NIS2: Warum die EU-Cybersicherheitsrichtlinie erneut verschoben wurde – und was jetzt auf Unternehmen zukommt

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die Weiterentwicklung der 2016 in Kraft getretenen NIS-Richtlinie. Sie soll Cybersicherheit in Europa harmonisieren, kritische Infrastrukturen besser schützen und eine Meldepflicht bei Sicherheitsvorfällen einführen. Der geplante Umsetzungszeitpunkt in nationales Recht war der 17. Oktober 2024 – doch nun ist klar: Viele EU-Mitgliedstaaten, darunter auch Deutschland, sind deutlich im Verzug.

Status quo: Die Umsetzung wackelt – trotz klarer Fristen

Obwohl die EU den Mitgliedstaaten eine Frist bis Oktober 2024 gesetzt hat, zeigt ein aktueller Blick in den Gesetzgebungsprozess: Deutschland hat die nationale Umsetzung noch nicht finalisiert. Der Entwurf für das NIS2-Umsetzungsgesetz liegt zwar vor, doch es fehlt an konkreten Durchführungsregelungen, Ansprechstellen und Klarheit für betroffene Unternehmen.

Viele Unternehmen fragen sich: Gilt NIS2 nun schon – oder nicht?

Aktueller Stand (Mai 2025):
– Die EU-Richtlinie ist formell in Kraft, aber nationale Gesetze fehlen oder sind noch in der Diskussion.
– In Deutschland wird mit einer Umsetzung frühestens Mitte/Ende 2025 gerechnet.
– Unternehmen aus den Bereichen IT-Dienstleistungen, Energie, Gesundheit, Transport, Wasser, Verwaltung und Finanzsektor müssen sich dennoch jetzt vorbereiten.

Was erwartet Unternehmen konkret?

Auch wenn die Umsetzung auf sich warten lässt – NIS2 wird kommen. Und die Anforderungen sind deutlich strenger als bei der Vorgängerrichtlinie:

– Cybersicherheitsmaßnahmen nach dem Stand der Technik
– Risikobasierte Managementprozesse
– Meldepflichten innerhalb von 24 Stunden
– Haftung der Geschäftsleitung bei Verstößen
– Starke Bußgelder bei Nicht-Compliance (bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes)

Unsere Einschätzung: Was IT-Verantwortliche jetzt tun sollten

Auch wenn der gesetzliche Druck noch fehlt, raten wir von Bexta GmbH zu folgendem Vorgehen:
1. Gap-Analyse nach NIS2-Standards durchführen
2. Sicherheitskonzepte und Notfallhandbücher aktualisieren
3. Meldeprozesse und Incident Response etablieren
4. C-Level Management für Cybersicherheitsrisiken sensibilisieren
5. Kontinuierliches Monitoring und regelmäßige Audits planen

Unser Team berät individuell zu den praktischen Auswirkungen von NIS2 und hilft dabei, die IT-Sicherheit strukturiert und nachhaltig zu verbessern.

Fazit: Jetzt handeln – bevor es zu spät ist

Auch wenn NIS2 (noch) nicht durch nationales Recht verpflichtend ist: Die Richtlinie ist ein Weckruf für mehr Cyberresilienz. Wer heute vorbereitet ist, vermeidet morgen Bußgelder, Reputationsschäden und operative Ausfälle. Wir unterstützen Sie dabei – praxisnah, rechtskonform und zukunftssicher.

Jetzt kostenfreies Erstgespräch vereinbaren: [Contact us] – Wir helfen Unternehmen aus dem Mittelstand, NIS2 konform umzusetzen.