Leipzig. Nach dem Inkrafttreten des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes zeigt eine aktuelle Untersuchung von DATA REVERSE deutlich, dass viele deutsche Unternehmen in der NIS-2-Umsetzung in Unternehmen versagen. Mehr als die Hälfte der befragten Firmen hat ihre Betroffenheit durch das Gesetz noch nicht geprüft, obwohl keine Übergangsfristen bestehen und erstmals eine persönliche Haftung der Geschäftsleitung greift.
Unternehmen unterschätzen Risiken!
Die Untersuchung, die im Oktober 2025 auf der IT-SA durchgeführt wurde, befragte 245 IT-Verantwortliche zu ihrem Umsetzungsstand hinsichtlich der NIS-2-Vorgaben. Es zeigt sich, dass viele Unternehmen die gesetzlichen Anforderungen und damit verbundenen Risiken stark unterschätzen. Eine der zentralen Anforderungen der NIS-2-Richtlinie ist die regelmäßige Überprüfung von Wiederherstellungsprozessen, doch viele Unternehmen erfüllen diese Pflicht nicht.
Laut der Studie geben 53 Prozent der Befragten an, ihre NIS-2-Betroffenheit nicht geprüft zu haben. Nur 22 Prozent halten sich für klar betroffen, während 25 Prozent unsicher sind. Obwohl 71 Prozent der Unternehmen glauben, gut vorbereitet zu sein, können sie oft keine entsprechenden Nachweise erbringen. Auch die regelmäßige Durchführung von Wiederherstellungstests bleibt mit nur 33 Prozent der Unternehmen hinter den Erwartungen zurück, und lediglich 4 Prozent der Firmen haben einen externen Datenrettungskontakt im Notfallplan verankert.
Breiter Geltungsbereich der NIS-2-Richtlinie
Die NIS-2-Richtlinie betrifft eine Vielzahl von Unternehmen, darunter solche aus den Bereichen Energie, Transport, Lebensmittel- und Gesundheitswesen, verarbeitende Industrie, IT-Dienstleistungen und digitale Dienste. Unternehmen, die mehr als 50 Mitarbeitende beschäftigen oder einen Jahresumsatz von über 10 Millionen Euro erzielen, müssen alle NIS-2-Maßnahmen umsetzen. Dies bedeutet, dass viele Firmen ohne eine entsprechende Vorbereitung unter Druck stehen.
„Viele Unternehmen überschätzen ihren tatsächlichen Umsetzungsstand“, sagt Jan Bindig, Geschäftsführer von DATA REVERSE. „Besonders im Bereich der Wiederherstellungsfähigkeit bestehen gravierende Defizite. Testbare Recovery-Prozesse sind jedoch ein zentrales Element der NIS-2-Pflichten und müssen schnell nachgearbeitet werden.“
Bindig hebt auch den Zeitdruck hervor: „Die fehlenden Übergangsfristen verschärfen die Lage zusätzlich. Unternehmen müssen kurzfristig nachweisen können, dass ihre Notfallprozesse funktionieren.“
Welche Bedeutung das für die Region hat, zeigt der folgende Abschnitt.
Im Kontext der Region Leipzig und darüber hinaus ist die NIS-2-Umsetzung in Unternehmen eine wichtige Herausforderung. Die Weichen hierfür sollten schnell gestellt werden, da die gesetzlich geforderten Maßnahmen für die Cybersicherheit eine zentrale Rolle spielen, um Unternehmen vor potenziellen Datenverlusten und Sicherheitsvorfällen zu schützen. Aus der Studie geht hervor, dass unausgereifte Notfallprozesse ernsthafte rechtliche Konsequenzen für die verantwortlichen Geschäftsleiter nach sich ziehen können.
Die Ergebnisse der Untersuchung verdeutlichen die Notwendigkeit für Unternehmen, ihre Sicherheitsvorkehrungen zu überprüfen und gegebenenfalls anzupassen. Die NIS-2-Umsetzung in Unternehmen ist nicht nur eine gesetzliche Pflicht, sondern auch eine essentielle Maßnahme, um die Integrität und Verfügbarkeit von Unternehmensdaten langfristig zu sichern.
