Die Frist zur NIS2-Registrierung rückt näher, doch viele Unternehmen haben zentrale Fragen weiterhin nicht geklärt. Eine Umfrage des Datenplattform-Anbieters Everpure zeigt: Mehr als die Hälfte hat noch nicht geprüft oder weiß nicht, ob eine Registrierung erforderlich ist. Auch bei Zuständigkeiten, kritischen Anwendungen und sicheren Backups bestehen erhebliche Lücken.
Lücke zwischen Zustimmung und praktischer Umsetzung
Die verschärften Anforderungen der europäischen NIS2-Richtlinie setzen Unternehmen aus kritischen Branchen zunehmend unter Zeitdruck. Betroffen sind auch Betriebe aus Transport und Logistik. Sie müssen ihre Cyberrisiken systematisch bewerten, Sicherheitsvorfälle melden und ihre Widerstandsfähigkeit gegen digitale Angriffe verbessern. Eine von Everpure beauftragte Umfrage unter 202 deutschen IT-Sicherheitsverantwortlichen zeigt jedoch eine deutliche Lücke zwischen grundsätzlicher Zustimmung und praktischer Umsetzung. Zwar halten 82 Prozent der befragten Organisationen NIS2 für nützlich oder notwendig. Gleichzeitig hatten 53 Prozent noch nicht geprüft oder wussten nicht, ob sie sich registrieren müssen.
Registrierung beim BSI ist vielen noch unklar
Nach Angaben von Everpure müssen sich betroffene Unternehmen bis zum 31. Juli 2026 beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Bis Mai hatten demnach rund 18.500 von geschätzt 29.000 betroffenen Unternehmen den Prozess abgeschlossen. Damit fehlten wenige Monate vor Ablauf der genannten Frist noch zahlreiche Registrierungen. Die Befragung deutet zugleich darauf hin, dass ein Teil der Unternehmen seine eigene Betroffenheit noch nicht ausreichend bewertet hat. Gerade bei komplexen Unternehmensstrukturen kann das schwierig sein. Entscheidend sind unter anderem Branche, Größe, Tätigkeit und Bedeutung der erbrachten Dienste.
Kosten und fehlende Ressourcen bremsen die Umsetzung
Die Mehrheit der Befragten rechnet mit spürbaren Belastungen durch NIS2. Insgesamt 49 Prozent halten die Umsetzung für teuer, weitere 27 Prozent bewerten sie als ressourcenintensiv. 82 Prozent empfinden die Umsetzung grundsätzlich als Herausforderung. Nur fünf Prozent sehen überhaupt keine Hindernisse. Lediglich zwölf Prozent erwarten keine negativen Auswirkungen auf ihren laufenden Geschäftsbetrieb. Diese Unternehmen erfüllen die Anforderungen laut Everpure bereits weitgehend oder nutzen NIS2 als Rahmen für ohnehin geplante Sicherheitsmaßnahmen. Die Ergebnisse zeigen damit einen bekannten Zielkonflikt: Unternehmen sollen ihre Cyberresilienz deutlich erhöhen, müssen dafür aber Personal, Budgets und technische Ressourcen bereitstellen.
In jedem vierten Unternehmen fehlen klare Zuständigkeiten
Besonders kritisch ist die interne Organisation. Nach der Umfrage haben 26 Prozent der Unternehmen noch keine klaren Zuständigkeiten für die Umsetzung von NIS2 definiert. Noch größer ist die Lücke bei den geschäftskritischen Anwendungen. 38 Prozent haben bislang nicht festgelegt, welche Systeme und Anwendungen für den Fortbestand des Geschäftsbetriebs unverzichtbar sind. Für Logistikunternehmen kann das beispielsweise Transport-Management-Systeme, Lagerverwaltung, Tourenplanung, Telematik, Kundenportale oder digitale Frachtdokumente betreffen. Fallen solche Systeme aus, können Transporte, Umschlag und Kommunikation innerhalb kurzer Zeit zum Stillstand kommen.
Unveränderliche Back-ups fehlen bei jedem dritten Unternehmen
Auch bei Back-up und Wiederherstellung zeichnet die Untersuchung ein gemischtes Bild. 67 Prozent der Befragten verfügen über unveränderliche Back-ups. Diese lassen sich nach ihrer Erstellung nicht ohne Weiteres verändern oder löschen und sollen dadurch besser vor Ransomware schützen. Ein Drittel der Unternehmen nutzt diesen Schutz laut Studie jedoch nicht. Das kann im Ernstfall die Wiederherstellung erschweren, wenn Angreifer nicht nur operative Systeme, sondern auch Sicherungskopien verschlüsseln oder manipulieren. Everpure betont, dass Back-up-Systeme nicht mehr nur der Datensicherung dienen. Sie seien zunehmend Teil einer übergreifenden Strategie für Cybersicherheit und Geschäftskontinuität.
NIS2 ist Aufgabe der Geschäftsleitung
Mit NIS2 wird Cyberresilienz stärker zur Führungsaufgabe. Nach Darstellung von Everpure reicht es nicht aus, die Umsetzung allein an IT- oder Sicherheitsteams zu delegieren. Geschäftsleitung, IT-Sicherheit und Datenverantwortliche müssen gemeinsam festlegen, welche Prozesse besonders geschützt werden müssen, wer im Ernstfall entscheidet und wie schnell Systeme wiederhergestellt werden können. „Die Umfrageergebnisse zeigen, dass deutsche Unternehmen den Handlungsbedarf erkennen, in der Umsetzung jedoch durch Kosten, Komplexität und mangelnde Klarheit gebremst werden“, sagt Markus Grau, Enterprise Architect EMEA bei Everpure.
Einordnung für Transport- und Logistikunternehmen
Für Logistikunternehmen ist NIS2 mehr als eine formale Compliance-Aufgabe. Digitale Systeme steuern heute Touren, Fahrzeuge, Lager, Sendungsdaten und Kommunikation mit Kunden und Partnern. Ein Cyberangriff kann deshalb unmittelbar zu Betriebsunterbrechungen, Lieferverzögerungen und Vertragsproblemen führen. Der wichtigste erste Schritt ist nicht zwingend eine neue Sicherheits-Software. Unternehmen müssen zunächst klären, ob sie betroffen sind, wer intern verantwortlich ist und welche Anwendungen für den operativen Betrieb unverzichtbar sind. Erst auf dieser Grundlage lassen sich Schutzmaßnahmen, Notfallpläne und Wiederherstellungsziele sinnvoll priorisieren.
In Kürze: die Key Facts
- Studie: NIS2 Reality Check 2026
- Auftraggeber: Everpure
- Marktforschungsunternehmen: Cint
- Befragungszeitraum: Mai 2026
- Teilnehmer: 202 CISOs und IT-Sicherheitsverantwortliche in Deutschland
- Branchen: unter anderem Transport, Logistik, Energie, Gesundheit, Wasser, Verwaltung und digitale Infrastruktur
- Bewertung von NIS2: 82 Prozent halten die Vorgaben für nützlich oder notwendig
- Registrierung: 53 Prozent hatten noch nicht geprüft oder wussten nicht, ob sie sich registrieren müssen
- Umsetzungskosten: 49 Prozent halten die Umsetzung für teuer
- Ressourcenbedarf: 27 Prozent bewerten sie als ressourcenintensiv
- Fehlende Zuständigkeiten: 26 Prozent
- Nicht definierte kritische Anwendungen: 38 Prozent
- Unveränderliche Back-ups: 67 Prozent
- Ohne unveränderliche Back-ups: 33 Prozent
- Genannte Registrierungsfrist: 31. Juli 2026
- Betroffene Unternehmen in Deutschland: laut Unterlagen rund 29.000
