NIS2-Compliance-Statistiken 2026: 50+ Fakten zu Geltungsbereich, Bußgeldern und Umsetzungsstand

Die NIS2-Richtlinie ist die umfassendste Reform der Cybersicherheitsregulierung in der Geschichte der Europäischen Union. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert deren Geltungsbereich von wenigen hundert Betreibern wesentlicher Dienste pro Mitgliedstaat auf geschätzte 160.000 Einrichtungen in der gesamten EU.

Diese Seite fasst verifizierte Statistiken zum Geltungsbereich, Umsetzungsstatus, Sanktionsrahmen, Compliance-Bereitschaftsgrad, den Kosten sowie der allgemeinen Cybersicherheitslage zusammen, die NIS2 adressieren soll. Jede Zahl stammt aus offiziellen EU-Behörden, Regulierungsstellen und verifizierten Branchenberichten.

Geltungsbereich und Reichweite von NIS2

NIS2 hat die Anzahl der Organisationen, die EU-Cybersicherheitsanforderungen unterliegen, drastisch erweitert. Die ursprüngliche NIS-Richtlinie umfasste nur eine begrenzte Anzahl von Betreibern wesentlicher Dienste. NIS2 gilt für alle mittleren und großen Unternehmen, die in 18 festgelegten Sektoren tätig sind.

11 Sektoren mit hoher Kritikalität (Anhang I - Wesentliche Einrichtungen)

1. Energie (Strom, Öl, Gas, Wasserstoff, Fernwärme)
2. Verkehr (Luft, Schiene, Wasser, Straße)
3. Bankwesen
4. Finanzmarktinfrastrukturen
5. Gesundheit (Krankenhäuser, Labore, Pharmazeutik, Medizinprodukte)
6. Trinkwasser
7. Abwasser
8. Digitale Infrastruktur (IXPs, DNS, TLD-Registrierungsstellen, Cloud, Rechenzentren, CDNs)
9. IKT-Dienstleistungsmanagement (B2B - Managed-Service-Provider, Managed-Security-Service-Provider)
10. Öffentliche Verwaltung (Zentralregierung)
11. Weltraum

7 weitere kritische Sektoren (Anhang II - Wichtige Einrichtungen)

1. Post- und Kurierdienste
2. Abfallwirtschaft
3. Chemikalien (Herstellung, Produktion, Vertrieb)
4. Lebensmittel (Produktion, Verarbeitung, Vertrieb)
5. Verarbeitendes Gewerbe (Medizinprodukte, Computer, Elektronik, Maschinenbau, Kraftfahrzeuge)
6. Digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
7. Forschungseinrichtungen

NIS2-Umsetzungsstatus

Die Frist für die Umsetzung der NIS2-Richtlinie in nationales Recht der EU-Mitgliedstaaten war der 17. Oktober 2024. Die Mehrheit der Mitgliedstaaten hat diese Frist nicht eingehalten.

Länder mit vollständiger NIS2-Umsetzung

Quelle: Wavestone NIS2 Transposition Tracker (Stand Januar 2026)

Länder mit verabschiedetem Gesetz, aber ausstehendem Rahmenwerk

Schweden, Dänemark, Österreich, Portugal, Malta, Finnland, Estland, Rumänien, Zypern (9 Länder)

Länder noch im Entwurfsstadium

Luxemburg, Frankreich, Spanien, Niederlande, Polen, Bulgarien (6 Länder)

Quelle: Wavestone NIS2 Transposition Tracker

NIS2-Sanktionen und Bußgelder

NIS2 führt ein gestuftes Sanktionssystem ein, das auf der Klassifizierung der Einrichtung basiert. Anders als die DSGVO, die ein einheitliches Maximum vorsieht, unterscheidet NIS2 zwischen wesentlichen und wichtigen Einrichtungen.

NIS2 vs. DSGVO - Vergleich der Sanktionen

Persönliche Haftung der Geschäftsleitung

NIS2 führt eine direkte Verantwortlichkeit für Leitungsorgane ein. Vorstandsmitglieder und leitende Angestellte können persönlich für die Nichteinhaltung haftbar gemacht werden. Bei grober Fahrlässigkeit können die zuständigen Behörden ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen gegen Einzelpersonen verhängen.

Quelle: DLA Piper NIS2 Directors' Personal Liability Analysis

NIS2-Compliance-Bereitschaft

Die Daten zur Compliance-Bereitschaft zeichnen ein besorgniserregendes Bild. Erhebliche Teile der betroffenen Organisationen sind sich NIS2 nicht bewusst oder auf die Anforderungen nicht vorbereitet.

NIS2-Compliance-Kosten

Die Kosten für die Umsetzung von NIS2 variieren erheblich je nach Unternehmensgröße, bestehendem Reifegrad und Branche. Die Folgenabschätzung der Europäischen Kommission und unabhängige Analysen liefern folgende Schätzungen.

NIS2-Anforderungen zur Vorfallmeldung

NIS2 führt ein dreistufiges Vorfallmeldesystem mit strengen Fristen ein und verschärft damit die Anforderungen der ursprünglichen NIS-Richtlinie erheblich.

Quelle: NIS2-Richtlinie, Artikel 23

Vorfallstatistiken unter NIS1

Sektorreife unter NIS2

Die NIS360-Bewertung der ENISA ordnet Sektoren anhand ihrer Cybersicherheitsreife im Verhältnis zu ihrer Kritikalität ein. Dies zeigt, welche Sektoren am stärksten von Nicht-Compliance bedroht sind.

Am weitesten fortgeschrittene Sektoren (Reife entspricht Kritikalität)

• Elektrizität
• Telekommunikation
• Bankwesen

Sektoren in der Risikozone (Kritikalität überwiegt Reife)

• IKT-Dienstleistungsmanagement
• Weltraum
• Öffentliche Verwaltung
• Seeverkehr
• Gesundheit
• Gas

Quelle: ENISA NIS360 2024

Aufsichtsmodell

Quelle: European Commission NIS2 FAQ

EU-Bedrohungslandschaft der Cybersicherheit

Die folgenden Statistiken aus dem Threat-Landscape-Bericht der ENISA verdeutlichen, warum NIS2 notwendig war.

Am häufigsten betroffene Sektoren

Quelle: ENISA Threat Landscape 2025

Lieferkettensicherheit unter NIS2

NIS2 schreibt die Sicherheit der Lieferkette als eine von 10 vorgeschriebenen Risikomanagementmaßnahmen gemäß Artikel 21 vor. Dies spiegelt die wachsende Bedrohung durch lieferkettenbasierte Angriffe in Europa wider.

Cybersicherheitsfachkräfte in der EU

Die NIS2-Compliance erfordert qualifizierte Cybersicherheitsfachkräfte. Der aktuelle Fachkräftemangel in Europa macht dies zu einem der anspruchsvollsten Aspekte der Compliance.

10 NIS2-Mindestsicherheitsmaßnahmen

Artikel 21 der NIS2-Richtlinie verpflichtet Einrichtungen, mindestens die folgenden 10 Kategorien von Sicherheitsmaßnahmen umzusetzen:

1. Konzepte für die Risikoanalyse und Sicherheit von Informationssystemen
2. Verfahren zur Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs und Krisenmanagement (einschließlich Backup-Management und Notfallwiederherstellung)
4. Sicherheit der Lieferkette (einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen Einrichtungen und ihren unmittelbaren Anbietern oder Dienstleistern)
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen (einschließlich Management und Offenlegung von Schwachstellen)
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen zum Cybersicherheitsrisikomanagement
7. Grundlegende Verfahren im Bereich der Cyberhygiene und Cybersicherheitsschulungen
8. Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
9. Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen
10. Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierungslösungen, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme

Quelle: NIS2-Richtlinie, Artikel 21(2)

Wichtige NIS2-Termine und Zeitplan

Häufig gestellte Fragen

F: Wie viele Unternehmen sind von NIS2 betroffen?

A: Die Europäische Kommission schätzt, dass etwa 160.000 Einrichtungen in der EU unter den Geltungsbereich von NIS2 fallen. Dazu gehören mittlere Unternehmen mit 50+ Beschäftigten oder EUR 10 Mio.+ Umsatz sowie große Unternehmen mit 250+ Beschäftigten oder EUR 50 Mio.+ Umsatz, die in einem der 18 festgelegten Sektoren tätig sind.

F: Wie hoch sind die maximalen NIS2-Bußgelder?

A: Wesentliche Einrichtungen können mit Bußgeldern von bis zu EUR 10.000.000 oder 2 % des weltweiten Jahresumsatzes belegt werden, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen können mit Bußgeldern von bis zu EUR 7.000.000 oder 1,4 % des weltweiten Jahresumsatzes belegt werden. Mitgliedstaaten können in ihrer nationalen Umsetzung höhere Höchstbußgelder festlegen.

F: Welche EU-Länder haben NIS2 umgesetzt?

A: Bis Januar 2026 haben 20 von 27 EU-Mitgliedstaaten die NIS2-Umsetzung abgeschlossen. Kroatien war das erste Land (Februar 2024), gefolgt von Lettland, Belgien, Italien, Litauen, Griechenland, Slowakei, Ungarn, Slowenien, Tschechische Republik und Deutschland. Sechs Länder befinden sich noch im Entwurfsstadium, darunter Frankreich, Spanien und die Niederlande.

F: Was kostet die NIS2-Compliance?

A: Die Kosten variieren erheblich je nach Unternehmensgröße und bestehendem Reifegrad. Einrichtungen, die bereits NIS1-konform sind, können mit Anpassungskosten von etwa EUR 107.000 rechnen. Wichtige Einrichtungen, die bei null beginnen, müssen mit Durchschnittskosten von etwa EUR 180.000 rechnen. Die EU-weiten Gesamtimplementierungskosten werden auf EUR 31,2 Milliarden pro Jahr geschätzt.

F: Welche Fristen gelten für die NIS2-Vorfallmeldung?

A: NIS2 sieht einen dreistufigen Ansatz vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme eines schwerwiegenden Vorfalls, eine vollständige Meldung innerhalb von 72 Stunden mit einer Bewertung von Schwere und Auswirkungen sowie einen Abschlussbericht innerhalb eines Monats mit detaillierter Ursachenanalyse und Gegenmaßnahmen.

F: Können Vorstandsmitglieder unter NIS2 persönlich haftbar gemacht werden?

A: Ja. NIS2 führt eine direkte Verantwortlichkeit für Leitungsorgane ein. Vorstandsmitglieder und leitende Angestellte können persönlich für die Nichteinhaltung der Cybersicherheits-Risikomanagementpflichten haftbar gemacht werden. Bei grober Fahrlässigkeit können die Behörden ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen gegen Einzelpersonen verhängen.

Alle Statistiken auf dieser Seite stammen aus offiziellen EU-Behörden, Regulierungsstellen und verifizierten Branchenberichten. Primärquellen sind die ENISA NIS Investments Reports (2024, 2025), ENISA Threat Landscape 2025, ENISA NIS360 2024, die European Commission NIS2 FAQ, der Wavestone NIS2 Transposition Tracker, Frontier Economics, ISC2 sowie der NIS2-Richtlinientext. Diese Seite wird regelmäßig aktualisiert, sobald neue Daten verfügbar sind.

Letzte Aktualisierung: März 2026