Cybersicherheit wird für den Mittelstand zur Pflichtaufgabe

Für deutsche Unternehmen wächst der Handlungsdruck beim Thema Cybersicherheit aus zwei Richtungen gleichzeitig: aus der Bedrohungslage und aus der Regulierung. Der Schaden durch Cyberangriffe stieg 2025 laut Bitkom auf 202,4 Milliarden Euro, nach 178,6 Milliarden Euro im Vorjahr. Gleichzeitig waren 87 Prozent der befragten Unternehmen bereits von Diebstahl, Spionage oder Sabotage betroffen. Auch die regulatorischen Anforderungen nehmen zu. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft und betrifft rund 29.500 Unternehmen. Für sie gelten unter anderem Anforderungen an das Risikomanagement und Meldepflichten, bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Ab dem 11. September 2026 greifen zudem die ersten Meldepflichten des europäischen Cyber Resilience Act für Hersteller vernetzter Produkte. Wer diesen nicht nachkommt, riskiert nach Artikel 64 der EU-Verordnung Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.

Auffällig ist dabei eine Lücke zwischen Wunsch und Wirklichkeit bei der Anbieterwahl. 67 Prozent der deutschen Unternehmen setzen derzeit Sicherheitslösungen aus den USA ein, während sich 74 Prozent eine stärkere Unterstützung deutscher und europäischer Anbieter wünschen. Gleichzeitig ist das europäische Angebot vergleichsweise klein, mit 936 finanzierten Cybersicherheitsunternehmen in Europa, davon 79 in Deutschland. Gerade für die Region ergibt sich daraus eine interessante Perspektive. Im Gründungsinkubator des CISPA Helmholtz-Zentrums für Informationssicherheit in Saarbrücken sind derzeit 26 aktive Ausgründungen gelistet. Ihre Themen reichen von der Überwachung digitaler Angriffsflächen über die Erkennung von Deepfakes bis zur Absicherung von KI-Systemen gegen sogenannte Prompt Injections.

Wie tragfähig forschungsnahe Ausgründungen sein können, zeigt das Beispiel natif.ai. Das 2019 gegründete DFKI-Spin-off aus Saarbrücken wurde im April 2024 von der DocuWare Group übernommen und als eigenständige Tochtergesellschaft am Standort Saarbrücken weitergeführt. Im Oktober 2025 eröffnete DocuWare dort zusätzlich seinen globalen KI-Forschungs-Hub, der von einem der natif.ai-Mitgründer geleitet wird. Aus einer einzelnen Ausgründung ist damit eine dauerhafte Forschungsansiedlung mit internationaler Reichweite entstanden.

Für Unternehmen im Saarland und in Rheinland-Pfalz ergeben sich daraus zwei konkrete Handlungsfelder. Wer unter NIS2 oder den Cyber Resilience Act fällt, sollte die eigene Betroffenheit und den Umsetzungsstand prüfen, denn die entsprechenden Fristen laufen bereits. Und wer nach Sicherheitslösungen sucht, muss dafür nicht zwangsläufig auf etablierte amerikanische Plattformen setzen. In der eigenen Region ist eine forschungsstarke, bislang noch wenig sichtbare Startup-Szene entstanden, die für den Mittelstand zunehmend interessant werden kann.

Quellen: Bitkom · Bundesamt für Sicherheit in der Informationstechnik (BSI) · NIS2 · Cyber Resilience Act, Artikel 64 · CISPA · DFKI · DocuWare