82 Prozent der deutschen Sicherheitsverantwortlichen halten die EU-Cybersicherheitsrichtlinie NIS2 für nützlich oder notwendig. Doch mehr als die Hälfte hat noch nicht geklärt, ob die eigene Organisation überhaupt zur Registrierung verpflichtet ist – eine Lücke, die laut einer neuen Studie die Geschäftsführung persönlich haftbar machen kann.
Laut der Studie „NIS2 Reality Check 2026″, für die das Marktforschungsinstitut Cint im Auftrag von Everpure im Mai 2026 insgesamt 202 Chief Information Security Officers und IT-Sicherheitsverantwortliche aus NIS2-relevanten Branchen in Deutschland befragt hat, gibt es breite Zustimmung zur EU-Richtlinie NIS2 – bei Registrierungsprüfung, Log-Vorhaltung und Wiederanlauftests hinkt die Praxis jedoch hinterher, mit persönlicher Haftung für die Geschäftsführung als Risiko.. Die Studienautoren sprechen von einem „Akzeptanz-Paradoxon“ mit hoher strategische Zustimmung bei gleichzeitig unvollständiger technischer und organisatorischer Umsetzung.
Registrierungsstatus bei der Hälfte ungeklärt
Nach NIS2 müssen Organisationen, die kritische Dienste erbringen, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Die Frist wurde bis zum 31. Juli 2026 verlängert; bis Mai 2026 hatten laut Studie rund 18.500 von geschätzt 29.000 betroffenen Organisationen die Registrierung abgeschlossen.
72,3 Prozent der Befragten gaben an, kritische Dienste für Nutzer in der EU zu erbringen – ein zentrales Kriterium für die NIS2-Betroffenheit. Nur 47,0 Prozent hatten die Registrierungspflicht jedoch formal geprüft. Knapp 30 Prozent gaben an, die Prüfung stehe noch aus, und 23,8 Prozent konnten die Frage gar nicht beantworten – ein Hinweis auf die rechtliche Komplexität der NIS2-Einstufung über Sektoren und Lieferketten hinweg.
Governance-Lücken, persönliche Haftung
NIS2 verlagert die Verantwortung für das Cyber-Risikomanagement ausdrücklich auf die Leitungsebene. Nach Artikel 20 der Richtlinie muss das Leitungsorgan Risikomanagementmaßnahmen nicht nur genehmigen, sondern auch aktiv überwachen. Das deutsche Gesellschaftsrecht verschärft dies zusätzlich: Nach § 43 GmbHG haften Geschäftsführer bei Pflichtverletzungen persönlich mit ihrem Privatvermögen, und die Delegation an einen CISO entbindet davon nicht automatisch.
Dennoch gaben 50,5 Prozent der befragten Organisationen an, ohne klar geregelte interne Zuständigkeiten für die NIS2-Umsetzung zu arbeiten. Die Studie führt dies teils auf ein strukturelles Problem zurück: Die technische Umsetzung läuft in den Sicherheitsteams oft bereits, während die formale Rechenschaftspflicht auf Vorstandsebene noch nicht nachgezogen ist.
Erkennung und die 24-Stunden-Meldefrist
Die Meldepflichten nach Artikel 23 der NIS2-Richtlinie und § 32 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen) verlangen eine Frühwarnung innerhalb von 24 Stunden nach einem erheblichen Sicherheitsvorfall, eine Meldung mit Kompromittierungsindikatoren nach 72 Stunden sowie einen Abschlussbericht mit Ursachenanalyse nach einem Monat.
Diese Fristen einzuhalten setzt Transparenz über die IT-Infrastruktur voraus. Laut Studie haben 53,5 Prozent der Organisationen keine Security-Information-and-Event-Management-Lösung (SIEM) definiert. Auch bei den 94 Organisationen, die ein SIEM betreiben, reicht die Vorhaltedauer der Protokolldaten oft nicht für eine vollständige Vorfallsrekonstruktion: 35,1 Prozent löschen Logdaten innerhalb von 14 Tagen, weitere 28,7 Prozent nach spätestens 30 Tagen – knapp zwei Drittel verwerfen Logs also vor der Ein-Monats-Marke. Das BSI empfiehlt eine Vorhaltedauer von mindestens 90 Tagen; diesen Standard erfüllt laut Studie weniger als jede fünfte Organisation mit SIEM, bezogen auf alle Befragten sind es unter 5 Prozent.
Backup-Resilienz: Fortschritt mit Lücken
Bei der Business Continuity fiel das Bild gemischter aus. Eine Mehrheit von 66,8 Prozent schützt kritische Systeme mit unveränderlichen (immutable) Backups, die sich nachträglich nicht verändern oder löschen lassen – ein Schutz gegen Ransomware, die Primärsysteme und Backups gleichzeitig angreift. 33,2 Prozent verfügen jedoch über keinen solchen Schutz, und 37,6 Prozent haben noch nicht formal definiert, welche Anwendungen geschäftskritisch sind.
Bei Wiederanlauftests gaben 61,4 Prozent an, in den letzten zwölf Monaten eine Übung für geschäftskritische Anwendungen durchgeführt zu haben; davon dokumentierten 88,7 Prozent die Ergebnisse – Datenmenge, Wiederherstellungsdauer und -leistung. Kombiniert können jedoch nur rund 54,5 Prozent aller Befragten sowohl einen durchgeführten Test als auch dessen Dokumentation vorweisen – jene Kennzahl, nach der Prüfer am häufigsten fragen.
Kosten sind ein Faktor, aber kein Hindernis
Fast die Hälfte der Befragten (48,5 Prozent) bezeichnet die NIS2-Umsetzung als teuer, 33,2 Prozent als zeitaufwendig. Nur 12,4 Prozent erwarten negative Auswirkungen auf das laufende Geschäft. 49,0 Prozent investieren unabhängig von regulatorischen Pflichten in Cyber-Resilienz – ein Hinweis darauf, dass NIS2 eher bereits laufende Modernisierungspläne beschleunigt, als sie überhaupt erst auszulösen. Als größte Umsetzungsbarriere nannten die Befragten am häufigsten das IT-Budget (44,1 Prozent), gefolgt von rechtlicher Unsicherheit (43,6 Prozent) und fehlendem internem Know-how (23,8 Prozent).
„Da die Verantwortung für Cyber-Resilienz auf die Unternehmensleitung übergeht, wächst der Bedarf an echter Resilienz – statt Compliance nur als formale Pflichtübung abzuhaken“, sagte Markus Grau, Enterprise Architect EMEA bei Everpure. „Unsere Umfrage zeigt: Deutsche Unternehmen erkennen den Handlungsbedarf, werden bei der Umsetzung aber durch Kosten, Komplexität und mangelnde Klarheit gebremst.“
Ein Hinweis zur Quelle
Die Studie wurde von Everpure in Auftrag gegeben und veröffentlicht – einem Anbieter von Datenspeicher- und Backup-Technologie, zu dessen Portfolio genau jene Funktionen für unveränderliche Backups und Log-Vorhaltung zählen, die die Umfrage als Lücken identifiziert. Die Handlungsempfehlungen, darunter ein vom Anbieter durchgeführter „NIS2 Recoverability Check“-Workshop, sollten vor diesem kommerziellen Hintergrund eingeordnet werden. Die Datenerhebung erfolgte durch das unabhängige Marktforschungsinstitut Cint unter 202 Befragten; eine Aufschlüsselung nach Branche oder Unternehmensgröße liegt aufgrund der Stichprobengröße nicht vor, rundungsbedingte Abweichungen sind möglich.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de