Ende Juli sah es nach einer der größten Compliance-Lücken der letzten Jahre aus. Rund 29.850 Unternehmen sollten sich nach der NIS2-Umsetzung beim BSI registrieren. Gemeldet hatten sich bis Juli 2026 genau 19.058. Zehntausend fehlten. Das ist eine Zahl, bei der man in Zeitungen von Versagen liest.
Im August folgte die Auflösung. Die Bundesregierung erklärte, die ursprüngliche Schätzung habe auf veralteten Daten beruht. Eine echte Lücke gebe es nicht. Damit ist eine Debatte beendet und eine andere eröffnet, denn parallel ist etwas passiert, das deutlich mehr Aufmerksamkeit verdient hätte.
Eine Fristenstreichung im Schatten eines fremden Gesetzes
Änderungen am KRITIS-Dachgesetz wurden über ein sachfremdes Gesetzgebungsverfahren eingebracht. Zwei Punkte fallen dabei auf. Erstens wurde die Registrierungspflicht zum 17. Juli 2026 ersatzlos gestrichen, was mit europäischen Vorgaben möglicherweise nicht vereinbar ist. Zweitens verschiebt sich die Frist für Musterlösungen und Hilfestellungen von Januar 2026 auf acht Monate nach Erlass der zugehörigen Verordnung, nach heutiger Einschätzung also auf etwa Mitte 2027.
Das Verfahren steht in der Kritik, und zwar aus zwei Richtungen. Wer Transparenz im Gesetzgebungsprozess erwartet, stört sich am Weg. Wer für Cybersicherheit zuständig ist, stört sich am Ergebnis.
Eine gestrichene Registrierungsfrist ist keine Entwarnung. Sie ist eine offene Baustelle mit abgeräumtem Bauzaun.
Was sich durch die Streichung nicht ändert
Hier liegt das eigentliche Missverständnis, das gerade in vielen Betrieben entsteht. Die NIS2-Richtlinie ist seit der Novellierung des BSI-Gesetzes im Dezember 2025 geltendes Recht in Deutschland. Betroffene Unternehmen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden und angemessene Risikomanagementmaßnahmen umsetzen. Eine verschobene oder gestrichene Einzelfrist hebt diese Pflichten nicht auf.
Der Vergleich, der uns dazu am häufigsten einfällt: Wenn die Behörde die Frist für die Anmeldung eines Fahrzeugs streicht, heißt das nicht, dass die Bremsen jetzt optional sind.
Bin ich überhaupt betroffen?
Diese Frage beantworten viele Unternehmen zu schnell mit Nein. NIS2 erfasst deutlich mehr Sektoren als die alte KRITIS-Regulierung, und die Schwellen liegen niedriger, als der Begriff kritische Infrastruktur vermuten lässt. Maßgeblich sind im Kern drei Dinge: der Sektor, die Unternehmensgröße und die Frage, ob man als wesentliche oder als wichtige Einrichtung eingestuft wird.
Zusätzlich gibt es einen Weg in die Betroffenheit, den kaum jemand auf dem Schirm hat. Wer selbst nicht direkt erfasst ist, aber ein betroffenes Unternehmen beliefert, bekommt dessen Anforderungen über die Lieferkette gereicht. In Verträgen, in Audits, in Fragebögen. Diese Unternehmen erfüllen NIS2 dann faktisch, ohne je einen Bescheid bekommen zu haben.
Die Maßnahmen sind konkreter, als sie klingen
Der Begriff angemessene Risikomanagementmaßnahmen klingt nach Gummiparagraf. In der Umsetzung landet man aber sehr schnell bei einer überschaubaren Liste von Themen, die sich benennen und abarbeiten lassen.
- Risikoanalyse und eine Sicherheitsleitlinie, die nicht nur existiert, sondern gelebt wird
- Verfahren zur Bewältigung von Sicherheitsvorfällen mit klaren Zuständigkeiten
- Backup-Konzept, Notfallwiederherstellung und Krisenmanagement
- Sicherheit in der Lieferkette, also die Bewertung der eigenen Dienstleister
- Konzepte für Zugriffskontrolle, Multi-Faktor-Authentifizierung und Verschlüsselung
- Schulungen und Nachweise, dass sie stattgefunden haben
Wer diese Liste liest und den Eindruck hat, sie schon einmal gesehen zu haben, liegt richtig. Sie deckt sich in weiten Teilen mit dem, was ein Informationssicherheits-Managementsystem nach ISO 27001 ohnehin verlangt. Das ist der Grund, warum viele Unternehmen den Weg über die Norm gehen, auch ohne Zertifizierungsabsicht.
Wo es in der Praxis scheitert
Nach unserer Erfahrung scheitert NIS2 selten an der Technik. Es scheitert am Nachweis. Die Maßnahmen sind oft vorhanden, aber sie leben in Köpfen, in E-Mail-Verläufen und in Ordnerstrukturen, die drei Kollegen unterschiedlich benennen. Wenn dann ein Kunde einen Nachweis verlangt oder eine Behörde nachfragt, beginnt eine Suchaktion.
Genau an diesem Punkt entstehen digitale Managementsysteme. Nicht weil Word und Excel schlechte Werkzeuge wären, sondern weil sie keine Struktur erzwingen. Ein Dokument, das an drei Stellen in vier Ständen liegt, ist im Audit nicht ein Dokument, sondern ein Problem. Wie das aussieht, wenn man es strukturiert, zeigen wir am Beispiel von Verinorm Cloud.
Der Punkt, der Geschäftsführungen betrifft
Ein Aspekt von NIS2 wird in technischen Diskussionen fast immer übersprungen und ist doch derjenige, der Entscheidungen auslöst. Die Richtlinie nimmt die Leitungsebene ausdrücklich in die Pflicht. Informationssicherheit ist damit keine Aufgabe, die man vollständig in die IT delegieren kann, sondern eine, die auf Geschäftsführungsebene verantwortet wird.
Das verändert Gespräche, die vorher im Kreis liefen. Die IT bittet seit Jahren um Budget für Segmentierung, Protokollierung oder Notfallübungen und bekommt es nicht, weil das Thema abstrakt bleibt. Sobald die Verantwortung benannt ist, wird aus einer technischen Bitte eine unternehmerische Frage. Unsere Erfahrung ist, dass Projekte danach nicht plötzlich billiger werden, aber deutlich schneller entschieden.
Was jetzt sinnvoll ist
- Betroffenheit sauber prüfen und das Ergebnis dokumentieren, auch wenn es Nein lautet. Diese Notiz ist im Zweifel Gold wert.
- Kunden und Lieferanten anschauen: Reicht jemand Anforderungen an Sie durch, oder werden Sie das bald tun?
- Den Nachweisweg klären, bevor die Maßnahmen weiter wachsen. Wer erst hundert Dokumente hat und dann Struktur sucht, zahlt doppelt.
- Die Entwicklung beim KRITIS-Dachgesetz verfolgen. Was über ein fremdes Verfahren gestrichen wurde, kann über ein weiteres zurückkommen.
