NIS2-Umsetzung: Jetzt drohen Milliardenstrafen

FrankHH/Shutterstock.com

Der klammen Bundesregierung könnte ein unerwarteter Geldregen in Milliardenhöhe winken. Denn am 31.7. endete die Frist für die NIS2-Registrierung beim BSI. Und noch immer haben sich rund ein Drittel der Unternehmen nicht registriert.

Und das, obwohl die Registrierungsfrist bereits von Anfang März auf Ende Juli verlängert worden war. Doch nach BSI-Angaben haben sich lediglich 18.845 Stellen registriert. Bei der Verabschiedung des NIS2-Umsetzunggesetzes (NIS2UmsuCG) war man von 29.500 Betroffenen ausgegangen.

Hohe Strafen drohen

Das wäre Stand Ende Juli ein Saldo von 10.655. Sollten sich Regierung und BSI ausnahmsweise dazu entschließen, geltendes Recht durchzusetzen, dann könnten dem Bundeshaushalt Mehreinnahmen in Höhe von 5,3 Milliarden Euro winken. Denn das BSIG sieht allein für eine verspätete Meldung Bußgelder von bis zu 500.000 Euro vor. Schwerere Verstöße können auch mit bis zu zehn Millionen Euro sanktioniert werden.

Allerdings muss die unterlassene NIS2-Registrierung gar keine bösartige Absicht haben. Wie eine Untersuchung des eco zeigt, kämpfen viele Unternehmen immer noch mit der praktischen NIS2-Umsetzung.

Mehr Aufwand durch NIS2

Die Umfrage unter 38 Unternehmen aus dem Umfeld des eco-Verbands zeigt ein deutliches Bild: Kein einziges Unternehmen gab an, dass durch NIS2 kein zusätzlicher Aufwand entstanden sei. Im Gegenteil: Rund 15 Prozent der Befragten stufen die Belastung als sehr hoch ein, während jeweils 38 Prozent von einem hohen oder mittleren Mehraufwand berichten.

Schon der erste Schritt, die Registrierung beim BSI, erweist sich für viele als Stolperstein. Obwohl die befragten Unternehmen bereits eine hohe Affinität zu IT-Sicherheitsthemen aufweisen, bewertet über ein Drittel den Registrierungsprozess als sehr kompliziert. Nur etwa die Hälfte der Teilnehmer empfand den Vorgang als in Ordnung.

Komplizierte Registrierung 

Doch die Registrierung ist, wie Ulrich Plate, Leiter der Kompetenzgruppe KRITIS bei eco, betont, „nur der Auftakt“. Die eigentlichen Hürden liegen tiefer in den Prozessen verborgen:

• Nachweispflichten und Audits:

Mit 26 Prozent der Nennungen die größte Herausforderung.

• Meldewesen:

Die strengen 24- und 72-Stunden-Regelungen setzen rund 25 Prozent der Unternehmen unter Druck.

• Risikomanagement:

Die Analyse und Absicherung der eigenen Systeme sowie der Lieferketten wird von 21 Prozent als besonders schwierig eingestuft.  

So sind denn auch erst knapp 18 Prozent der teilnehmenden Unternehmen mit der vollständigen Umsetzung der NIS2-Anforderungen fertig. 36 Prozent befinden sich immerhin im Zeitplan. Jedoch meldet fast jedes fünfte Unternehmen bereits Verzögerungen.

Dementsprechend fällt man beim eco nach acht Monaten NIS2 ein gemischtes Fazit: Die Sensibilität für Cybersicherheit sei gestiegen, doch die bürokratische Last wiege schwer. Damit aus NIS-2 ein echter Gewinn für die gesellschaftliche Resilienz wird, braucht es laut Plate vor allem eines: klare Prioritäten statt abstrakter Pflichten.