Acht Monate NIS-2: Mehrere Studien zeigen dieselben Umsetzungshürden – CONSUVATION liefert die praktischen Antworten

Acht Monate nach Inkrafttreten der NIS-2-Regulierung zeichnen mehrere unabhängige Studien dasselbe Bild: NIS-2 ist in der Wirtschaft angekommen, die praktische Umsetzung bleibt für viele Unternehmen aber weiterhin anspruchsvoll. Eine aktuelle Kurzabfrage des eco – Verband der Internetwirtschaft e.V. unter 38 Unternehmen aus dem Sicherheitsumfeld zeigt das ebenso wie der „Cyber Security Report 2026“ von Schwarz Digits unter gut 1.000 deutschen Unternehmen und eine europaweite Befragung von CyberSmart unter 670 Führungskräften.

Der Grund liegt aus Sicht von CONSUVATION selten am fehlenden Willen, sondern am fehlenden Fachwissen im eigenen Haus: Vielen Unternehmen, insbesondere im Mittelstand, stehen das nötige Compliance- und Informationssicherheits-Know-how schlicht nicht dauerhaft zur Verfügung. CONSUVATION begegnet dem nicht mit punktuellen Beratungsprojekten, sondern übernimmt die Rolle des externen Beauftragten selbst und bringt damit das fehlende Wissen dauerhaft ins Unternehmen.

Die Duldung ist ausgelaufen

Was in der öffentlichen Wahrnehmung oft als „Fristverlängerung“ verstanden wurde, war rechtlich nie eine Umsetzungsfrist: Die gesetzliche Registrierungspflicht nach § 33 BSIG endete bereits am 6. März 2026, drei Monate nach Inkrafttreten des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes. Weil sich bis dahin nur ein Bruchteil der rund 29.500 betroffenen Unternehmen gemeldet hatte, gewährte das BSI lediglich eine Vollzugskulanz bis zum 31. Juli 2026 – eine Duldung verspäteter Meldungen, keine neue gesetzliche Frist. Diese Duldungsfrist ist inzwischen abgelaufen.

Der Verstoß gegen die Registrierungspflicht bleibt eine bußgeldbewehrte Ordnungswidrigkeit, und mit dem Ende der Kulanzphase ist eine konsequentere Kontrolle durch das BSI zu erwarten. Für viele Unternehmen bedeutet das: Die Zeit, die sie faktisch als Vorbereitungsphase genutzt haben, ist formal längst verstrichen – gefordert war Umsetzung zum Stichtag, nicht erst danach.

Ein Muster über mehrere Studien hinweg

Nach Angaben des eco benennen die befragten Unternehmen vier zentrale Problemfelder: Nachweispflichten und Audits (rund 26 Prozent der Nennungen), Meldeprozesse mit ihren 24-/72-Stunden-Fristen (rund 25 Prozent), Risikoanalyse und Risikomanagement (rund 21 Prozent) sowie ein als komplex empfundener Registrierungsprozess selbst. Andere Erhebungen zeichnen ein ähnliches Bild – teils mit einem besonders kritischen Befund: Laut Schwarz Digits schätzt fast jedes zweite Unternehmen (48 Prozent) seine eigene NIS-2-Betroffenheit fälschlicherweise falsch ein. Eine europaweite Befragung von CyberSmart zeigt, dass sich nur 16 Prozent der Verantwortlichen vollständig auf NIS2 vorbereitet fühlen.

„Unternehmen benötigen keine abstrakten Pflichtenhefte, sondern klare Prioritäten und handhabbare Umsetzungshilfen.“ Ulrich Plate, Leiter der eco-Kompetenzgruppe KRITIS

CONSUVATION macht aus Pflichtenheften Prozesse

Für jede der in den Studien identifizierten Hürden hat CONSUVATION erprobte, unmittelbar einsetzbare Lösungen im Portfolio:

• BetroffenheitsprüfungBevor Dokumentation oder Meldewesen überhaupt relevant werden, klärt CONSUVATION die eigene Betroffenheit rechtssicher.
• Dokumentation & NachweiseBilinguale, praxiserprobte NIS-2-Dokumentbibliotheken sowie Nachweislisten und Checklisten je Rolle (DSB, ISB, KI-Beauftragter).
• MeldewesenUnternehmen melden Sicherheitsvorfälle über die CONSUVATION-Plattform – CONSUVATION übernimmt als externe NIS-2-Beauftragte die fristgerechte Abwicklung gegenüber den Behörden.
• Risikoanalyse & RisikomanagementStrukturierte Bewertungslogiken auf Basis von ISO 27001 und ISO 31000, mit Korrelationsmatrizen für Aufwand und Priorität.
• LieferkettenmanagementEine aus jahrelanger Beratungspraxis entwickelte, risikobasierte Lieferanten-Auditmethodik mit A/B/C-Klassifizierung, KO-Kriterien und Aufwandsschätzung.
• Nachweispflichten & AuditsDank eigener Auditorentätigkeit im Auftrag von Zertifizierungsstellen (u. a. DEKRA) für ISO 27001, ISO 27701, ISO 22301 und ISO 9001 kennt CONSUVATION die Prüfperspektive aus erster Hand.
• Chefsache NIS-2Als externer DSB/ISB im Mandat verankert CONSUVATION NIS-2 dauerhaft in der Governance.
• Einstieg oder ISMS-IntegrationStrukturierter Neuaufbau für Einsteiger – oder eine eigene Integrationslösung für bestehende ISMS nach ISO 27001 oder TISAX. Auch das BSI stellt auf seiner Themenseite klar: Einer ISO-27001-Zertifizierung fehlen explizite gesetzliche Pflichten wie Melde-, Registrierungs- und Schulungspflichten – sie gilt daher ausdrücklich nicht als Nachweis der NIS-2-Konformität.
• Tempo durch ErfahrungWeil CONSUVATION auf jahrelange Beratungs- und Auditerfahrung sowie bereits entwickelte Methodik zurückgreift, kommen Mandanten spürbar schneller zu einer belastbaren NIS-2-Umsetzung.

Nicht nur Beratung: eine durchgängige IT-Lösung

Der entscheidende Unterschied zu klassischer Einzelfall-Beratung: CONSUVATION liefert die Umsetzung nicht nur als Konzept, sondern als durchgängige, sofort einsetzbare Plattform aus fünf ineinandergreifenden Bausteinen: einem bewährten Prozessmodell, einer begleitenden Software zur laufenden Nachweisführung, fertigen Richtlinien, einem eigenen E-Learning-Portal für die verpflichtenden Mitarbeiterschulungen und einem Management-Dashboard mit jederzeitigem Überblick über Umsetzungsstand, Fristen und offene Nachweise.

Auf Wunsch geht CONSUVATION noch einen Schritt weiter: Unternehmen melden Sicherheitsvorfälle direkt über die Plattform, CONSUVATION übernimmt als externe NIS-2-Beauftragte die fristgerechte Abwicklung der Meldeprozesse gegenüber den Behörden – NIS-2 als geführter Prozess statt als Dauerbaustelle, und spürbar schneller als im Alleingang.

„Die Zahlen aus mehreren aktuellen Studien bestätigen, was wir in unseren Mandaten täglich erleben: Unternehmen scheitern nicht am Willen, sondern an der Übersetzung der Vorschrift in handhabbare Prozesse. Deshalb geben wir unseren Mandanten nicht nur Beratung, sondern eine komplette IT-Lösung an die Hand – mit Software, Richtlinien, E-Learning-Portal und Dashboard läuft NIS-2 im Hintergrund mit, statt Kopfschmerzen zu bereiten.“ Peter Rentschler, Geschäftsführer, CONSUVATION GmbH – Experte für Informationssicherheit mit über 25 Jahren Erfahrung