Berlin steht vor einer Mammutaufgabe. Mit dem Inkrafttreten des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes müssen nach Angaben der Digitalagentur Berlin zwischen 1.200 und 1.500 Unternehmen in der Hauptstadt ihre IT-Sicherheitsstrukturen grundlegend überarbeiten. Die landeseigene Einrichtung weist zudem darauf hin, dass sich diese Zahl noch erweitern wird, da auch Dienstleister und Zulieferer der unmittelbar betroffenen Unternehmen die neuen Anforderungen beachten müssen. Hinzu kommen zahlreiche Behörden und öffentliche Einrichtungen, die ebenfalls unter die verschärften Vorgaben fallen.
Bundesweit sind rund 30.000 Unternehmen betroffen. Der Bundestag hat das Gesetz am 13. November 2025 verabschiedet, der Bundesrat stimmte am 21. November zu. Es gilt ohne Übergangsfrist – die Pflichten greifen unmittelbar nach Verkündung im Bundesgesetzblatt.
Berlin: Digitalwirtschaft und Gesundheitssektor besonders gefordert
Die Hauptstadt mit ihrer starken Digitalwirtschaft, zahlreichen Gesundheitseinrichtungen und einer komplexen öffentlichen Verwaltung ist von NIS-2 in besonderer Weise betroffen. Zu den regulierten Sektoren gehören unter anderem Energie, Transport, Gesundheitswesen, digitale Infrastruktur und Anbieter digitaler Dienste – allesamt Bereiche, in denen Berlin als Wirtschaftsstandort stark aufgestellt ist.
Doch die Zahl der unmittelbar betroffenen Unternehmen ist nur die Spitze des Eisbergs. Da NIS-2 auch die Sicherheit der Lieferkette fordert, müssen sich Dienstleister und Zulieferer der regulierten Unternehmen ebenfalls mit den neuen Anforderungen auseinandersetzen. Die tatsächliche Zahl der betroffenen Berliner Betriebe dürfte damit deutlich höher liegen.
Erschreckende Studienergebnisse: Selbstüberschätzung ist weit verbreitet
Wie gut ist die deutsche Wirtschaft auf die neuen Anforderungen vorbereitet? Aktuelle Erhebungen zeichnen ein besorgniserregendes Bild – das auch für Berlin Gültigkeit haben dürfte.
Die repräsentative Studie „Cybersicherheit in Zahlen" von G DATA CyberDefense, Statista und brand eins (über 5.000 Befragte) zeigt: Zwar haben 63 Prozent der Unternehmen mit der NIS-2-Umsetzung begonnen, doch lediglich 12 Prozent sind fertig. Jedes vierte Unternehmen hat noch nicht einmal angefangen.
Noch detaillierter sind die Ergebnisse der NIS-2-Reifegrad-Studie des Leipziger Datenrettungsspezialisten DATA REVERSE. Für die Erhebung wurden 245 IT-Verantwortliche auf der IT-Sicherheitsmesse IT-SA 2025 befragt. Die Kernbefunde sind alarmierend: Mehr als die Hälfte (53 Prozent) hat nie geprüft, ob das eigene Unternehmen überhaupt betroffen ist. 71 Prozent halten sich für vorbereitet – obwohl nur ein Drittel Recovery-Prozesse regelmäßig testet. 45 Prozent testen Wiederherstellung selten oder nie. Nur knapp ein Drittel verfügt über einen vollständigen IT-Notfallplan. Und lediglich 4 Prozent haben einen externen Datenrettungspartner für den Ernstfall definiert.
„Eine große Lücke betrifft die externe Datenwiederherstellung"
Jan Bindig, Geschäftsführer von DATA REVERSE, warnt vor der weit verbreiteten Selbstüberschätzung: „Dass sich 71 Prozent für NIS-2-ready halten, während zwei Drittel ihre Recovery-Prozesse nicht regelmäßig testen, zeigt eine gefährliche Diskrepanz. NIS-2 verlangt nachweisbare Business-Continuity – ohne Tests gibt es keinen Nachweis."
Besonders kritisch sei die fehlende Absicherung für den Worst Case: „96 Prozent der Unternehmen haben dafür keinen Notfallpartner eingebunden. In der Realität scheitern Backups häufig. Für genau diese Fälle fordert NIS-2 funktionale Notfallkonzepte. Ein professioneller Datenretter gehört in jeden IT-Notfallplan."
Was Berliner Unternehmen jetzt tun sollten
Das BSI bietet eine kostenlose Betroffenheitsprüfung an. Berliner Unternehmen können sich zudem an die Digitalagentur Berlin wenden, die Erstinformationen und Kontakte zu spezialisierten Dienstleistern vermittelt.
Die zentralen Handlungsfelder: Betroffenheit eindeutig klären, bestehende Sicherheitsmaßnahmen dokumentieren, IT-Notfallpläne erstellen oder aktualisieren, Recovery-Prozesse regelmäßig testen und externe Partner für Krisensituationen einbinden.
Die Botschaft ist klar: Das Gesetz ist da, Übergangsfristen gibt es nicht. Für die Berliner Wirtschaft beginnt jetzt ein Wettlauf gegen die Zeit. Wer weiter abwartet, riskiert nicht nur Bußgelder von bis zu 10 Millionen Euro – sondern im Ernstfall auch die eigene Existenz.
Die Recherche und Erstellung des Beitrags wurden durch eine externe Redakteurin vorgenommen und stammen nicht aus der eigenen Redaktion.
Ihre Meinung ist uns wichtig. Senden Sie uns Ihr Feedback zu diesem Artikel an: [email protected]
