Für das eco-Stimmungsbild wurden 38 Unternehmen aus dem Verbandsumfeld mit Bezug zu IT-Sicherheit, digitaler Infrastruktur und NIS-2 befragt. Die Ergebnisse sind nicht repräsentativ, geben aber einen Einblick in Organisationen, die sich bereits intensiv mit Cybersicherheit auseinandersetzen. Selbst dort zeigt sich weiterhin erheblicher Umsetzungsbedarf.
Besonders herausfordernd sind nach Angaben der Befragten Nachweis- und Dokumentationspflichten, die vorgeschriebenen Meldeprozesse sowie Risikoanalyse und Risikomanagement. Rund 15 Prozent bewerten den zusätzlichen NIS-2-Aufwand als sehr hoch, jeweils rund 38 Prozent als hoch oder mittel. Nur knapp 18 Prozent geben an, die Anforderungen bereits vollständig umgesetzt zu haben. Rund 36 Prozent befinden sich planmäßig in der Umsetzung.
Auch die Registrierung ist offenbar nicht für alle Unternehmen selbsterklärend. Von den bereits beim BSI registrierten Befragten bewertet mehr als ein Drittel den Prozess als sehr kompliziert. Der Verband leitet daraus vor allem einen Bedarf an praxistauglicher Orientierung ab. Entscheidend sei, regulatorische Anforderungen in funktionierende Zuständigkeiten, dokumentierte Risiken, belastbare Meldewege und ein wirksames Lieferkettenmanagement zu übersetzen.
Für KMU bedeutet dies: NIS-2 sollte nicht ausschließlich als formales Compliance-Projekt behandelt werden. Betroffenheitsprüfung, Verantwortlichkeiten der Geschäftsleitung, Risikomanagement und Incident-Prozesse müssen in die betrieblichen Abläufe integriert werden. Das eco-Stimmungsbild macht deutlich, dass gerade die praktische Umsetzung und Dokumentation weiterhin zu den größten Hürden zählen.