Für rund 29.500 Unternehmen in Deutschland wird der 31. Juli 2026 zu einem entscheidenden Stichtag. Bis zu diesem Datum gewährt das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine letzte Nachfrist zur Registrierung nach dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG). Wer die Registrierung bis dahin nicht nachgeholt hat, riskiert Bußgelder und persönliche Haftung der Geschäftsleitung. Für viele Unternehmen bedeutet die Registrierung zudem erst den Anfang: Anschließend müssen die geforderten Risikomanagementmaßnahmen tatsächlich umgesetzt werden – und dabei spielt der Faktor Mensch eine zentrale Rolle.
Was ist die NIS-2-Richtlinie und wen betrifft sie?
Die europäische NIS-2-Richtlinie wurde mit dem NIS2UmsuCG am 6. Dezember 2025 in deutsches Recht überführt. Sie verschärft die Anforderungen an die Cybersicherheit deutlich gegenüber der Vorgängerregelung und erweitert den Kreis der betroffenen Organisationen erheblich. Betroffen sind unter anderem Unternehmen mit folgenden Merkmalen:
- Ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz
- Tätigkeit in einem von 18 als kritisch eingestuften Sektoren, etwa Energie, Gesundheit, Transport, Finanzwesen, digitale Infrastruktur oder verarbeitendes Gewerbe
- Einstufung durch das BSI als „besonders wichtige“ oder „wichtige“ Einrichtung mit jeweils leicht unterschiedlichen Pflichten
31. Juli 2026: Die letzte Frist für die BSI-Registrierung
Ursprünglich sollte die Registrierung im BSI-Meldeportal bis zum 6. März 2026 abgeschlossen sein. Da bis zu diesem Termin jedoch nur ein Bruchteil der betroffenen Unternehmen registriert war, räumt das BSI eine Nachfrist bis zum 31. Juli 2026 ein, innerhalb derer zunächst auf unmittelbare Maßnahmen verzichtet wird. An der gesetzlichen Pflicht selbst ändert sich dadurch nichts – es handelt sich um eine Frage des behördlichen Ermessens, nicht um eine offizielle Fristverlängerung. Unternehmen, die sich noch nicht registriert haben, sollten dies daher zeitnah nachholen.
Bußgelder und persönliche Haftung der Geschäftsleitung
Verstöße gegen die NIS-2-Vorgaben können teuer werden. Für besonders wichtige Einrichtungen sieht § 65 BSIG Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Millionen Euro. Zusätzlich begründet § 38 BSIG eine eigenständige persönliche Haftung der Geschäftsleitung: Sie muss die Umsetzung der Sicherheitsmaßnahmen aktiv überwachen und Risikomanagementmaßnahmen billigen. Eine reine Delegation an IT-Abteilung oder externe Dienstleister reicht dafür nicht aus, ein Haftungsausschluss ist gesetzlich nicht möglich.
Mehr als Registrierung: Welche Sicherheitsmaßnahmen NIS-2 tatsächlich fordert
Die Registrierung beim BSI ist nur ein erster Schritt. NIS-2 verlangt von betroffenen Unternehmen ein umfassendes Risikomanagement, das unter anderem folgende Bereiche umfasst:
- Erkennung und fristgerechte Meldung von Sicherheitsvorfällen
- Business-Continuity- und Notfallplanung
- Absicherung der Lieferkette und von IT-Dienstleistern
- Schulungsmaßnahmen für Mitarbeitende und Geschäftsleitung
Damit rückt NIS-2 die Sensibilisierung der eigenen Belegschaft explizit in den Rang einer gesetzlichen Pflicht, nicht nur einer freiwilligen Zusatzmaßnahme.
Der Mensch als Einfallstor: Warum E-Mail-Sicherheit und Awareness entscheidend sind
Das passt zur aktuellen Bedrohungslage: Laut BSI beginnen bis zu 9 von 10 Cyberangriffen beim Menschen, häufig über täuschend echte Phishing-E-Mails. Aktuelle Warnungen von Verbraucherzentralen und Sicherheitsbehörden zeigen zudem, dass Kriminelle zunehmend KI-gestützte Phishing-Kits einsetzen, um Nachrichten sprachlich fehlerfrei und kaum noch von echter Kommunikation zu unterscheiden zu gestalten. Für Unternehmen bedeutet das: Technische Schutzmaßnahmen gegen Phishing, Malware und Datenverlust auf der einen Seite und eine kontinuierlich geschulte, wachsame Belegschaft auf der anderen Seite sind gleichermaßen Teil einer NIS-2-konformen Sicherheitsstrategie.
Mit AWM AwareX NIS-2-Anforderungen erfüllen
Genau an diesem Punkt setzt AWM AwareX an. AWM Schutz sichert den E-Mail-Verkehr mehrstufig ab:
- Anti-Phishing-, Anti-Malware- und Anti-Spam-Filter
- Sandbox-Analyse für Anhänge und Links
- Datenverlustprävention (DLP) und E-Mail-Verschlüsselung
- Notfall-Postfach und bis zu 10 Jahre manipulationsgeschützte Archivierung
AWM Sensibilisierung wiederum adressiert die gesetzlich geforderte Schulungspflicht direkt:
- Realistische Phishing-Simulationen
- Adaptive Schulungen auf Basis aktueller Bedrohungslagen
- Kultur- und Verhaltens-Dashboard für Führungskräfte mit Benchmark-Daten
So schaffen Unternehmen die Nachweise und die Wirksamkeit, die NIS-2 von ihnen erwartet.
Jetzt handeln: Unverbindliches Beratungsgespräch vereinbaren
Ob Registrierung, technische Absicherung der E-Mail-Kommunikation oder Aufbau einer nachweisbaren Sicherheitskultur: Je früher Unternehmen ansetzen, desto geringer das Risiko von Bußgeldern und Haftungsfällen. AWM AwareX unterstützt Unternehmen in der DACH-Region dabei, NIS-2-Anforderungen praxisnah umzusetzen. Nehmen Sie unverbindlich Kontakt auf unter kontakt@awm-awarex.de oder +49 7152 5695-110. Wir zeigen Ihnen, wie AWM Schutz und AWM Sensibilisierung Ihr Unternehmen konkret unterstützen können.
Ihre Sicherheit, unser Service.
