Die NIS2-Richtlinie erfasst etwa 30.000 zusätzliche Unternehmen, die ihre Cybersicherheitsgovernance und technische Kontrollen an EU-weite Standards anpassen müssen.
Der KritisV-Entwurf enthält Definitionslücken und greift auf einen 20 Jahre alten, methodisch umstrittenen Schwellenwert von 500.000 Personen zurück, der die tatsächlichen kritischen Infrastrukturen-Risiken nicht angemessen abbildet.
Temporäre Onboarding-Passwörter, die über E-Mail oder SMS verteilt und nicht konsequent geändert werden, erzeugen unnötige Sicherheitsrisiken für Unternehmen und verstoßen gegen NIS2-Standards.
Nicht verwaltete nicht-menschliche Identitäten stellen eine systematische Sicherheitslücke dar, die sich 2026 als Massenausfall manifestiert, wenn abgelaufene Machine-Zertifikate in Millionen unternehmensabhängiger Services gleichzeitig ekspirieren.
Datensouveränität durch lokale Cloud-Infrastruktur ist notwendig, aber unzureichend — echte Kontrolle erfordert robustes Identity Governance und Transparenz über Metadaten, Verschlüsselungsschlüssel und Zugriffsprotokolle.
Die EU leitet Verfahren gegen Frankreich und Spanien ein, weil sie die NIS2-Direktive nach Ablauf der Umfrist nicht in nationales Recht umgesetzt haben.
Die Kommission verklagt erstmals Frankreich und Spanien vor dem EuGH wegen Nichtumsetung der NIS2-Richtlinie und will damit durchsetzen, dass kritische Infrastruktur flächendeckend regulatorisch geschützt wird.
Die NIS-2-Richtlinie erweitert den Kreis der regulierten Unternehmen erheblich und stellt neue Anforderungen an Cybersecurity-Governance und Risikomanagementsysteme.
Weniger als 40% der Unternehmen haben NIS-2-Anforderungen bislang erfüllt; für die übrigen ist sofortige Planung und Priorisierung der Umsetzung notwendig.
