Wann wird aus Kenntnis konkretes Handeln?
Welche Rolle spielen Gesetzgebung, Haftung, Kundenanforderungen und Lieferketten dabei, dass Organisationen tatsächlich starten?
Forschungsarchiv · Phase 1 und Phase 2
NIS-2 im deutschen Mittelstand: vom Abwarten zur Umsetzung
Der NIS-2 Realitätscheck verbindet qualitative Forschung, eine längsschnittliche Folgeerhebung und praktische Erfahrungen aus der Informationssicherheitsberatung.
Projektüberblick
Regulatorische Ambition trifft operative Realität
Die Untersuchung fragt nicht nur, ob Unternehmen NIS-2 kennen, sondern was Umsetzung im Arbeitsalltag konkret ausbremst und welche Hilfsmittel tatsächlich angenommen werden.
1.200+kontaktierte KMU in der Folgeerhebung
18auswertbare Fragebögen in Phase 2
6vertiefende Interviews in Phase 2
2aufeinander aufbauende Forschungsphasen
Forschungsfragen
Was die Studie untersucht
Wo entstehen die größten Reibungsverluste?
Wie wirken knappe Ressourcen, unklare Zuständigkeiten und die Übersetzung von Anforderungen in belastbare Nachweise zusammen?
Welche Unterstützung ist praxistauglich?
Ob standardisierte Selbstbewertung und Mappings zu etablierten Standards den Einstieg erleichtern und Prioritäten sichtbar machen.
Zentrale Beobachtungen
Die Hürde ist nicht nur technisch
Die Phase-2-Angaben beziehen sich auf die deskriptive Stichprobe von 18 auswertbaren Fragebögen.
Zeit und Personal fehlen
Fehlende zeitliche und personelle Ressourcen wurden am häufigsten als praktische Umsetzungsbarriere genannt.
Dokumentation belastet
Dokumentations- und Bürokratieaufwand wurden deutlich häufiger problematisiert als die technische Komplexität einzelner Maßnahmen.
Konkrete Orientierung fehlt
Fehlende Leitfäden und unklare Anforderungen erschwerten die Übersetzung regulatorischer Pflichten in umsetzbare Arbeitspakete.
Interpretation mit Augenmaß: 67 % der Antwortenden beschrieben NIS-2 vor allem als administrativen beziehungsweise haftungsbezogenen Pflichtprozess; 11 % sahen darin einen Treiber für Sicherheitskultur. Wegen der kleinen, selbstselektierten Stichprobe lassen sich diese Werte nicht auf alle deutschen KMU hochrechnen.
Vom Forschungsprojekt zur Community
Entwicklung 2025–2026
2025 · Phase 1
Bachelorarbeitsprojekt an der TUM
Empirischer Outreach an 1.800 KMU, 17 Experteninterviews und Entwicklung eines standardisierten Bewertungsmodells.
Nov. 2025
BSides Munich
Erste öffentliche Vorstellung der Untersuchung unter dem Titel „In Scope, Out of Sight“.
Q1 2026 · Phase 2
NIS-2 Realitätscheck
Längsschnittliche Folgeerhebung nach Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes.
April 2026
21. Deutscher IT-Sicherheitskongress
Vorstellung der aktuellen Ergebnisse beim BSI; der Beitrag war für den Best Student Award nominiert.
Juni 2026
Elbsides Conference
Einordnung der Phase-2-Ergebnisse für die Security Community in Hamburg.
Forschungstransfer
NIS-2 Self-Assessment für KMU
Aus der ersten Forschungsphase entstand ein Excel-basiertes Reifegradmodell. Es übersetzt die Anforderungen aus den NIS-2-Artikeln 20, 21 und 23 in 37 Fragen zur Umsetzung und 37 gespiegelte Fragen zur Nachweisführung.
Reifegrad & Mappings
Reifegrade 0–5
ISO/IEC 27001
TISAX
BSI IT-Grundschutz
Transparenz
Einordnung und Quellen
Projektstatus: Die Online-Erhebung ist beendet. Diese Seite dient als Forschungsarchiv; es werden hier keine Umfragedaten mehr erhoben. Die damaligen Hinweise bleiben im Datenschutzarchiv der Umfrage abrufbar.
Öffentliche Beschreibungen des Forschungsdesigns und der Vortragsinhalte finden sich auf den offiziellen Seiten von BSides Munich 2025 und der Elbsides Conference 2026. Eine journalistische Einordnung des BSI-Kongresses bietet heise online.
Das Projekt wurde als studentische, unabhängige Arbeit an der Technischen Universität München durchgeführt. Die Inhalte dieser Website sind keine offizielle Publikation der TUM, des BSI oder von HvS-Consulting.
Über den Autor
Younes Ahmadzei
Information Security Consultant.