Pressemitteilung | 1. Oktober 2026
NIS2-Studie: Nur 27 % der befragten Unternehmen sind beim BSI registriert
49 % der befragten Unternehmen haben die NIS2-Umsetzung noch nicht begonnen oder prüfen noch, ob sie betroffen sind.
In den fünf Wochen nach Ende der Duldungsphase für die Registrierung beim BSI zum 31. Juli 2026 gaben 27 % der befragten Unternehmen an, beim BSI registriert zu sein. 49 % haben mit der Umsetzung noch nicht begonnen oder prüfen weiterhin, ob sie betroffen sind. Für die NIS2 Readiness Study 2026 hat Kertos 51 Unternehmen mit Sitz in Deutschland und 50 bis 1.000 Mitarbeitenden befragt, die in Sektoren nach Anhang I der NIS-2-Richtlinie tätig sind.
Knapp die Hälfte noch vor der Umsetzung
18 % der befragten Unternehmen haben mit der NIS2-Umsetzung noch nicht begonnen, weitere 31 % prüfen ihre Betroffenheit. 24 % geben an, beim BSI registriert zu sein, 24 % setzen Risikomanagement-Maßnahmen um und 4 % geben an, NIS2 vollständig umgesetzt und die Registrierung abgeschlossen zu haben. Da bei dieser Frage nur eine Antwort gewählt werden konnte, lässt sich nicht erkennen, ob Unternehmen in der Umsetzung zugleich bereits registriert sind.
Verantwortung liegt überwiegend bei der IT
63 % der befragten Unternehmen nennen die IT-Leitung als verantwortlich für NIS2 und Informationssicherheit. In 41 % ist sie die einzige genannte Rolle. 22 % nennen die Geschäftsführung, 20 % den Datenschutzbeauftragten und 14 % einen eigenen CISO. 84 % der befragten Unternehmen haben weder einen eigenen noch einen externen CISO.
§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagement-Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. In den befragten Unternehmen liegt die Aufgabe in der Praxis jedoch überwiegend bei der IT.
„In den meisten befragten Unternehmen trägt die IT-Leitung NIS2 allein, zusätzlich zum laufenden Betrieb. Informationssicherheit auf Geschäftsleitungsebene zu verankern ist keine Frage der Unternehmensgröße, sondern eine Entscheidung darüber, wer die Anforderungen priorisiert und wer ihre Umsetzung überwacht.“ — Dr. Kilian Schmidt, Mitgründer und CEO von Kertos
Wissensstand hängt mit Umsetzung zusammen
53 % der Befragten wussten, dass NIS2 seit Dezember 2025 in Kraft ist, 49 % kannten den Registrierungstermin 31. Juli 2026. 37 % wussten weder das eine noch das andere. Von den neun Unternehmen, die noch nicht mit der Umsetzung begonnen haben, kannten sieben keinen der beiden Zeitpunkte.
Überlappende Regulierungen als häufigste Hürde
Von den 25 Unternehmen, die noch nicht begonnen haben oder ihre Betroffenheit prüfen, warten jeweils sieben auf mehr regulatorische Klarheit oder geben an, dass das Thema derzeit keine Priorität hat. Sechs nennen fehlendes Know-how im Unternehmen, sechs halten sich nicht für betroffen. Alle sechs sind laut Studie in Sektoren tätig, die von der Richtlinie erfasst werden.
Über alle Befragten hinweg sind überlappende Regulierungen wie DSGVO, AI Act und NIS2 mit 39 % die am häufigsten genannte Hürde. Es folgen begrenztes Budget mit 25 %, unklare Anforderungen mit 24 %, fehlender Rückhalt der Geschäftsführung mit 22 % und Fachkräftemangel mit 20 %.
NIS2 Readiness Study 2026
Für die Studie wurden 51 Unternehmen mit Sitz in Deutschland, 50 bis 1.000 Mitarbeitenden und Tätigkeit in Sektoren nach Anhang I der NIS-2-Richtlinie befragt. Die Feldzeit lief vom 3. August bis 4. September 2026. Die vollständige Studie enthält die Ergebnisse, die verwendeten Fragebogen-Formulierungen und die Methodik.
Die vollständige Pressemitteilung enthält weitere Ergebnisse der NIS2 Readiness Study 2026 zum Umsetzungsstand, zur Verantwortungsverteilung, zum Wissensstand sowie zu den Gründen und Hürden bei der NIS2-Umsetzung.