Mittelstand in der Zange: NIS2, KI-Gesetz und Ransomware-Welle
Am 7. Januar 2026 traf die Ransomware-Gruppe Akira die Buhlmann Group, einen Stahl- und Metallhändler aus Hamburg mit rund 2.000 Mitarbeitenden und 428 Millionen Euro Jahresumsatz. Die Angreifer erbeuteten etwa 55 GB an Daten – Konstruktionspläne, Personalakten, Finanzunterlagen – bevor irgendjemand im Unternehmen reagieren konnte. Buhlmann war kein Einzelfall, sondern einer von fünf Vorfällen, die laut securitytoday.de das erste Quartal 2026 in Deutschland prägten – in dem rund 80 % der Ransomware-Opfer kleine und mittlere Unternehmen waren. Es ist ein frühes Anzeichen dafür, dass der deutsche Mittelstand gerade von mehreren Seiten gleichzeitig in die Zange genommen wird – regulatorisch wie kriminell, und beides trifft dieselben knapp besetzten Teams.
Dieser Angriff traf auf eine Phase, in der deutsche Mittelstandsunternehmen eigentlich gerade zwei Compliance-Fristen abarbeiten sollten. Die erste – die Registrierung nach dem neuen NIS2-Gesetz – ist inzwischen technisch bereits zweimal abgelaufen. Die zweite, eine engere, aber dennoch verbindliche Pflicht aus dem KI-Gesetz, kam am 2. August hinzu. Keine der beiden Fristen bremst Angreifer wie Akira. Für ein Sicherheitsteam aus ein oder zwei Personen in einem 150-Personen-Betrieb laufen inzwischen alle drei Uhren gleichzeitig. Das ist der Mittelstand in der Zange im Kleinen.
Bis zur Frist am 6. März 2026 hatten sich nur rund 11.500 der etwa 29.500 von NIS2 betroffenen Unternehmen registriert – eine Lücke, die das BSI dazu bewog, eine Nachfrist bis zum 31. Juli 2026 einzuräumen.
Die Compliance-Uhr: Die NIS2-Nachfrist ist gerade abgelaufen
Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) trat am 6. Dezember 2025 in Kraft – rund 14 Monate nach der ursprünglichen EU-Umsetzungsfrist, eine Verzögerung, die ein Vertragsverletzungsverfahren der Europäischen Kommission nach sich zog. Das Gesetz weitete die deutsche Cybersicherheitsregulierung von rund 4.500 KRITIS-Betreibern auf etwa 29.500 Unternehmen in 18 Sektoren aus, darunter Produktion, Logistik, Lebensmittelherstellung und digitale Infrastruktur – viele davon waren zuvor nie einer sektorspezifischen Sicherheitsregulierung unterworfen.
Unternehmen mussten sich selbst einstufen und sich innerhalb von drei Monaten, bis zum 6. März 2026, beim BSI registrieren. Bis zu diesem Datum hatten sich von den geschätzten 29.500 betroffenen Unternehmen nur rund 11.500 tatsächlich registriert – eine Lücke, die groß genug war, dass das BSI eine Nachfrist bis zum 31. Juli 2026 einräumte. Die Registrierungen zogen in den Folgemonaten zwar an – auf rund 15.500 bis Anfang April und auf knapp 18.500 bis Ende Mai –, doch selbst dieses Tempo reichte nicht aus, um die Lücke bis zum Ende der Nachfrist zu schließen. Auch diese Frist ist inzwischen verstrichen, ohne das Aufsehen, das die ursprüngliche Frist begleitet hatte.
Die mit der Registrierung verbundenen Pflichten sind kein Formalismus. Als „besonders wichtige Einrichtungen“ eingestufte Unternehmen (250+ Mitarbeitende oder 50+ Mio. Euro Umsatz) müssen bei Verstößen gegen Risikomanagement- oder Meldepflichten mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes rechnen; „wichtige Einrichtungen“ (50+ Mitarbeitende oder 10+ Mio. Euro Umsatz) mit bis zu 7 Millionen Euro oder 1,4 %. Allein eine verspätete Registrierung kann nach §65 BSIG mit bis zu 500.000 Euro geahndet werden, und die Geschäftsleitung haftet nach §38 BSIG persönlich für die Nichtumsetzung erforderlicher Maßnahmen. Auch die Meldefristen sind eng getaktet: eine Erstmeldung innerhalb von 24 Stunden nach einem erheblichen Vorfall, eine vertiefte Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats.
Für Unternehmen, die beide Fristen verpasst haben, ist Abwarten auf eine dritte Frist keine Option. Eine verspätete Registrierung ist immer noch besser als gar keine, und die sieben Kernpflichten des Gesetzes – Risikoanalyse, Incident Response, Business Continuity, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsmessung und Mitarbeiterschulung – müssen unabhängig von der Position in der Registrierungsschlange existieren. NIS2 schreibt keine bestimmte Zertifizierung vor, doch ISO 27001 wird ausdrücklich als Nachweis für den geforderten „Stand der Technik“ anerkannt – damit ist sie der schnellste glaubwürdige Weg zum Compliance-Nachweis, statt ein eigenes Rahmenwerk von Grund auf neu zu entwickeln.
Die Hochrisiko-Pflichten nach Anhang III des EU-KI-Gesetzes wurden auf Dezember 2027 verschoben, doch die engere Transparenzpflicht nach Artikel 50 trat wie geplant am 2. August 2026 in Kraft.
Eine engere, aber dennoch reale KI-Gesetz-Pflicht verschärft den Mittelstand in der Zange
Der 2. August 2026 sollte ursprünglich ein weitaus größeres Datum für das EU-KI-Gesetz sein – der Zeitpunkt, ab dem Hochrisiko-KI-Systeme nach Anhang III (etwa in den Bereichen Personalauswahl, Kreditwürdigkeitsprüfung oder Bildung) vollständige technische Dokumentation, Risikomanagement, CE-Kennzeichnung und Eintragung in die EU-Datenbank benötigen würden. Diese Frist wurde inzwischen verschoben – und zwar nicht mehr nur als politische Ankündigung: Die entsprechende Änderungsverordnung (EU) 2026/1744 („Digital Omnibus“) wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Die Pflichten für Anhang-III-Systeme rücken damit verbindlich auf den 2. Dezember 2027, die für Anhang-I-Systeme (KI, die in regulierte Produkte wie Maschinen oder Fahrzeuge eingebettet ist) auf den 2. August 2028.
Nicht verschoben wurde Artikel 50 – der „Digital Omnibus“ hat an diesem Datum nichts geändert, es war schon immer der planmäßige Stichtag für diese engere Pflicht. Die Transparenzpflichten – wonach Chatbots, Deepfakes sowie Emotionserkennungs- oder biometrische Kategorisierungssysteme klar offenlegen müssen, dass ein Nutzer mit KI interagiert – traten wie vorgesehen am 2. August 2026 in Kraft. Eine engere Übergangsfrist gilt nur für die maschinenlesbare Kennzeichnung bei Systemen, die bereits vor dem 2. August 2026 auf dem Markt waren: Für diese läuft die Frist erst am 2. Dezember 2026 ab. Für ein Mittelstandsunternehmen ist das insgesamt ein deutlich kleinerer Aufwand als die volle Hochrisiko-Compliance, aber keineswegs nichts: Jeder kundenorientierte Chatbot, KI-generierte Marketinginhalte oder automatisierte Entscheidungswerkzeuge müssen sich jetzt als KI-gestützt zu erkennen geben – eine Governance- und Dokumentationsfrage, die sich direkt auf die ohnehin laufende NIS2-Arbeit legt.
Die Lehre daraus lautet nicht „die KI-Gesetz-Krise wurde abgesagt“. Sie lautet: Regulatorische Fristen verschieben sich selten als geschlossenes Paket – Teile eines Gesetzes können verschoben werden, während andere Teile exakt planmäßig weiterlaufen, und ein Compliance-Programm, das sich an einem einzigen Stichtag orientiert, kann genau den Teil übersehen, der heute tatsächlich durchsetzbar ist.
Die Zahl der Cyber-Erpressungsopfer in Deutschland stieg laut dem Security Navigator 2026 von Orange Cyberdefense um 91 % gegenüber dem Vorjahr, wobei kleine und mittlere Unternehmen überproportional betroffen waren.
Das alles bremst die Angreifer nicht
Während die Compliance-Uhren liefen, beschleunigte sich die eigentliche Bedrohung weiter. Die Zahl bekannter Cyber-Erpressungsopfer in Deutschland stieg laut dem Security Navigator 2026 von Orange Cyberdefense um 91 % gegenüber dem Vorjahr – der Bericht wertete mehr als 139.000 Sicherheitsvorfälle zwischen Oktober 2024 und September 2025 aus, und kleine und mittlere Unternehmen mit bis zu 250 Mitarbeitenden waren überproportional betroffen.
Die Bitkom-Studie „Wirtschaftsschutz 2025″ liefert dazu eine Größenordnung: 87 % der deutschen Unternehmen wurden in den vergangenen zwölf Monaten angegriffen, gegenüber 81 % im Vorjahresvergleich, bei einem Gesamtschaden für die deutsche Wirtschaft von 289,2 Milliarden Euro. Ransomware war mit 34 % der betroffenen Firmen die häufigste Angriffsmethode, vor DDoS-Angriffen (25 %), Malware-Infektionen (24 %), Phishing (22 %) und Passwortangriffen (21 %). Check Point verzeichnete zudem für 2025 einen Anstieg der Angriffe in Deutschland, Österreich und der Schweiz um 124 % gegenüber dem Vorjahr.
Der Fall Buhlmann passt exakt in dieses Muster: ein etabliertes, mittelständisches Industrieunternehmen – keine Bank, keine kritische Infrastruktur im klassischen Sinne – mit genau der Art operativer und finanzieller Daten, die Erpressung lukrativ macht. Unternehmen in dieser Position sind zugleich am wahrscheinlichsten Ziel eines Angriffs und am wenigsten wahrscheinlich im Besitz eines eigenen Sicherheitsteams, auf das sie zurückgreifen könnten.
Was der Mittelstand in der Zange für ein knapp besetztes Sicherheitsteam bedeutet
Drei Uhren, ein Team – der Mittelstand in der Zange in der Praxis. Ein paar praktische Prioritäten für Mittelstandsunternehmen, die versuchen, mit allen dreien gleichzeitig Schritt zu halten:
- Prüfen Sie jetzt Ihren NIS2-Registrierungsstatus, auch wenn beide Fristen bereits verstrichen sind. Die Selbsteinstufungspflicht entfällt nicht, weil ein Registrierungsfenster geschlossen wurde, und eine verspätete Registrierung wird deutlich besser bewertet als gar keine.
- Behandeln Sie eine ISO-27001-Ausrichtung als praktische Abkürzung zum „Stand der Technik“ nach NIS2 – nicht als separates, konkurrierendes Compliance-Projekt. Die sieben von NIS2 geforderten Kontrollbereiche überschneiden sich stark mit dem, was ISO 27001 bereits dokumentiert.
- Prüfen Sie, ob ein kundenorientiertes KI-Tool – Chatbot, Content-Generator, automatisiertes Screening-Tool – derzeit offenlegt, dass es sich um KI handelt. Die Pflichten aus Artikel 50 sind enger gefasst als die viel beachtete KI-Gesetz-Frist, wodurch sie leicht komplett übersehen werden.
- Planen Sie mit der Annahme, dass ein Erpressungsversuch stattfinden wird, nicht nur, dass er stattfinden könnte. Bei einem Anstieg der Erpressungsopfer um 91 % gegenüber dem Vorjahr zählen kontinuierliche Erkennung und ein erprobter Reaktionsplan genauso viel wie das Papier, das dessen Existenz belegt.
Cybersecurity-Kaufreue beiseite – die Unternehmen, die den Mittelstand in der Zange gut meistern, sind nicht diejenigen, die NIS2, das KI-Gesetz und Ransomware-Bereitschaft als drei getrennte Projekte behandeln. Es sind diejenigen, die ein einziges Sicherheits- und Governance-Fundament aufbauen, das alle drei Fragen gleichzeitig beantwortet.
NIS2, KI-Gesetz und Ransomware-Bereitschaft gleichzeitig zu bewältigen, gelingt mit einem koordinierten Sicherheitsprogramm – nicht mit drei getrennten Projekten.
Genau hier setzen die Leistungen von DIESEC an: Unser NIS2– und Governance-, Risk- und Compliance-Angebot hilft Mittelstandsunternehmen dabei, NIS2- und KI-Gesetz-Pflichten in ein strukturiertes, ISO-27001-orientiertes Programm zu überführen, statt in Hektik nach einer verpassten Frist zu verfallen. Weil Papier allein einen Angriff wie den von Akira nicht stoppt, bietet unser SOC as a Service die kontinuierliche Überwachung, die einen Erpressungsversuch erkennt, bevor 55 GB an Daten abfließen, und unsere Penetrationstests überprüfen, ob die auf dem Papier stehenden Schutzmaßnahmen auch in der Praxis standhalten, bevor ein Angreifer sie für Sie testet.
