NIS2-Compliance-Statistiken 2026: 50+ Fakten zu Geltungsbereich, Bußgeldern und Umsetzungsstand

Die NIS2-Richtlinie ist die umfassendste Reform der Cybersicherheitsregulierung in der Geschichte der Europäischen Union. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert deren Geltungsbereich von wenigen hundert Betreibern wesentlicher Dienste pro Mitgliedstaat auf geschätzte 160.000 Einrichtungen in der gesamten EU.

Diese Seite fasst verifizierte Statistiken zum Geltungsbereich, Umsetzungsstatus, Sanktionsrahmen, Compliance-Bereitschaftsgrad, den Kosten sowie der allgemeinen Cybersicherheitslage zusammen, die NIS2 adressieren soll. Jede Zahl stammt aus offiziellen EU-Behörden, Regulierungsstellen und verifizierten Branchenberichten.

Geltungsbereich und Reichweite von NIS2

NIS2 hat die Anzahl der Organisationen, die EU-Cybersicherheitsanforderungen unterliegen, drastisch erweitert. Die ursprüngliche NIS-Richtlinie umfasste nur eine begrenzte Anzahl von Betreibern wesentlicher Dienste. NIS2 gilt für alle mittleren und großen Unternehmen, die in 18 festgelegten Sektoren tätig sind.

11 Sektoren mit hoher Kritikalität (Anhang I)

Große Unternehmen aus diesen Sektoren gelten in der Regel als wesentliche Einrichtungen, mittlere als wichtige Einrichtungen (Artikel 3).

1. Energie (Strom, Öl, Gas, Wasserstoff, Fernwärme)
2. Verkehr (Luft, Schiene, Wasser, Straße)
3. Bankwesen
4. Finanzmarktinfrastrukturen
5. Gesundheit (Krankenhäuser, Labore, Pharmazeutik, Medizinprodukte)
6. Trinkwasser
7. Abwasser
8. Digitale Infrastruktur (IXPs, DNS, TLD-Registrierungsstellen, Cloud, Rechenzentren, CDNs)
9. IKT-Dienstleistungsmanagement (B2B - Managed-Service-Provider, Managed-Security-Service-Provider)
10. Öffentliche Verwaltung (Zentralregierung)
11. Weltraum

7 sonstige kritische Sektoren (Anhang II)

Unternehmen aus diesen Sektoren gelten in der Regel als wichtige Einrichtungen.

1. Post- und Kurierdienste
2. Abfallwirtschaft
3. Chemikalien (Herstellung, Produktion, Vertrieb)
4. Lebensmittel (Produktion, Verarbeitung, Vertrieb)
5. Verarbeitendes Gewerbe (Medizinprodukte, Computer, Elektronik, Maschinenbau, Kraftfahrzeuge)
6. Digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
7. Forschungseinrichtungen

NIS2-Umsetzungsstatus

Die Frist für die Umsetzung der NIS2-Richtlinie in nationales Recht war der 17. Oktober 2024. Die meisten Mitgliedstaaten haben diese Frist verpasst. Der Stand unten gilt für November 2026.

Nationale Gesetze in Kraft (Beispiele)

Kein nationales Gesetz in Kraft (Stand November 2026)

• Frankreich: Das Gesetz ist noch nicht verabschiedet.
• Spanien: Die Regierung hat am 14. Januar 2025 einen Gesetzentwurf beschlossen. Ein Gesetz ist nicht in Kraft.
• Irland: Das Gesetzgebungsverfahren läuft noch.

Für andere Mitgliedstaaten prüfen Sie das nationale Gesetz. EUR-Lex listet die nationalen Umsetzungsmaßnahmen, das nationale Amtsblatt enthält den endgültigen Text.

NIS2-Sanktionen und Bußgelder

NIS2 führt ein gestuftes Sanktionssystem ein, das auf der Klassifizierung der Einrichtung basiert. Anders als die DSGVO, die ein einheitliches Maximum vorsieht, unterscheidet NIS2 zwischen wesentlichen und wichtigen Einrichtungen.

NIS2 vs. DSGVO - Vergleich der Sanktionen

Persönliche Haftung der Geschäftsleitung

NIS2 führt eine direkte Verantwortlichkeit für Leitungsorgane ein. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie können für Verstöße verantwortlich gemacht werden und müssen an Schulungen teilnehmen (Artikel 20). Bei wesentlichen Einrichtungen können die Behörden als letztes Mittel ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen verhängen, wenn andere Durchsetzungsmaßnahmen nicht wirken (Artikel 32 Absatz 5).

Quelle: NIS2-Richtlinie, Artikel 20 und 32

NIS2-Compliance-Bereitschaft

Die Daten zur Compliance-Bereitschaft zeichnen ein besorgniserregendes Bild. Erhebliche Teile der betroffenen Organisationen sind sich NIS2 nicht bewusst oder auf die Anforderungen nicht vorbereitet.

NIS2-Compliance-Kosten

Die Kosten für die Umsetzung von NIS2 variieren erheblich je nach Unternehmensgröße, bestehendem Reifegrad und Branche. Die Folgenabschätzung der Europäischen Kommission und die ENISA-Berichte liefern folgende Anhaltspunkte.

NIS2-Anforderungen zur Vorfallmeldung

NIS2 führt ein dreistufiges Vorfallmeldesystem mit strengen Fristen ein und verschärft damit die Anforderungen der ursprünglichen NIS-Richtlinie erheblich.

Quelle: NIS2-Richtlinie, Artikel 23

Vorfallstatistiken unter NIS1

Sektorreife unter NIS2

Die NIS360-Bewertung der ENISA ordnet Sektoren anhand ihrer Cybersicherheitsreife im Verhältnis zu ihrer Kritikalität ein. Dies zeigt, welche Sektoren am stärksten von Nicht-Compliance bedroht sind.

Am weitesten fortgeschrittene Sektoren (Reife entspricht Kritikalität)

• Elektrizität
• Telekommunikation
• Bankwesen

Sektoren in der Risikozone (Kritikalität überwiegt Reife)

• IKT-Dienstleistungsmanagement
• Weltraum
• Öffentliche Verwaltung
• Seeverkehr
• Gesundheit
• Gas

Quelle: ENISA NIS360 2024

Aufsichtsmodell

Quelle: European Commission NIS2 FAQ

EU-Bedrohungslandschaft der Cybersicherheit

Die folgenden Statistiken aus dem Threat-Landscape-Bericht der ENISA verdeutlichen, warum NIS2 notwendig war.

Am häufigsten betroffene Sektoren

Quelle: ENISA Threat Landscape 2025

Lieferkettensicherheit unter NIS2

NIS2 schreibt die Sicherheit der Lieferkette als eine von 10 vorgeschriebenen Risikomanagementmaßnahmen gemäß Artikel 21 vor. Dies spiegelt die wachsende Bedrohung durch lieferkettenbasierte Angriffe in Europa wider.

Cybersicherheitsfachkräfte in der EU

Die NIS2-Compliance erfordert qualifizierte Cybersicherheitsfachkräfte. Der aktuelle Fachkräftemangel in Europa macht dies zu einem der anspruchsvollsten Aspekte der Compliance.

10 NIS2-Mindestsicherheitsmaßnahmen

Artikel 21 der NIS2-Richtlinie verpflichtet Einrichtungen, mindestens die folgenden 10 Kategorien von Sicherheitsmaßnahmen umzusetzen:

1. Konzepte für die Risikoanalyse und Sicherheit von Informationssystemen
2. Verfahren zur Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs und Krisenmanagement (einschließlich Backup-Management und Notfallwiederherstellung)
4. Sicherheit der Lieferkette (einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen Einrichtungen und ihren unmittelbaren Anbietern oder Dienstleistern)
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen (einschließlich Management und Offenlegung von Schwachstellen)
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen zum Cybersicherheitsrisikomanagement
7. Grundlegende Verfahren im Bereich der Cyberhygiene und Cybersicherheitsschulungen
8. Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
9. Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen
10. Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierungslösungen, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme

Quelle: NIS2-Richtlinie, Artikel 21(2)

Wichtige NIS2-Termine und Zeitplan

Häufig gestellte Fragen

F: Wie viele Unternehmen sind von NIS2 betroffen?

A: Die Europäische Kommission schätzt, dass etwa 160.000 Einrichtungen in der EU unter den Geltungsbereich von NIS2 fallen. Dazu gehören mittlere Unternehmen mit 50+ Beschäftigten oder EUR 10 Mio.+ Umsatz sowie große Unternehmen mit 250+ Beschäftigten oder EUR 50 Mio.+ Umsatz, die in einem der 18 festgelegten Sektoren tätig sind.

F: Wie hoch sind die maximalen NIS2-Bußgelder?

A: Wesentliche Einrichtungen können mit Bußgeldern von bis zu EUR 10.000.000 oder 2 % des weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen können mit Bußgeldern von bis zu EUR 7.000.000 oder 1,4 % des weltweiten Jahresumsatzes belegt werden. Mitgliedstaaten können in ihrer nationalen Umsetzung höhere Höchstbußgelder festlegen.

F: Welche EU-Länder haben NIS2 umgesetzt?

A: Die meisten Mitgliedstaaten haben die Frist vom 17. Oktober 2024 verpasst. Stand November 2026 sind NIS2-Gesetze unter anderem in Belgien, Italien, Finnland, Deutschland, Schweden, Polen, den Niederlanden und Österreich in Kraft. Frankreich, Spanien und Irland haben noch kein Gesetz in Kraft. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof der EU verklagt. Für andere Länder prüfen Sie das nationale Gesetz.

F: Was kostet die NIS2-Compliance?

A: Die Kosten variieren erheblich je nach Unternehmensgröße und bestehendem Reifegrad. Einrichtungen, die bereits NIS1-konform sind oder ein ISMS nach ISO 27001 betreiben, haben deutlich geringere Anpassungskosten als Einrichtungen, die bei null beginnen. Die Folgenabschätzung der Europäischen Kommission erwartet höhere Ausgaben für IKT-Sicherheit von bis zu 22 % in den ersten Jahren.

F: Welche Fristen gelten für die NIS2-Vorfallmeldung?

A: NIS2 sieht einen dreistufigen Ansatz vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme eines schwerwiegenden Vorfalls, eine Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden mit einer ersten Bewertung von Schwere und Auswirkungen sowie einen Abschlussbericht innerhalb eines Monats nach dieser Meldung mit detaillierter Ursachenanalyse und Gegenmaßnahmen.

F: Können Vorstandsmitglieder unter NIS2 persönlich haftbar gemacht werden?

A: Ja. Nach Artikel 20 NIS2 müssen Leitungsorgane die Risikomanagementmaßnahmen billigen und überwachen. Sie können für Verstöße verantwortlich gemacht werden. Die Einzelheiten der Haftung regelt das nationale Recht. Bei wesentlichen Einrichtungen können die Behörden als letztes Mittel ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen verhängen (Artikel 32 Absatz 5).

Alle Statistiken auf dieser Seite stammen aus offiziellen EU-Behörden, Regulierungsstellen und verifizierten Branchenberichten. Primärquellen sind die ENISA NIS Investments Reports (2024, 2025), ENISA Threat Landscape 2025, ENISA NIS360 2024, die European Commission NIS2 FAQ, die Folgenabschätzung der Europäischen Kommission, ISC2 sowie der NIS2-Richtlinientext. Den Umsetzungsstand prüfen wir an den nationalen Gesetzen und an den Vertragsverletzungsverfahren der Europäischen Kommission. Diese Seite wird regelmäßig aktualisiert, sobald neue Daten verfügbar sind.

Letzte Aktualisierung: November 2026

Weiterführende Artikel

• NIS2-Checkliste 2026: 42 Umsetzungspunkte fuer deutsche Unternehmen
• NIS2-Umsetzungsgesetz Deutschland 2026: Stand, Pflichten, Fristen
• Was ist NIS2? Die EU-Cybersicherheitsrichtlinie einfach erklärt (2026)

Bereit für den nächsten Schritt? Matproof führt kontinuierliche KI-Penetrationstests und Compliance-Überwachung durch. 14 Tage kostenlos testen.