Am 31. Juli 2026 endet eine Frist, die für tausende Unternehmen in Deutschland weitreichende Folgen hat: Bis zu diesem Datum müssen sich „besonders wichtige Einrichtungen‘, „wichtige Einrichtungen‘ und Anbieter von Domain-Name-Registry-Diensten bei der gemeinsamen Registrierungsstelle von BSI und BBK registrieren. Wer es versäumt, riskiert Bußgelder von bis zu 10 Millionen Euro. Und die Registrierung ist nur der erste Schritt – die eigentliche Arbeit beginnt danach: die Umsetzung konkreter technischer und organisatorischer Sicherheitsmaßnahmen, wie sie das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) vorschreibt.
Zwei Bereiche stehen dabei besonders im Fokus, weil sie den größten Hebel gegen die häufigste Angriffsmethode bieten: E-Mail-Sicherheit und Mitarbeiter-Awareness.
Was am 31. Juli 2026 passiert – und wen es betrifft
Rund 29.500 Unternehmen aus 18 Sektoren fallen unter die NIS-2-Regulierung – vom Energieversorger über Krankenhäuser bis zu Zulieferern kritischer Infrastrukturen. Das Gesetz ist bereits seit Dezember 2025 in Kraft, ohne Übergangsfrist. Trotzdem hatten sich laut aktuellen Erhebungen bis April 2026 erst rund 50 Prozent der betroffenen Einrichtungen registriert. Der 31. Juli markiert nun die verbindliche Frist für die verbleibenden Unternehmen sowie für Domain-Name-Registry-Diensteanbieter.
Wer jetzt noch glaubt, NIS-2 sei „nur‘ eine Meldepflicht, unterschätzt den Umfang: Das Gesetz verlangt ein funktionierendes Risikomanagement für die Informationssicherheit – inklusive Vorfallerkennung, Business Continuity und eben auch Schulungen für Geschäftsleitung und Belegschaft.
Warum NIS-2 ausgerechnet bei E-Mail-Sicherheit ansetzt
Das BSI registriert laut seinem aktuellen Lagebericht im Schnitt 119 neue Schwachstellen pro Tag – ein Plus von 24 Prozent gegenüber dem Vorjahr. Zwar ist der Anteil klassischer E-Mail-Angriffe leicht rückläufig, weil Angreifer zunehmend auch auf Messenger und Social Media ausweichen. Die E-Mail bleibt aber weiterhin der Kanal, über den geschäftskritische Kommunikation läuft – und damit ein bevorzugtes Ziel für Typo-Squatting, Brand-Jacking, CEO-Fraud und Ransomware-Anhänge.
Genau hier setzt NIS-2 an: Artikel 21 der zugrunde liegenden EU-Richtlinie fordert von betroffenen Einrichtungen unter anderem Konzepte zur Risikoanalyse, Systeme zur Angriffserkennung, Verschlüsselung und ein funktionierendes Business-Continuity-Management. Für die tägliche Praxis bedeutet das: mehrstufiger Schutz vor Phishing, Malware und Betrugsversuchen in eingehenden E-Mails, Datenverlustprävention bei ausgehenden E-Mails, Verschlüsselung sensibler Kommunikation sowie ein Notfall-Postfach, falls das System doch einmal ausfällt.
Der Faktor Mensch: die meistunterschätzte NIS-2-Anforderung
Neben der Technik verlangt NIS-2 ausdrücklich auch Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen sowie Basis-Schulungen zur Cyberhygiene für Management und Mitarbeitende. Das ist kein Nice-to-have: Laut Bundesamt für Sicherheit in der Informationstechnik starten bis zu 9 von 10 erfolgreichen Cyberangriffen beim Menschen.
Der BSI-Lagebericht 2025 zeigt zugleich, wie groß die Lücke in der Praxis noch ist: 79 Prozent der Unternehmen schulen ihre Beschäftigten inzwischen regelmäßig zu IT-Sicherheitsfragen – aber nur 24 Prozent schulen wirklich alle Mitarbeitenden. 55 Prozent beschränken sich auf ausgewählte Positionen, und jedes fünfte Unternehmen (20 Prozent) verzichtet komplett auf Schulungen. Für NIS-2-pflichtige Unternehmen wird genau diese Lücke zum Compliance-Risiko.
Zwei Bausteine, ein Ziel: AWM Schutz & AWM Sensibilisierung
Mit unserem Portfolio decken wir exakt die beiden Ebenen ab, die NIS-2 verlangt – Technik und Kultur:
AWM Schutz bietet mehrstufigen Schutz gegen E-Mail-basierte Bedrohungen: KI-gestützte Bedrohungserkennung, Sandbox-Analyse für Anhänge und Links, Schutz vor Social-Engineering und Betrugsversuchen, Datenverlustprävention (DLP), DSGVO-konforme E-Mail-Verschlüsselung sowie ein Notfall-Postfach mit bis zu zehn Jahren manipulationsgeschützter Archivierung.
AWM Sensibilisierung macht die Mitarbeitenden zur zusätzlichen Verteidigungslinie: realistische Phishing-Simulationen, adaptive und auf aktuelle Bedrohungen zugeschnittene Schulungen sowie ein Dashboard, das den Fortschritt der Sicherheitskultur messbar macht – ein Nachweis, den Sie im Rahmen der NIS-2-Dokumentationspflichten direkt verwenden können.
Ihr Fahrplan bis zum 31. Juli 2026 – und danach
- Registrierung prüfen: Ist Ihr Unternehmen betroffen und bereits beim BSI registriert?
- E-Mail-Sicherheitsarchitektur auditieren: Deckt Ihr aktueller Schutz Phishing, Malware, Betrug und Datenverlust gleichermaßen ab?
- Awareness-Programm aufsetzen oder ausweiten: Schulen Sie wirklich alle Mitarbeitenden – oder nur ausgewählte Positionen?
- Nachweise dokumentieren: Können Sie den Erfolg Ihrer Maßnahmen mit Kennzahlen belegen?
Fazit
Der 31. Juli 2026 ist ein Stichtag, kein Endpunkt. NIS-2 verändert dauerhaft, wie Unternehmen in Deutschland mit E-Mail-Sicherheit und Mitarbeiterschulung umgehen müssen. Wer jetzt handelt, schützt nicht nur sich vor Bußgeldern, sondern schließt die Lücke, über die nach wie vor die meisten Cyberangriffe erfolgreich sind.
Sie möchten wissen, wo Ihr Unternehmen bei E-Mail-Sicherheit und Mitarbeiter-Awareness heute steht? Sprechen Sie mit uns – wir zeigen Ihnen in einem unverbindlichen Gespräch, wie AWM Schutz und AWM Sensibilisierung Ihre NIS-2-Umsetzung konkret unterstützen.
