ENISA NIS360 Risikozone: Wie Aufsichtsbehörden entscheiden, wer zuerst geprüft wird

Im Mai 2026 veröffentlichte ENISA die dritte Ausgabe von NIS360. Die meisten lesen sie als Rangliste. Aufsichtsbehörden lesen sie als Arbeitsplan.

Dieser Unterschied zählt. NIS360 trägt jeden NIS2-Sektor auf zwei Achsen ab: wie kritisch er ist und wie ausgereift seine Cybersicherheit tatsächlich ist. Wo die Kritikalität die Reife übersteigt, zeichnet ENISA eine "Risikozone". Nationale Aufsichtsbehörden nutzen diese Karte, um zu entscheiden, wo sie ihre begrenzte Prüfkapazität einsetzen — und 2026 haben sie endlich das Personal dafür.

Wer Organisationen zu NIS2 berät, erfährt aus der ENISA NIS360 Risikozone, welche Mandanten zuerst Post von einer Behörde bekommen. Das hat sich dieses Jahr geändert, und das ist zu tun.

Die Risikozone ist eine Prioritätenliste der Aufsicht, keine Note

ENISA bewertet Kritikalität anhand von Digitalisierungsgrad, sozioökonomischer Wirkung eines Vorfalls, Zeitkritikalität und Abhängigkeit anderer Sektoren. Diese Faktoren verändern sich langsam, daher sind Kritikalitätswerte von Jahr zu Jahr weitgehend stabil.

Die Reife ist der bewegliche Teil. Sie umfasst Risikomanagementpraxis, Vorfallsbereitschaft, Informationsaustausch, Leistungsfähigkeit der nationalen Behörde und Koordination auf Sektorebene.

Ein Sektor landet in der Risikozone, wenn seine Reife unter dem Durchschnitt und unter seiner eigenen Kritikalität liegt. Im Klartext: Die Gesellschaft hängt stärker von ihm ab, als er sich selbst verteidigen kann.

Aufsichtsbehörden haben nicht die Personalstärke, um jede registrierte Einrichtung zu prüfen. Sie triagieren. Ein von ENISA als hochkritisch mit nachhinkender Reife markierter Sektor ist die billigste denkbare Begründung für ein gezieltes Prüfprogramm — die Behörde kann auf die Bewertung einer EU-Agentur verweisen, statt den Fall selbst aufzubauen.

Schiene, Trinkwasser und Abwasser kamen in die Risikozone, ohne schlechter zu werden

Das ist der Befund, den die meisten falsch lesen.

Schiene, Trinkwasser und Abwasser rückten in der Ausgabe 2026 alle drei in die Risikozone. Keiner von ihnen fiel zurück. Die Schiene verbesserte ihren Reifewert sogar, und ihre Kritikalität wurde nach oben korrigiert, weil andere Sektoren stärker von ihr abhängen und sie häufiger angegriffen wird.

Sie überschritten die Linie, weil sich der Durchschnitt verschob. Bankwesen, Elektrizität, Telekommunikation und Kerninternetdienste verbesserten sich weiter. Luftfahrt, Vertrauensdienste und Finanzmarktinfrastrukturen stiegen in das Band hoher Reife auf. Wenn die Spitze der Verteilung steigt, steigt die Messlatte für "durchschnittlich" mit.

Die praktische Folge für Berater: Ein Mandant, der nichts falsch gemacht hat, kann trotzdem in einen aufsichtlichen Prioritätssektor umsortiert werden. "Wir haben die Readiness-Bewertung im Vorjahr bestanden" ist keine Verteidigung. Die Compliance Posture ist relativ zu einer beweglichen Basislinie.

Gas ist das Gegenbeispiel, das sich zu studieren lohnt. Der Sektor begann, sich aus der Risikozone herauszubewegen — getragen von drei unspektakulären Dingen: besserem Informationsaustausch, stärkerer Zusammenarbeit auf Sektorebene und Risikomanagementmaßnahmen, die tatsächlich umgesetzt und nicht nur dokumentiert wurden. Das ist ein wiederholbares Vorgehen, kein Glück.

Gilt NIS2 für Ihre Organisation?
1
Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja▼
Nein▼
2
Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
✗
NIS2 gilt nicht unmittelbar für Ihre Organisation.
Ja▼
Nein▼
✓
NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
3
Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja▼
!
NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
1
Ist Ihre Organisation in einem wesentlichen oder wichtigen Sektor tätig (Energie, Verkehr, Gesundheit, digitale Infrastruktur usw.)?
Ja ↓Nein →
2
Beschäftigt Ihre Organisation 50 oder mehr Mitarbeiter oder erzielt einen Jahresumsatz von mehr als 10 Millionen Euro?
Ja ↓Nein →
3
Ist Ihre Organisation ein Anbieter kritischer Infrastruktur oder ein qualifizierter Vertrauensdiensteanbieter?
Ja ↓Nein →
✗
NIS2 gilt nicht unmittelbar für Ihre Organisation.
✓
NIS2 gilt für Ihre Organisation als wesentliche oder wichtige Einrichtung.
!
NIS2 könnte für Ihre Organisation gelten — holen Sie rechtlichen Rat ein, um Ihren Status zu bestätigen.
Gilt
Gilt möglicherweise
Gilt nicht

IKT-Servicemanagement steht in der Risikozone — und das betrifft Sie

ENISA führt IKT-Servicemanagement in jeder bisherigen NIS360-Ausgabe als Problemfall, 2026 ist keine Ausnahme. Der Sektor hat sich an die NIS2-Anforderungen angepasst, aber ENISA beschreibt seine Sicherheitsmaßnahmen und operative Bereitschaft als uneinheitlich.

Lesen Sie das genau, wenn Sie einen MSP oder MSSP betreiben. Das ist keine Aussage über Ihre Kunden. Es ist eine Aussage über Ihren eigenen Sektor.

Daraus folgen zwei Dinge.

Erstens sind Sie selbst eine regulierte Einrichtung. Managed Service Provider und Managed Security Service Provider sind in Annex I der NIS2 je nach Größe als wesentliche oder wichtige Einrichtungen benannt. Ihre eigenen Article 21-Maßnahmen fallen in den Anwendungsbereich. Diese doppelte Verpflichtung haben wir ausführlich in NIS2 für MSPs und MSSPs behandelt.

Zweitens sind Sie das Lieferkettenrisiko. ENISA verweist ausdrücklich auf die Folgen für die vielen Sektoren, die von Managed Providern abhängen. Wenn ein Krankenhaus oder ein Wasserversorger geprüft wird, fragt der Prüfer, welche Sicherheitsanforderungen dem IT-Dienstleister vertraglich auferlegt sind und wie sie verifiziert werden. Diese Frage landet auf Ihrem Schreibtisch — als Kundenanfrage formuliert, Wochen bevor Sie selbst je einer Behörde begegnen.

Rechnen Sie damit, dass Nachweise verlangt werden, keine Zusicherungen: Ihre eigene Risikobewertung, Ihr Incident-Response-Plan, Ihre Patch-SLAs, Ihr Zugriffsmodell, Ihre Liste der Unterauftragnehmer. Wenn Sie diese Anforderungen in Kundenverträge einbauen, ist Lieferantenpflichten nach Article 21 der richtige Ausgangspunkt.

NIS2-Sanktionseskalation — Jenseits der Geldbuße
!
Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen
▼
Nicht-finanzielle Sanktionen
1
Anordnungen mit bindenden Fristen
2
Verpflichtende Sicherheitsaudits auf eigene Kosten
3
Öffentliche Bekanntmachung von Verstößen
4
Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu
▼
Betriebliche und persönliche Konsequenzen
1
Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2
Vorübergehendes Verbot von Leitungsfunktionen für Personen
3
Öffentliche Benennung verantwortlicher natürlicher Personen
Auslöser
Nicht-finanziell
Betrieblich / persönlich

Öffentliche Verwaltung, Raumfahrt und Gesundheit hinken aus je eigenen Gründen hinterher

Die Risikozone ist nicht homogen. Die Ursachen unterscheiden sich, und damit auch die Abhilfen.

Die öffentliche Verwaltung liegt bei niedriger bis mittlerer Reife. Sie ist neu reguliert, und die Praxis unterscheidet sich enorm zwischen nationalen Ministerien, regionalen Stellen und kleinen Kommunen. Eine nationale Behörde betreibt vielleicht ein ausgereiftes SOC, während eine Gemeinde mit 12.000 Einwohnern einen IT-Dienstleister in Teilzeit hat. Gleiche Richtlinie, gleiche Pflichten, völlig unterschiedliche Ausgangslagen. Wer öffentliche Auftraggeber betreut, sollte davon ausgehen, dass die Gap-Analyse wirklich bei null beginnt.

Die Raumfahrt liegt am unteren Ende mittlerer Reife, trotz steigender Kritikalität. Die Aufsicht ist fragmentiert, die regulatorischen Pflichten unterscheiden sich je Mitgliedstaat, und die Übernahme von Cybersicherheitsstandards ist ungleichmäßig. Die strategische Bedeutung wächst schneller als die Governance.

Das Gesundheitswesen verbesserte sich messbar und bleibt im mittleren Band, gestützt von stärkeren Akteuren wie Pharmaherstellern. Kliniken und Versorger bremsen: Altsysteme, explodierende IoMT-Gerätezahlen, hohe Drittanbieterabhängigkeit, knappe Budgets. Was das operativ bedeutet, haben wir in NIS2 für Gesundheitsdienstleister beschrieben.

Seeverkehr und Schiene teilen ein strukturelles Problem — langlebige OT neben IT und Koordination zwischen Infrastrukturbetreibern, Verkehrsunternehmen und Technologielieferanten. Niemand besitzt die gesamte Landschaft, was Verantwortlichkeit schwer nachweisbar macht.

Trinkwasser und Abwasser sind die am wenigsten ausgereiften der von ENISA bewerteten Sektoren. Sicherheit ist weitgehend reaktiv, Umgebungen sind fragmentiert, Altlasten sind überall, und der Informationsaustausch ist schwach.

Was ein Mandant in der Risikozone bereithalten muss, bevor die Behörde anruft

In der Risikozone zu sein ändert Ihre Pflichten nicht. Jede Article 21-Maßnahme gilt für eine Bank genauso wie für eine Kläranlage. Es ändert die Wahrscheinlichkeit und den Zeitpunkt der Prüfung.

Also ändert sich die Reihenfolge. Arbeiten Sie bei einem Mandanten in der Risikozone so:

1. Registrierung. Prüfen Sie, ob die Einrichtung tatsächlich bei der nationalen Behörde registriert ist. Zehntausende EU-Einrichtungen sind es noch immer nicht, und es ist das Erste, was eine Aufsicht kontrolliert.
2. Die zwei Governance-Dokumente. Eine schriftliche Risikomanagementpolitik und eine Informationssicherheitsleitlinie, auf Leitungsebene genehmigt. Diese werden in nahezu jeder Prüfung zuerst angefordert.
3. Wirksamkeitsnachweis. Article 21(2)(f) verlangt zu bewerten, ob Ihre Maßnahmen wirken. Die meisten Teams überspringen das. Prüfer nicht.
4. Getestete Vorfallsbehandlung. Kein Dokument — ein Prozess mit benanntem Verantwortlichen, einem 24-Stunden-Frühwarnpfad und mindestens einer dokumentierten Übung.
5. Lieferantenregister. Wer Ihre kritischen Lieferanten sind, welche Sicherheitsanforderungen sie binden und wie diese verifiziert werden.

Wenn Sie unsicher sind, wo ein Mandant bei allen zehn Maßnahmen steht: Unser Schritt-für-Schritt-Leitfaden zur NIS2-Gap-Analyse führt durch den Prozess, und die zehn Article 21-Maßnahmen erklärt zeigt, was jede einzelne tatsächlich verlangt.

Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
🛡️
Artikel 21
10 Cybersicherheitsmaßnahmen
📊
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien
6Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
🚨
Vorfälle & Kontinuität
2Vorfallsbehandlung & Meldung
3Geschäftskontinuität & Notfallwiederherstellung
🔗
Lieferkette & Systeme
4Sicherheit der Lieferkette
5Sicherheit bei der Entwicklung von Netz- und Informationssystemen
🔐
Technische Kontrollen
8Kryptografie & Verschlüsselung
10Multi-Faktor-Authentifizierung & sichere Kommunikation
👥
Personal & Ressourcen
7Cyber-Hygiene & Schulung
9Personalsicherheit & Zugangskontrolle

Nutzen Sie NIS360 als Kundengespräch, nicht als Bericht

Die unangenehme Variante dieses Gesprächs lautet: "Sie werden womöglich bald geprüft und sind nicht bereit." Die nützliche Variante lautet: "Eine EU-Agentur hat veröffentlicht, wo Ihr Sektor steht, und hier ist die konkrete Lücke zwischen Ihrer Compliance Posture und der Exponiertheit Ihres Sektors."

Die zweite Variante verkauft Arbeit. Und sie ist zutreffender.

Drei Argumente, die bei Leitungsgremien ankommen:

• Kritikalität haben Sie nicht in der Hand. Das Abhängigkeitsprofil Ihres Sektors wurde von ENISA danach vergeben, wie stark die übrige Wirtschaft auf Sie angewiesen ist. Die einzige Variable, die Sie steuern, ist die Reife.
• Fortschritt ist sichtbar. Sektoren haben dieses Jahr die Bänder gewechselt. Der Ausstiegspfad des Gassektors — Informationsaustausch, Zusammenarbeit, umgesetzte Maßnahmen — ist dokumentiert und günstig im Vergleich zu einem Bußgeld oder einer Untersagung.
• Die Messlatte steigt weiter. Stillstand bedeutet Rückschritt gegenüber Wettbewerbern. Das wird jetzt jährlich gemessen und veröffentlicht.

Wenn Sie einen strukturierten Startpunkt für einen Mandanten in der Risikozone suchen, führen Sie einen kostenlosen NIS2 Quick Scan durch. Er dauert wenige Minuten und liefert eine Lückenübersicht, die Sie ohne eine Woche Vorbereitung einer Geschäftsleitung vorlegen können.

Die Kurzfassung

ENISA NIS360 2026 zeigt echten Fortschritt: Die Reife steigt in fast jedem NIS2-Sektor, und drei Sektoren stiegen in das Band hoher Reife auf. Aber die Risikozone leerte sich nicht. Schiene, Trinkwasser und Abwasser kamen hinzu, weil sich der Durchschnitt verschob, IKT-Servicemanagement blieb darin, und öffentliche Verwaltung, Raumfahrt und Gesundheit hinken aus strukturellen Gründen weiter hinterher.

Für Berater und MSPs ist NIS360 das Nächste an einer veröffentlichten Aufsichts-Heatmap. Lesen Sie es auch so.

Und prüfen Sie, wo Ihr eigener Sektor steht. IKT-Servicemanagement steht auf der Liste.