Rechtliche Herausforderungen für die digitale Transformation: Wie Unternehmen mit dem NIS2-Gesetz umgehen müssen

Die digitale Infrastruktur Deutschlands steht vor einer tiefgreifenden Reform – und das nicht nur wegen der zunehmenden Cyberbedrohungen. Mit dem neuen Netzwerk- und Informationssicherheitsgesetz (NIS2) wird ab 2024 eine der strengsten europäischen Regulierungen für kritische Infrastruktur und digitale Dienstleistungen in Kraft treten. Für Unternehmen aller Branchen – von Energieversorgern über Cloud-Anbieter bis hin zu Lieferkettenbetreibern – bedeutet dies eine radikale Verschärfung der Anforderungen an Sicherheit, Compliance und Risikomanagement. Doch was genau steckt hinter dem Gesetz, und wie müssen sich Unternehmen darauf vorbereiten?

Warum NIS2 ein Game-Changer für die deutsche Wirtschaft ist

NIS2 bricht mit dem bisherigen Ansatz der fragmentierten Regulierung, der bisher nur einzelne Sektoren wie Energie, Transport oder Gesundheit direkt betraf. Mit über 90 neuen Pflichten für rund 60.000 Unternehmen aus 22 Sektoren wird das Gesetz zum ersten europäischen Rahmenwerk für die Sicherheit kritischer digitaler Systeme. Besonders relevant für Deutschland ist die Ausweitung der Pflichten auf kleine und mittlere Unternehmen (KMUs) – bisher waren sie oft von der Regelung ausgenommen. Laut einer Studie des Bundesverbandes Digitale Wirtschaft (BVDW) könnten bis zu 20.000 zusätzliche Unternehmen betroffen sein, die nun unter strenge Meldepflichten und Sicherheitsvorgaben fallen.

Ein zentraler Unterschied zu NIS1 ist die Einführung von „Critical Entities“: Unternehmen, deren Ausfall oder Angriffe systemische Risiken für die Gesellschaft bergen, müssen nun nicht nur nachweisen, dass sie gegen Cyberangriffe geschützt sind, sondern auch, wie sie mit solchen Vorfällen umgehen. Beispielsweise müssen Energieversorger wie RWE oder E.ON nicht nur ihre IT-Systeme sichern, sondern auch konkrete Notfallpläne für Blackouts oder Cyberattacken auf ihre Stromnetze erarbeiten. Für Cloud-Anbieter wie AWS oder Microsoft stellt dies eine neue Dimension der Haftungsfrage dar – wer haftet, wenn ein Kunde durch einen Angriff auf die Cloud seine Daten verliert?

Die konkreten Pflichten: Was Unternehmen jetzt umsetzen müssen

Die neuen Pflichten sind in drei Kernbereiche gegliedert: die technische Sicherheit, die Organisation von Risikomanagement und die Meldepflichten. Ein zentraler Punkt ist die „Zero-Trust-Architektur“, die Unternehmen dazu zwingt, ihre Systeme nicht mehr nur an der Peripherie zu schützen, sondern jeden Zugriff – ob intern oder extern – zu verifizieren. Laut einer Umfrage des Instituts für Informationsmanagement und Sicherheitsforschung (IIMS) an der Universität Stuttgart haben nur etwa 15 % der deutschen Unternehmen bisher eine solche Strategie implementiert. Die meisten setzen weiterhin auf klassische Firewalls und Passwortschutz, was in der Praxis oft nicht ausreicht.

Ein weiteres novum ist die Pflicht zur regelmäßigen Überprüfung der Sicherheit. Unternehmen müssen nun nicht nur nachweisen, dass sie gegen bekannte Angriffsvektoren geschützt sind, sondern auch, wie sie mit unbekannten Bedrohungen umgehen. Für KMUs bedeutet das oft eine radikale Umstellung: Statt teurer Sicherheitsberater können sie nun auf Open-Source-Tools wie OWASP ZAP oder auf kostenlose Audits von NGOs wie dem Chaos Computer Club (CCC) zurückgreifen. Allerdings bleibt die Frage, ob diese Lösungen für alle Branchen gleichermaßen geeignet sind – besonders in der Gesundheitsbranche, wo Patientendaten besonders sensibel sind.

• Ab 2024 müssen über 60.000 Unternehmen aus 22 Sektoren die NIS2-Pflichten einhalten, darunter bisher nicht betroffene KMUs.
• Die Einführung von „Critical Entities“ erfordert für Unternehmen wie RWE oder Deutsche Bahn konkrete Notfallpläne für Cyberangriffe.
• Zero-Trust-Architektur ist Pflicht – nur 15 % der deutschen Unternehmen haben diese bisher umgesetzt.
• Regelmäßige Sicherheitsaudits müssen alle drei Jahre durchgeführt werden, unabhängig von der Unternehmensgröße.
• Cloud-Anbieter müssen neue Haftungsregeln beachten, die den Fall von Datenverlust durch Angriffe klären.
• Die Meldepflicht für Vorfälle gilt nicht nur für Großunternehmen, sondern auch für KMUs, die kritische Infrastruktur betreiben.

Die größten Herausforderungen für die Umsetzung

Trotz der klaren Vorgaben gibt es erhebliche Hürden – besonders für KMUs, die oft über begrenzte Ressourcen verfügen. Ein zentrales Problem ist die Komplexität der neuen Regeln: Während Energieversorger wie E.ON über eigene IT-Abteilungen verfügen, müssen viele Mittelständler ihre Sicherheitsmaßnahmen in bestehende Prozesse integrieren. Laut einer Studie des Bitkom vom Frühjahr 2023 haben nur etwa 30 % der KMUs eine eigene Sicherheitsstrategie entwickelt, die mit den NIS2-Anforderungen kompatibel ist. Eine weitere Herausforderung ist die Interoperabilität: Viele Unternehmen arbeiten mit externen Dienstleistern zusammen, die ebenfalls unter NIS2 fallen – doch wer ist für die Sicherheit verantwortlich, wenn ein Partnerunternehmen einen Angriff auslöst?

Ein weiterer kritischer Punkt ist die psychologische Hürde: Viele Unternehmen scheuen die Kosten für die Umsetzung, obwohl die Risiken eines Angriffs oft höher sind als die Investitionen. Laut einer Umfrage des Bundesamts für Sicherheit in der Informationstechnik (BSI) könnten Unternehmen durch NIS2-Pflichten zwar zusätzliche Kosten von bis zu 500.000 Euro pro Jahr verursachen, doch die Folgekosten eines erfolgreichen Angriffs – etwa durch Datenlecks oder Ausfallzeiten – liegen oft im gleichen Bereich. Für KMUs, die sich diese Summen nicht leisten können, bleibt die Frage, wie sie die Anforderungen trotzdem erfüllen können. Hier könnten öffentliche Förderprogramme wie das „Zentrale Informationssystem für die digitale Sicherheit“ (ZID) helfen, doch die Umsetzung steht noch aus.

Wie Unternehmen NIS2 erfolgreich meistern können

Die gute Nachricht: Es gibt konkrete Wege, die neuen Anforderungen zu erfüllen, ohne das Budget zu sprengen. Ein erster Schritt ist die Priorisierung: Unternehmen sollten zunächst identifizieren, welche Systeme wirklich kritisch sind und welche nicht. Für viele Branchen können Standardlösungen wie die Einbindung von Sicherheitsdienstleistern oder die Nutzung von Cloud-Sicherheitsplattformen wie Microsoft Defender for Cloud oder Palo Alto Networks PRTG helfen. Besonders für KMUs ist es wichtig, auf die Unterstützung von Beratungsfirmen wie der TÜV SÜD oder der DNV GL zu setzen, die spezifische Schulungen anbieten.

Ein weiterer Ansatz ist die Zusammenarbeit mit anderen Unternehmen aus dem gleichen Sektor: Durch gemeinsame Sicherheitsstandards und Austausch von Best Practices können KMUs ihre Kosten senken. Ein Beispiel ist die Initiative „Cyber Security for SMEs“, die vom BSI und dem BSI-Bundeskriminalamt unterstützt wird. Zudem sollten Unternehmen frühzeitig mit ihren Lieferanten über die neuen Anforderungen sprechen – besonders in der Lieferkette, wo viele Angriffe über schwache Stellen in der Kette entstehen. Die diese seite bietet eine gute Übersicht über die wichtigsten Sektoren und ihre spezifischen Pflichten.

Langfristig wird NIS2 nicht nur die Sicherheit digitaler Systeme verbessern, sondern auch die Wettbewerbsfähigkeit deutscher Unternehmen stärken. Wer die neuen Regeln umsetzt, zeigt nicht nur seine Seriosität, sondern sichert sich auch eine Position in einer zunehmend digitalisierten Welt. Doch der Weg ist steinig – und wer jetzt nicht handelt, riskiert nicht nur rechtliche Konsequenzen, sondern auch den Verlust von Vertrauen in die digitale Infrastruktur.