ENISA NIS360 2026: Acht EU-Sektoren im Risikokorridor – Reife hinkt Kritikalität hinterher

Ende Mai 2026 veröffentlichte ENISA die dritte Ausgabe seines NIS360-Berichts – einer umfassenden Bewertung der Cybersicherheitsreife und systemischen Kritikalität aller Sektoren hoher Kritikalität nach Anhang I der NIS2-Richtlinie. Die Hauptaussage: Obwohl die Gesamtreife EU-weit zugenommen hat, klafft in acht Sektoren eine gefährliche Lücke zwischen der Bedeutung der Systeme für die gesellschaftliche Infrastruktur und ihrer tatsächlichen Absicherung.

Die acht Sektoren im Risikokorridor

Als „Risikokorridor" bezeichnet ENISA jene Sektoren, in denen die Kritikalität – also die potenziellen Auswirkungen eines erfolgreichen Angriffs auf Gesellschaft, Wirtschaft und öffentliche Sicherheit – die gemessene Sicherheitsreife deutlich übersteigt:

• Gesundheit: Trotz gestiegener Reife bleibt die Kritikalität durch direkte Lebensgefahr und Datensensitivität extrem hoch
• Bahn: Steigende Kritikalität durch wachsende Rolle in der militärischen Logistik und erhöhte Bedrohungsexposition
• Maritime Infrastruktur: Globale Lieferketten, hohe Abhängigkeit von Satelliten- und GNSS-Systemen
• IKT-Dienstleistungsmanagement: Kaskadierungsrisiken durch konzentrierte Marktstrukturen (wenige große Anbieter)
• Weltraum: Neue Sektor-Einstufung; ENISA hebt besonders Satellitensysteme hervor, die kritische Infrastruktur anderer Sektoren tragen
• Öffentliche Verwaltungen: Weiterhin fragile Sicherheitslage trotz erhöhten Angriffsdrucks durch staatliche Akteure
• Trinkwasserversorgung: Stark fragmentierte Betreiberstrukturen, viele kleinere Versorger ohne ausreichende Ressourcen
• Abwasser: Ähnliche Struktur wie Trinkwasser; zuletzt häufig Ziel opportunistischer Angriffe

Was NIS2 damit zu tun hat

Der NIS360-Bericht ist kein Prüfungsinstrument, sondern eine strategische Lagebeschreibung. Er belegt, dass die gesetzlichen Anforderungen durch NIS2 für genau jene Sektoren am dringlichsten sind, die die größten Lücken aufweisen. Für Unternehmen und Einrichtungen in den genannten Sektoren hat das konkrete Konsequenzen: Aufsichtsbehörden in ganz Europa nutzen solche ENISA-Befunde, um ihre Prüfschwerpunkte zu setzen. Wer in einem der acht Risikosektoren tätig ist, muss damit rechnen, überdurchschnittlich häufig in den Fokus von Prüfungen zu geraten.

Was Einrichtungen in Risikosektoren jetzt tun sollten

1. Risikoregister sektorspezifisch schärfen: Allgemeine IT-Risiken reichen nicht aus – der Sektor-Kontext (z. B. Patientendaten im Gesundheitswesen, GNSS-Abhängigkeit in der Schifffahrt) muss explizit bewertet werden.
2. OT/ICS-Systeme einbeziehen: Gerade in Bahn, Wasser und maritimer Infrastruktur sind operative Technologien (OT) häufig schlechter abgesichert als IT-Systeme.
3. Lieferkettenbewertung vertiefen: ENISA hebt Kaskadierungsrisiken durch IKT-Dienstleister hervor – kritische Drittanbieter müssen explizit bewertet werden.
4. Tabletop-Exercises durchführen: Szenarienbasierte Übungen mit sektorspezifischen Angriffsszenarien (z. B. Ransomware auf Krankenhaus-PACS oder GNSS-Spoofing auf Schiffsnavigation).

Der Bericht verdeutlicht, dass NIS2 nicht als allgemeine Compliance-Aufgabe verstanden werden sollte, sondern als sektorspezifische Risikoreduktion. Für Einrichtungen im Risikokorridor ist die Messlatte höher – und das Prüfungsinteresse der Behörden entsprechend größer.