Die Bedrohungslage für Cyberangriffe wird auch in Deutschland immer schärfer. Der Drohnenvorfall am Flughafen Leipzig ist nur ein Beispiel. Die Bundesregierung arbeitet daran, die Nachrichtendienste zu reformieren, damit sie aktiv gegen hybride Bedrohungen vorgehen können.
In solchen Zeiten hat sich Digital.Sicher.NRW, das Kompetenzzentrum für Cybersicherheit in der Wirtschaft, im Auftrag des Landes Nordrhein-Westfalen den Stand zur NIS-2-Richtlinie angeschaut. Die EU-Vorgabe verpflichtet laut Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) rund 29.000 Unternehmen in Deutschland dazu, Maßnahmen zur Cybersicherheit umzusetzen.
NIS-2-Richtlinie
Das deutsche NIS-2-Umsetzungsgesetz ist am 6.12.2025 in Kraft getreten. Damit ist die EU-Richtlinie in nationales Recht überführt worden. Für betroffene Unternehmen, die unter die Richtlinie fallen, bedeutet das Registrierungspflichten, erweiterte Sicherheitsmaßnahmen, strengere Meldepflichten für Sicherheitsvorfälle und regelmäßige Sicherheitschecks. Die Geschäftsleitung haftet für die Umsetzung.
NRW-Unternehmen sind unvorbereitet
Drei von fünf NRW-Unternehmen wissen nicht, ob sie die EU-Richtlinie zur Cybersicherheit „Network and Information Security Directive“ (NIS-2) betrifft. So eine aktuelle Auswertung von Digital.Sicher.NRW auf Basis einer repräsentativen Studie von GDATA CyberDefense. Zudem: Nur jedes zehnte Unternehmen in NRW, das unter die NIS-2-Richtlinie fällt, hat die gesetzlichen Vorgaben vollständig umgesetzt. Rund 30 Prozent haben keine Maßnahmen ergriffen. Der Widerspruch: Zwei Drittel der Unternehmen in NRW erwarten, dass z. B. Gefahren im digitalen Raum wie Cyberangriffe durch den KI-Einsatz zunehmen. Dennoch schätzt rund die Hälfte der Betriebe das eigene Risiko, von Cyberkriminalität betroffen zu sein, als gering oder sehr gering ein.
Im Arbeitsalltag kann es aber im noch so kleinen Unternehmen zu Vorfällen kommen. Die Studienergebnisse legen nahe: In vielen Unternehmen fehlt ein grundlegendes Sicherheitsbewusstsein. Beschäftigte öffnen aus Neugier mögliche Einfallstore für Sicherheitsrisiken. Besonders empfänglich zeigen sich Angestellte bei potenziellen Phishing-Versuchen. Fast ein Viertel der Befragten gab an, bereits einmal einen unbekannten QR-Code gescannt zu haben. Unbekannte Links und Anhänge in E-Mails werden nach wie vor geöffnet.
NRW ist schnell bei Cyberangriff
Positives Ergebnis: NRW-Unternehmen reagieren rasch beim Sicherheitsvorfall. Im Bundesvergleich gelingt ihnen die Cybereingriff-Eindämmung gar am schnellsten, meist innerhalb einer Woche. Die Folgen sind jedoch drastisch: Fast drei Viertel der Befragten berichten von Betriebsausfällen, Datenverlusten, finanziellen Schäden. Die Konklusion: Unternehmen, die unter die NIS-2-Richtlinie fallen, müssen sie rasch komplett umsetzen, um besser vorbereitet zu sein. Das IT-Sicherheits-Bewusstsein im Arbeitsalltag muss weiter geschult werden.
Karoline Sielski