: Genug Vorlauf – eco fordert nun Präzision / Der eco begrüßt sehr wohl die intensive politische Diskussion um die NIS-2-Richtlinie, betont aber, dass es nun an der Zeit ist, Rechtssicherheit zu schaffen

datensicherheit.de, 13.09.2025
Bitkom betont herausragende Bedeutung des KRITIS-Dachgesetzes für Deutschland / Die Umsetzungsfrist für das „KRITIS-Dachgesetz“ ist bereits am 18. Oktober 2024 verstrichen – gegen Deutschland läuft bereits ein „Vertragsverletzungsverfahren“ der EU-Kommission

datensicherheit.de, 01.08.2025
DSGVO und NIS-2 können und sollten Hand in Hand gehen / Wer sich bereits datenschutzkonform gemäß DSGVO aufgestellt hat, dem fällt auch die Cyberresilienz im NIS-2-Kontext leichter

datensicherheit.de, 01.08.2025
NIS-2-Regierungsentwurf: Claudia Plattner würdigt großen Schritt auf dem Weg zur Cybernation / Mit dem am 30. Juli 2025 vorgelegten Regierungsentwurf des Gesetzes zur Umsetzung der NIS-2-Richtlinie soll das deutsche IT-Sicherheitsrecht umfassend modernisiert werden